DORA regelt die digitale Resilienz des Finanzsektors und gilt als EU-Verordnung seit dem 17. Januar 2025 unmittelbar — beaufsichtigt von der BaFin. NIS2 erfasst 18 Wirtschaftssektoren und gilt in Deutschland seit dem 6. Dezember 2025 über das BSI-Gesetz. Für Finanzunternehmen geht DORA als Spezialregelung vor; IT-Dienstleister können von beiden Regelwerken gleichzeitig betroffen sein.
DORA und NIS2 werden oft in einem Atemzug genannt — und regelmäßig verwechselt. Beide stammen aus demselben EU-Gesetzespaket zur Cybersicherheit, beide verlangen Risikomanagement und Vorfallsmeldungen, beide nehmen die Geschäftsleitung in die Pflicht. Trotzdem sind es zwei getrennte Regelwerke mit unterschiedlichen Adressaten, Aufsichtsbehörden und Detailtiefen. Wer sie durcheinanderbringt, meldet im Ernstfall an die falsche Behörde oder baut Pflichten auf, die gar nicht gelten.
Dieser Artikel zieht die Trennlinie: was DORA regelt, was NIS2 regelt, wie das Lex-specialis-Prinzip die Überschneidung auflöst — und was der in der Praxis häufigste Zwitterfall bedeutet: der IT-Dienstleister, der selbst unter NIS2 fällt und zugleich Finanzkunden nach DORA-Vorgaben bedient.
Zwei Regelwerke, ein Ziel — aber unterschiedliche Wege
Beide Regelwerke verfolgen dasselbe Ziel: die Widerstandsfähigkeit gegen Cyberangriffe und IT-Störungen erhöhen. Sie unterscheiden sich aber grundlegend in Zuschnitt und Rechtstechnik:
- DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist eine Verordnung: Sie gilt seit dem 17. Januar 2025 in allen Mitgliedstaaten unmittelbar, ohne nationales Umsetzungsgesetz. Sie regelt ausschließlich den Finanzsektor — dafür aber sehr detailliert, bis hinunter zu Vertragsinhalten mit IT-Dienstleistern und Testmethoden.
- NIS2 (Richtlinie (EU) 2022/2555) ist eine Richtlinie: Sie musste national umgesetzt werden, in Deutschland durch das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt. Sie erfasst 18 Wirtschaftssektoren in der Breite — von Energie über Gesundheit bis zum Maschinenbau — und bleibt dabei prinzipienorientierter als DORA.
Vereinfacht: DORA ist das Spezialgesetz für die Finanzwelt mit hoher Regelungstiefe, NIS2 das Breitengesetz für die kritische und wichtige Wirtschaft. Die EU hat bewusst dafür gesorgt, dass sich beide nicht doppeln — dazu später mehr beim Lex-specialis-Prinzip.
DORA und NIS2 im direkten Vergleich
Die wichtigsten Unterschiede auf einen Blick:
| Kriterium | DORA | NIS2 (Deutschland) |
|---|---|---|
| Rechtsakt | EU-Verordnung 2022/2554, gilt unmittelbar | EU-Richtlinie 2022/2555, umgesetzt im BSI-Gesetz |
| Verbindlich seit | 17. Januar 2025 | 6. Dezember 2025 |
| Adressaten | Finanzunternehmen (Banken, Versicherungen, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Krypto-Dienstleister u. a.) sowie deren IKT-Drittdienstleister | Besonders wichtige und wichtige Einrichtungen aus 18 Sektoren ab bestimmten Größenschwellen |
| Betroffene in Deutschland | größenordnungsmäßig 3.600 Finanzunternehmen | rund 29.500 Einrichtungen |
| Aufsicht | BaFin; kritische IKT-Drittdienstleister zusätzlich unter EU-Überwachung | BSI |
| Registrierung | keine gesonderte Registrierung; Informationsregister über IKT-Verträge wird eingereicht | Registrierungspflicht im BSI-Portal |
| Kernpflichten | IKT-Risikomanagement, Vorfallsmeldung, digitale Resilienztests bis hin zu bedrohungsgeleiteten Penetrationstests, IKT-Drittparteienmanagement, Informationsaustausch | Zehn Risikomanagementmaßnahmen nach § 30 BSIG, Meldepflichten, Geschäftsleiterpflichten |
| Vorfallsmeldung | Schwerwiegende IKT-Vorfälle an die BaFin, gestaffelt nach engen Fristen der technischen Regulierungsstandards (Erstmeldung, Zwischenbericht, Abschlussbericht) | Frühwarnung 24 h, Meldung 72 h, Abschlussbericht 1 Monat an das BSI |
| Sanktionen | Aufsichtsmaßnahmen und Bußgelder nach nationalem Recht; Zwangsgelder gegen kritische IKT-Drittdienstleister bis 1 % des weltweiten Tagesumsatzes | Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
Wer fällt unter DORA?
