DORA vs. NIS2
Vergleich des EU-Rahmens für die digitale Resilienz des Finanzsektors mit der sektorübergreifenden EU-Richtlinie zur Cybersicherheit
Kurzvergleich
Die wichtigsten regulatorischen Dimensionen im direkten Vergleich
| Dimension | DORA | NIS2 |
|---|---|---|
| Rechtsinstrument | Verordnung (EU) 2022/2554, unmittelbar in allen Mitgliedstaaten anwendbar | Richtlinie (EU) 2022/2555, die von jedem Mitgliedstaat in nationales Recht umgesetzt werden muss |
| Anwendungsbereich | Nur Finanzsektor: Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen und kritische IKT-Drittdienstleister | Sektorübergreifend: wesentliche und wichtige Einrichtungen aus 18 Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung und weitere |
| Hauptziel | Die digitale operationale Resilienz von Finanzunternehmen gegenüber IKT-Störungen und Cyberangriffen sicherstellen | Ein hohes gemeinsames Cybersicherheitsniveau für Netz- und Informationssysteme in der gesamten EU erreichen |
| Risikomanagement | Detaillierter Rahmen für das IKT-Risikomanagement mit präskriptiven Anforderungen an Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung und Lernen | Risikobasierter Ansatz, der geeignete und dem Risiko angemessene technische, operative und organisatorische Maßnahmen verlangt |
| Meldung von Vorfällen | Dreistufige Meldung an die Finanzaufsicht: Erstmeldung (innerhalb von 4 Stunden nach der Klassifizierung), Zwischenbericht (innerhalb von 72 Stunden) und Abschlussbericht (innerhalb eines Monats) | Frühwarnung innerhalb von 24 Stunden, vollständige Meldung des Vorfalls innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats an die nationalen CSIRTs oder die zuständigen Behörden |
| Resilienztests | Verpflichtendes Programm zum Testen der digitalen operationalen Resilienz, einschließlich bedrohungsorientierter Penetrationstests (TLPT) alle 3 Jahre für bedeutende Unternehmen | Kein spezifisches Testregime vorgeschrieben; die Sicherheitsmaßnahmen müssen angemessen sein, die Testanforderungen bleiben aber der nationalen Umsetzung überlassen |
| Management von Drittanbietern | Umfassender Rahmen für das IKT-Drittparteienrisiko, einschließlich verpflichtender Vertragsbestimmungen, eines Informationsregisters der Drittdienstleister und einer Überwachung kritischer IKT-Dienstleister auf EU-Ebene | Anforderungen an die Sicherheit der Lieferkette, einschließlich Sorgfaltsprüfung der Lieferanten, aber weniger präskriptiv als DORA bei konkreten Vertrags- und Aufsichtsmechanismen |
| Sanktionen | Von den Mitgliedstaaten festgelegt; für kritische IKT-Dienstleister bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes pro Tag der Nichteinhaltung (höchstens 6 Monate) | Wesentliche Einrichtungen: nationale Höchstgeldbußen von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; wichtige Einrichtungen: mindestens 7 Mio. EUR oder 1,4 % |
Wesentliche Unterschiede
Was diese Vorschriften voneinander unterscheidet
- DORA
DORA ist lex specialis für Finanzdienstleistungen
Für Finanzunternehmen hat DORA Vorrang vor NIS2. Wo beide Vorschriften denselben Bereich regeln, etwa die Meldung von Vorfällen oder das Management von Cybersicherheitsrisiken, müssen Finanzunternehmen die präskriptiveren Anforderungen von DORA statt jener von NIS2 befolgen.
- NIS2
NIS2 erfasst 18 Sektoren, nicht nur den Finanzsektor
NIS2 gilt breit für Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, verarbeitendes Gewerbe, Lebensmittel und Chemie und reicht damit weit über den Fokus von DORA auf den Finanzsektor hinaus.
- DORA
DORA schreibt fortgeschrittene Penetrationstests vor
DORA verpflichtet bedeutende Finanzunternehmen, mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) nach dem TIBER-EU-Rahmen durchzuführen. NIS2 schreibt weder eine bestimmte Testmethodik noch eine Testhäufigkeit vor.
- NIS2
NIS2 legt Mindesthöhen für Höchstgeldbußen fest
NIS2 verpflichtet die Mitgliedstaaten, für wesentliche Einrichtungen Höchstgeldbußen von mindestens 10 Mio. EUR oder 2 % des Umsatzes festzulegen, je nachdem, welcher Betrag höher ist, während DORA die meisten Beträge dem nationalen Ermessen überlässt und nur Zwangsgelder für kritische IKT-Drittdienstleister vorsieht.
