NIS2 Banken und DORA: Was DORA ersetzt und was Ihr MSP weiter schuldet

Der Vorstand einer mittelgroßen Sparkasse leitet Ihnen einen NIS2-Fragebogen weiter, den die Geschäftsleitung gerade erhalten hat. Ihr MSP betreibt deren Ticketsystem und die Endgeräte. Die Frage: "Müssen wir das beantworten, oder reicht DORA?"

Die ehrliche Antwort lautet: beides. Bei NIS2 Banken und DORA ersetzt DORA den Großteil der NIS2-Pflichten, aber die Bank verschwindet nicht aus dem Anwendungsbereich des BSIG. Und Sie als Dienstleister landen in einem ganz anderen Regelwerk.

NIS2 Banken: DORA ist lex specialis, keine Befreiung

NIS2 (Richtlinie (EU) 2022/2555) führt Kreditinstitute in Anhang I, Sektor 3 (Bankwesen) auf, Handelsplätze und zentrale Gegenparteien in Sektor 4 (Finanzmarktinfrastrukturen). Diese Kunden sind also sektorbezogen erfasst.

Artikel 4 NIS2 sortiert dann. Verlangt ein sektorspezifischer Rechtsakt der Union Risikomanagementmaßnahmen oder die Meldung erheblicher Sicherheitsvorfälle, und ist das mindestens gleichwertig, gelten die entsprechenden NIS2-Bestimmungen nicht, einschließlich der Aufsichts- und Durchsetzungsregeln in Kapitel VII.

Erwägungsgrund 28 von NIS2 stellt klar, dass die Verordnung (EU) 2022/2554 (DORA) als sektorspezifischer Rechtsakt anzusehen ist. Erwägungsgrund 16 von DORA nennt die Verordnung lex specialis gegenüber NIS2. Artikel 1 Absatz 2 DORA bestätigt dies für Zwecke des Artikels 4 NIS2.

Das ist genau zu lesen. DORA verdrängt bestimmte NIS2-Vorschriften. Die Bank wird dadurch nicht zur Nicht-NIS2-Einrichtung.

Was DORA ersetzt und wer aufsichtlich zuständig ist

NIS2-Pflicht	Was für ein DORA-Finanzunternehmen gilt
Artikel 21 Risikomanagementmaßnahmen	DORA-Rahmen für das IKT-Risikomanagement
Artikel 21 Absatz 2 Buchstabe d (Lieferkette)	DORA-Regeln zum IKT-Drittparteienrisiko (Kapitel V, Artikel 28 bis 44)
Artikel 23 Meldepflichten	DORA-Meldung schwerwiegender IKT-bezogener Vorfälle
Kapitel VII Aufsicht und Bußgelder	Finanzaufsicht und DORA-Sanktionen

DORA gilt unmittelbar seit dem 17. Januar 2025. In Deutschland liegt die DORA-Aufsicht bei BaFin und Deutscher Bundesbank, nicht beim BSI. Nach der von uns ausgewerteten Darstellung läuft die Meldung schwerwiegender Vorfälle über die Bundesbank an die BaFin, die weiterleitet.

Nicht jeder Finanzkunde ist überhaupt NIS2-pflichtig

Hier gehen die meisten Fragebögen schief. NIS2 nennt nur Kreditinstitute und Finanzmarktinfrastrukturen. Artikel 2 Absatz 1 DORA ist deutlich weiter gefasst: Zahlungsinstitute, Wertpapierfirmen, Zentralverwahrer, Transaktionsregister sowie Versicherungs- und Rückversicherungsunternehmen gehören ebenfalls dazu.

Ein Versicherer oder Zahlungsinstitut ist daher nur DORA-pflichtig. Ihm eine NIS2-Gap-Analyse zu schicken, kostet beide Seiten Zeit. Eine Bank, ein Handelsplatz oder eine zentrale Gegenpartei braucht beide Sichten, wobei DORA den Inhalt trägt.

Zwei Meldeuhren, ein MSP dazwischen

NIS2 verlangt eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat. DORA hat für schwerwiegende IKT-bezogene Vorfälle eine andere Uhr. Nach der Delegierten Verordnung (EU) 2025/301 ist die Erstmeldung innerhalb von vier Stunden nach der Einstufung als schwerwiegend fällig, spätestens aber 24 Stunden nach Entdeckung. Der Zwischenbericht folgt innerhalb von 72 Stunden nach der Erstmeldung, der Abschlussbericht innerhalb eines Monats nach dem letzten Zwischenbericht.