DORA adressiert gut 20 Kategorien von Finanzunternehmen — deutlich mehr als das klassische Bankwesen. Dazu gehören unter anderem Kreditinstitute, Versicherungen und Rückversicherungen, Wertpapierfirmen, Kapitalverwaltungsgesellschaften, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen, Handelsplätze und Versicherungsvermittler ab einer bestimmten Größe. Anders als NIS2 kennt DORA dabei überwiegend keine Mitarbeiter- oder Umsatzschwellen — wer als Finanzunternehmen zugelassen ist, fällt grundsätzlich darunter, mit Erleichterungen für Kleinstunternehmen und vereinfachten Regimen für bestimmte Kategorien.
Die zweite Adressatengruppe ist eine Besonderheit von DORA: IKT-Drittdienstleister. Cloud-Anbieter, Rechenzentren und Softwarehäuser, die Finanzunternehmen beliefern, werden über strenge Vertragsvorgaben eingebunden — und als „kritisch“ eingestufte IKT-Dienstleister unterliegen sogar einer direkten Überwachung durch die europäischen Aufsichtsbehörden. Finanzunternehmen müssen zudem ein vollständiges Informationsregister aller IKT-Verträge führen und bei der Aufsicht einreichen.
Für die Einordnung in Deutschland gilt daher die Faustregel: Reguliert Sie die BaFin, ist DORA Ihr Maßstab. Beaufsichtigt Sie niemand aus der Finanzaufsicht, prüfen Sie Ihre NIS2-Betroffenheit beim BSI. Bemerkenswert ist dabei die Reichweite von DORA über NIS2 hinaus: Versicherungen etwa tauchen in den NIS2-Sektoren gar nicht auf — reguliert sind sie trotzdem, eben über DORA. Umgekehrt bleibt ein Rechenzentrum ohne Finanzkunden von DORA unberührt, fällt aber als digitale Infrastruktur unter NIS2.
Lex specialis: Wann DORA NIS2 verdrängt
Auf dem Papier überschneiden sich beide Regelwerke: NIS2 führt „Bankwesen“ und „Finanzmarktinfrastrukturen“ als Sektoren der Anlage 1. Die Auflösung liefert das Lex-specialis-Prinzip: Sektorspezifische EU-Rechtsakte mit mindestens gleichwertigen Anforderungen gehen der NIS2-Richtlinie vor. DORA ist genau ein solcher Rechtsakt.
Konkret bedeutet das: Für Finanzunternehmen, die unter DORA fallen, gelten in den Bereichen IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Management des IKT-Drittparteienrisikos die DORA-Vorschriften — nicht die entsprechenden NIS2-Pflichten. Das deutsche BSIG stellt Finanzunternehmen in diesen Bereichen ausdrücklich frei. Eine Bank meldet ihren Cyber-Vorfall also der BaFin nach DORA-Systematik, nicht dem BSI nach § 32 BSIG.
Zwei Grenzen des Prinzips sind wichtig: Erstens verdrängt DORA nur, was es selbst regelt — Themen außerhalb des IKT-Bezugs bleiben unberührt. Zweitens gilt die Freistellung für das Finanzunternehmen, nicht automatisch für dessen Dienstleister oder für Konzerngesellschaften außerhalb des Finanzgeschäfts. Ein Industriekonzern mit eigener Bank kann daher für die Bank DORA und für die Produktion NIS2 gleichzeitig bedienen müssen.
Der Praxisfall: IT-Dienstleister zwischen beiden Welten
Die häufigste Doppelbetroffenheit trifft IT-Dienstleister. Ein Rechenzentrumsbetreiber oder Managed-Service-Provider mit 80 Mitarbeitenden, der unter anderem Banken und Versicherungen bedient, steht typischerweise in beiden Regimen:
- Als eigenes Unternehmen fällt er unter NIS2 — etwa im Sektor digitale Infrastruktur oder IKT-Dienstleistungsmanagement. Er muss sich beim BSI registrieren, die zehn Maßnahmen des § 30 BSIG umsetzen und eigene Vorfälle dem BSI melden.
- Als IKT-Drittdienstleister seiner Finanzkunden bekommt er DORA vertraglich weitergereicht: umfangreiche Pflichtklauseln zu Sicherheitsmaßnahmen, Zugangs- und Auditrechten, Ausstiegsstrategien und Unterstützungspflichten bei Vorfällen. Seine Finanzkunden führen ihn im Informationsregister; wird er als kritischer IKT-Drittdienstleister eingestuft, kommt die direkte europäische Überwachung hinzu.
Für solche Unternehmen ist die Konsequenz klar: Zwei getrennte Compliance-Projekte wären doppelte Arbeit. Sinnvoller ist ein gemeinsames Sicherheitsfundament — ein ISMS, das die NIS2-Pflichten abdeckt — plus ein DORA-Aufsatz für die Finanzkundenverträge: Vertragsklauseln, Meldeunterstützung, Testmitwirkung. Wer umgekehrt als Finanzunternehmen Dienstleister steuert, sollte deren NIS2-Status kennen: Ein Dienstleister, der seine eigenen gesetzlichen Pflichten erfüllt, ist auch für das DORA-Drittparteienmanagement der bessere Vertragspartner.