- DORA
DORA schafft einen direkten EU-Überwachungsrahmen für kritische IKT-Dienstleister
DORA führt einen einzigartigen Mechanismus der federführenden Überwachungsbehörde ein, über den die Europäischen Aufsichtsbehörden kritische IKT-Drittdienstleister direkt beaufsichtigen. NIS2 überlässt die Durchsetzung den zuständigen nationalen Behörden.
- NIS2
NIS2 führt eine persönliche Haftung der Geschäftsleitung ein
NIS2 erlaubt den Mitgliedstaaten ausdrücklich, Leitungsorgane für Verstöße persönlich haftbar zu machen und Personen vorübergehend von Leitungsfunktionen auszuschließen. DORA verlangt die Verantwortlichkeit der Geschäftsleitung, geht bei der persönlichen Haftung aber nicht so weit.
Wo sie sich überschneiden
Bereiche, in denen beide Vorschriften übereinstimmen
- Beide verlangen von Organisationen Maßnahmen für das Management von Cybersicherheitsrisiken, mit Governance auf höchster Leitungsebene
- Beide schreiben die rechtzeitige Meldung von Vorfällen an die zuständigen Behörden in mehrstufigen Meldeverfahren vor
- Beide behandeln das Risikomanagement in der Lieferkette und bei Drittanbietern als kritischen Bestandteil der Cybersicherheitslage
- Beide machen die Geschäftsleitung für Governance und Einhaltung im Bereich Cybersicherheit verantwortlich und rechenschaftspflichtig
- Beide fördern den Austausch von Informationen über Cyberbedrohungen zwischen Einrichtungen, um die gemeinsame Resilienz zu stärken
Was gilt für Sie?
Typische Szenarien und welche Vorschrift Vorrang hat
Sie sind eine Bank oder ein Versicherungsunternehmen mit Geschäftstätigkeit in der EU
DORA ist Ihre wichtigste Compliance-Pflicht und hat als lex specialis Vorrang. Prüfen Sie dennoch NIS2 für alle Aspekte, die DORA nicht ausdrücklich abdeckt, insbesondere wenn die nationale Umsetzung zusätzliche Anforderungen vorsieht.
Sie sind ein Technologieunternehmen, das Cloud-Dienste für Finanzinstitute erbringt
Sie können sowohl DORA (als kritischer IKT-Drittdienstleister des Finanzsektors) als auch NIS2 (als Anbieter digitaler Infrastruktur) unterliegen. Sie müssen die Vertrags- und Aufsichtsanforderungen von DORA erfüllen, die Ihre Finanzkunden an Sie weitergeben, und zugleich die Pflichten aus NIS2 einhalten.
Sie sind ein Gesundheitsdienstleister oder ein Energieunternehmen in der EU
NIS2 ist Ihre maßgebliche Cybersicherheitsvorschrift. DORA gilt nicht für Ihren Sektor. Konzentrieren Sie sich auf die Anforderungen von NIS2 an Risikomanagement, Meldung von Vorfällen und Sicherheit der Lieferkette, wie sie in Ihrem Mitgliedstaat umgesetzt wurden.
Sie sind ein Fintech-Unternehmen, das auch Dienste der digitalen Infrastruktur erbringt
Sie fallen wahrscheinlich unter DORA und NIS2. Ermitteln Sie die sich überschneidenden Anforderungen sorgfältig: DORA hat für Ihre Finanzdienstleistungstätigkeiten Vorrang, während NIS2 für Ihre umfassendere Rolle als digitale Infrastruktur gilt. Ein integrierter Compliance-Ansatz verringert Doppelarbeit.
Häufige Fragen
Typische Fragen zu diesen Vorschriften
Die vollständigen Leitfäden lesen
Weitere Vergleiche
DORA und NIS2 gemeinsam mit Reversa verwalten
Verwalten Sie sich überschneidende Cybersicherheitspflichten auf einer einzigen Plattform. Ermitteln Sie gemeinsame Kontrollen, vermeiden Sie Doppelarbeit und verfolgen Sie Änderungen an beiden Rahmenwerken.
- 01Erstgespräch
- 02Demonstration an Ihrem Fall
- 03Einführung in wenigen Wochen