Ihr Bankkunde meldet nach DORA. Ihre Kunden außerhalb des Finanzsektors melden nach § 32 BSIG. Betreiben Sie ein gemeinsames SOC oder eine gemeinsame Ticket-Queue, startet dasselbe Ereignis am selben Tag zwei verschiedene Uhren. Ihr Runbook braucht pro Kunde ein Kennzeichen, welches Regime gilt. Die NIS2-Seite finden Sie in NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines.

Wo Ihr MSP in die Pflicht gerät

Das ist die wirtschaftliche Realität. Eine DORA-pflichtige Bank muss ihr IKT-Drittparteienrisiko nach Kapitel V DORA steuern. Das heißt: ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Diensten und die Vertragsmindestinhalte nach Artikel 30 in Ihrem Vertrag, etwa Leistungsbeschreibung, Standorte, Unterstützung bei Vorfällen, Prüf- und Zugangsrechte und Exit-Strategie.

Am 18. November 2025 veröffentlichten die Europäischen Aufsichtsbehörden (ESAs) die erste Liste kritischer IKT-Drittdienstleister nach DORA. Die meisten MSP stehen nicht darauf. Ihre Bankkunden reichen dieselben Erwartungen trotzdem an Sie weiter.

Zusätzlich haben Sie eigene NIS2-Pflichten. IKT-Dienstleistungsmanagement für Unternehmen steht in Anhang I, ein MSP ist daher in der Regel selbst besonders wichtige oder wichtige Einrichtung. Zwei Regime, ein Unternehmen. Die Überschneidungen beschreiben NIS2 vs. DORA und NIS2 Supply Chain Security.

Das BSIG regelt die Ränder

DORA ist eine Verordnung, NIS2 eine Richtlinie. Das deutsche Umsetzungsrecht setzt die Ränder. § 28 Absatz 6 BSIG schaltet für DORA-Finanzunternehmen eine Reihe von Vorschriften ab (§§ 30, 31, 32, 35, 36, 38 und 39 BSIG). Die Registrierung nach § 33 BSIG steht nach unserer Lesart nicht auf dieser Liste. Ob sie greift, hängt davon ab, ob die Einrichtung besonders wichtig oder wichtig ist. Prüfen Sie den aktuellen Wortlaut auf gesetze-im-internet.de, bevor Sie einem Kunden eine Befreiung zusagen.

Außerhalb Deutschlands sieht es anders aus. Italien hat DORA durch das Dekret D.Lgs. 23/2025 flankiert. Frankreich und Spanien haben NIS2 nicht umgesetzt und wurden 2026 an den Europäischen Gerichtshof verwiesen.

Wenn ein Bankkonzern in mehreren Ländern sitzt, hilft unser Leitfaden dazu, welche Aufsichtsbehörde Ihren Kunden beaufsichtigt.

Was Sie diese Woche tun

1. Listen Sie alle Finanzkunden und ordnen Sie sie zu: Kreditinstitut oder Marktinfrastruktur (NIS2 und DORA) oder anderes Finanzunternehmen (nur DORA).
2. Prüfen Sie jeden Vertrag auf die Inhalte nach DORA Artikel 30. Fehlende Prüfrechte und Exit-Regelungen sind die typische Lücke.
3. Ergänzen Sie Ihr Incident-Runbook um ein Regime-Kennzeichen: DORA-Vierstundenuhr oder NIS2-24-Stunden-Uhr.
4. Prüfen Sie Ihre eigene BSI-Registrierung nach § 33 BSIG als IKT-Dienstleister.
5. Halten Sie die Angaben bereit, die die Bank für ihr Informationsregister braucht: Leistungen, Unterauftragnehmer, Datenstandorte.

Fangen Sie bei sich selbst an. Starten Sie einen kostenlosen NIS2 Quick Scan für ein Readiness-Assessment Ihrer eigenen Compliance-Lage und beantworten Sie den Fragebogen der Bank mit Belegen statt Versprechen.

DORA ersetzt das Regelwerk der Bank. Es ersetzt nicht die Fragen, die Ihre Kunden an Sie richten.