Gemeinsamkeiten nutzen: Ein System für beide Regelwerke
Bei allen Unterschieden ist der inhaltliche Kern beider Regelwerke derselbe: Risiken systematisch bewerten, Maßnahmen umsetzen und wirksam halten, Vorfälle erkennen und geordnet melden, Dienstleister im Griff behalten, Verantwortung der Leitungsebene verankern. Das ist exakt das Programm eines Managementsystems für Informationssicherheit nach ISO 27001 — die Norm wird deshalb in beiden Welten als Strukturgeber genutzt.
Ehrlicherweise gehört dazu: Für DORA reicht die Norm allein nicht. Die Verordnung ist in Teilen deutlich spezifischer — etwa bei den bedrohungsgeleiteten Penetrationstests für bedeutende Finanzunternehmen, dem Informationsregister und den vorgeschriebenen Vertragsinhalten. Auch bei NIS2 bleiben Registrierung, Meldefristen und Geschäftsleiterschulung eigenständige gesetzliche Pflichten neben dem ISMS. Die Norm liefert das Fundament und die Nachweisführung; die regulatorischen Spezifika werden darauf aufgesetzt.
Für die Praxis heißt das: Erst die Zuständigkeit klären (BaFin oder BSI, DORA oder NIS2 oder beides), dann das gemeinsame Fundament bauen, dann die spezifischen Pflichten ergänzen. In dieser Reihenfolge bleibt der Aufwand beherrschbar — in der umgekehrten entstehen Doppelstrukturen, die niemand pflegt.
Drei Merksätze für die Abgrenzung im Alltag: Erstens entscheidet die Aufsicht — wen die BaFin reguliert, der arbeitet nach DORA; alle anderen prüfen ihre NIS2-Betroffenheit. Zweitens entscheidet der Vertrag — wer regulierte Unternehmen beliefert, bekommt deren Pflichten als Klauseln weitergereicht, egal unter welchem Regelwerk. Drittens entscheidet die Dokumentation — beide Behörden bewerten am Ende, was nachweisbar organisiert ist, nicht, was gut gemeint war. Wer diese drei Sätze verinnerlicht, navigiert sicher zwischen beiden Welten, auch wenn die Detailregeln sich weiterentwickeln (Stand: September 2026).
Häufige Fragen
DORA regelt ausschließlich die digitale Resilienz des Finanzsektors — als EU-Verordnung unmittelbar gültig seit dem 17. Januar 2025, beaufsichtigt von der BaFin. NIS2 erfasst 18 Wirtschaftssektoren in der Breite und gilt in Deutschland seit dem 6. Dezember 2025 über das novellierte BSI-Gesetz mit dem BSI als Aufsicht. DORA ist detaillierter, NIS2 deutlich breiter.
DORA. Zwar führt NIS2 das Bankwesen als Sektor, doch als sektorspezifische Spezialregelung verdrängt DORA die NIS2-Pflichten in den Bereichen IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Drittparteienmanagement. Eine Bank meldet Cyber-Vorfälle daher der BaFin nach DORA-Systematik und nicht dem BSI. Das deutsche BSIG stellt Finanzunternehmen insoweit ausdrücklich frei.
Ja, vor allem in zwei Konstellationen: IT-Dienstleister, die selbst unter NIS2 fallen und zugleich Finanzunternehmen bedienen, bekommen DORA über Vertragsklauseln ihrer Kunden weitergereicht. Und Konzerne mit Finanztochter können für diese DORA und für andere Konzernteile NIS2 beachten müssen. In beiden Fällen lohnt ein gemeinsames Sicherheitsfundament statt zweier getrennter Projekte.
Nein. NIS2 verlangt die Frühwarnung binnen 24 Stunden, die Meldung binnen 72 Stunden und den Abschlussbericht nach einem Monat an das BSI. DORA hat ein eigenes Regime für schwerwiegende IKT-Vorfälle mit gestaffelten, teils engeren Fristen nach den technischen Regulierungsstandards — gemeldet wird an die BaFin. Adressat, Klassifizierung und Formulare unterscheiden sich; die Prozesse dürfen nicht vermischt werden.
Als Fundament ja: Beide Regelwerke verlangen risikobasiertes Sicherheitsmanagement, Vorfallsprozesse, Dienstleistersteuerung und Leitungsverantwortung — genau die ISMS-Systematik. Vollständig ersetzt die Norm keines von beiden: DORA ist bei Tests, Verträgen und dem Informationsregister spezifischer, NIS2 verlangt zusätzlich Registrierung, gesetzliche Meldefristen und Geschäftsleiterschulung. Das ISMS trägt das Fundament, die Spezifika werden ergänzt.
Rechtlich von diesen beiden Regelwerken ja, praktisch oft nicht: Als Dienstleister oder Zulieferer regulierter Unternehmen erhalten Sie deren Sicherheitsanforderungen vertraglich — von DORA-Pflichtklauseln der Finanzkunden bis zu NIS2-Lieferantenfragebögen. Zudem können weitere Regelwerke greifen, etwa der Cyber Resilience Act für Hersteller vernetzter Produkte. Ein dokumentiertes Grundsicherheitsniveau bleibt daher für fast jedes B2B-Unternehmen relevant.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT