NIS2 + DORA für Banken + Finanzdienstleister

Hauptartikel: NIS2-Umsetzung Deutschland — Anwendungsbereich, Maßnahmen nach § 30 BSIG, Geschäftsleitungshaftung nach § 38 BSIG, Meldepflichten und Bußgelder im Überblick.

1. DORA Vorrang vor NIS2

DORA (Digital Operational Resilience Act, VO 2022/2554) gilt für Finanzdienstleister seit 17.01.2025. NIS2-Anforderungen werden durch DORA ersetzt für diesen Sektor (lex specialis).

Für die Umsetzung heißt das: Die Grenze verläuft nicht am Konzern, sondern am einzelnen Rechtsträger. Wer unter DORA fällt, ist von NIS2 ausgenommen (Art. 4 NIS2-Richtlinie); Nicht-Finanz-Töchter eines Bank-Konzerns fallen gegebenenfalls unter NIS2. In Deutschland führt Anlage 1 BSIG das Finanzwesen (Bankwesen und Finanzmarktinfrastrukturen) zwar als hochkritischen Sektor — die BSIG-Pflichten greifen aber nur dort, wo DORA nicht vorgeht. DORA gilt als EU-Verordnung in Österreich wortgleich wie in Deutschland; Österreich ordnet denselben Vorrang zusätzlich ausdrücklich an: Für Einrichtungen im Anwendungsbereich von DORA gehen die dortigen Bestimmungen vor (§ 4 Abs. 2 und § 24 Abs. 7 NISG 2026). Das NISG 2026 (BGBl. I Nr. 94/2025, ausgegeben am 23.12.2025) wird am 01.10.2026 anwendbar.

Praxisempfehlung: Legen Sie zuerst eine Scope-Liste je Rechtsträger an — DORA-Einheit, NIS2-Einheit oder keines von beidem. Ohne diese Zuordnung lassen sich weder Registrierung noch Meldeweg noch Aufsichtskontakt richtig adressieren.

2. DORA-Pflichten

DORA verpflichtet Finanzunternehmen zu fünf Pflichtenkreisen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos und Informationsaustausch. Zwei davon führt dieser Artikel mit Fundstelle und operativer Folge aus: das bedrohungsgeleitete Testen unter Nummer 4 (Art. 26 DORA — TLPT mindestens alle drei Jahre) und das Drittparteienrisiko unter Nummer 5 (Art. 28 DORA für die allgemeinen Prinzipien, Art. 30 Abs. 2 und 3 DORA für die Pflichtklauseln im Dienstleistervertrag).

Für Konzerneinheiten außerhalb des DORA-Anwendungsbereichs, die nach § 28 BSIG als besonders wichtige oder wichtige Einrichtung gelten (Nummer 7), tritt in Deutschland der Maßnahmenkatalog des § 30 BSIG an diese Stelle. § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen von Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten; die Einhaltung ist zu dokumentieren. § 30 Abs. 2 BSIG nennt zehn Bereiche, die jede betroffene Einrichtung adressieren muss: (1) Konzepte für Risikoanalyse und Sicherheit von Informationssystemen, (2) Bewältigung von Sicherheitsvorfällen, (3) Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement), (4) Sicherheit der Lieferkette, (5) Sicherheit beim Erwerb, Entwickeln und Warten, (6) Wirksamkeitsbewertung der Maßnahmen, (7) Cyberhygiene und Schulungen, (8) Kryptografie und Verschlüsselung, (9) Personalsicherheit und Zugriffskontrolle, (10) Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und sichere Kommunikation. Die Umsetzungstiefe skaliert mit dem Risiko — § 30 BSIG verlangt angemessene und verhältnismäßige Maßnahmen, keine starre Mindestliste. In Österreich steht der inhaltlich gleichlaufende Katalog in § 32 Abs. 4 lit. a bis j NISG 2026, in derselben Reihenfolge.

3. BaFin-Aufsicht

Für die DORA-Einheiten ist in Deutschland die BaFin die zuständige Aufsichtsbehörde. Daneben bleiben die deutschen Aufsichtsanforderungen an das Institut selbst maßgeblich — insbesondere § 25a KWG, das KAGB und die MaRisk; welche Sanktions- und Aufsichtsfolgen daran hängen, steht unter Nummer 6.

Auf der NIS2-Seite ist die Zuständigkeit eine andere. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Stelle für Informationssicherheit auf nationaler Ebene (§ 1 BSIG) und zugleich zentrale NIS2-Aufsichtsbehörde; daneben können für die Tätigkeiten einer Einrichtung weitere Aufsichtsbehörden des Bundes und der Länder zuständig sein, die bei der Registrierung anzugeben sind (§ 33 Abs. 1 BSIG, Nummer 8). Ein Unternehmen kann damit mehreren Aufsichten unterliegen; die Koordination ist Compliance-Aufgabe. In Österreich ist die NIS2-Aufsicht ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 zentral bei der Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) organisiert — einer dem Bundesminister für Inneres unmittelbar nachgeordneten Behörde mit bundesweiter Zuständigkeit (§ 3a Abs. 1 und 2 NISG 2026) und Sitz in Wien (§ 3b Abs. 3 NISG 2026); Aufsicht und Durchsetzung folgen aus §§ 38 und 39 NISG 2026. Sektoral differenziert wird dort nur auf CSIRT-Ebene (§ 8 Abs. 3 NISG 2026), nicht bei der Aufsicht; Verwaltungsstrafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1 NISG 2026). Praxisempfehlung: Halten Sie je Rechtsträger schriftlich fest, welche Aufsicht zuständig ist; die Meldewege stehen unter Nummer 8.

4. Penetration-Testing-Pflicht

Art. 26 Abs. 1 DORA: Erweiterte Tests auf Basis von Threat-Led Penetration Testing (TLPT) mindestens alle drei Jahre — die zuständige Behörde kann die Häufigkeit im Einzelfall verringern oder erhöhen. TLPT-pflichtig sind nicht schlicht „signifikante Institute“, sondern die von der zuständigen Behörde nach Art. 26 Abs. 8 Unterabsatz 3 DORA ermittelten Finanzunternehmen (Kriterien: Auswirkungen auf den Finanzsektor, Finanzstabilität, IKT-Risikoprofil); Kleinstunternehmen sind ausgenommen. Die Einstufung als bedeutendes Kreditinstitut nach Art. 6 Abs. 4 der VO (EU) Nr. 1024/2013 wirkt sich davon getrennt aus: Diese Institute dürfen ausschließlich externe Tester einsetzen (Art. 26 Abs. 8 Unterabsatz 2 DORA).

Für NIS2-pflichtige Konzerneinheiten ist der Anknüpfungspunkt ein anderer: § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen; in Österreich ist die Wirksamkeitsbewertung Teil des gleichlaufenden Katalogs des § 32 Abs. 4 NISG 2026. Praxisempfehlung (für die Wirksamkeitsbewertung nach § 30 Abs. 2 Nr. 6 BSIG schreibt das Gesetz keinen Rhythmus vor; die Nachweispflicht der Betreiber kritischer Anlagen alle drei Jahre nach § 39 Abs. 1 BSIG bleibt davon unberührt — siehe Nummer 9): KPIs je Maßnahmenbereich — etwa Patch-Compliance-Rate, Phishing-Klickrate, Recovery-Time —, quartalsweises Reporting an die Geschäftsleitung, ein jährlicher Penetrationstest sowie internes Audit und externes Audit alle zwei Jahre.

5. Drittanbieter-Vertragsklauseln

Die verpflichtenden Vertragsinhalte für IKT-Dienstleister stehen in Art. 30 DORA („Wesentliche Vertragsbestimmungen“): Art. 30 Abs. 2 listet die Mindestelemente jeder Vereinbarung über IKT-Dienstleistungen (u. a. Leistungsbeschreibung samt Bedingungen für Unterauftragsvergabe, Verarbeitungs- und Speicherstandorte, Verfügbarkeit/Authentizität/Integrität/Vertraulichkeit, Datenzugang und -rückgabe, Dienstleistungsgüte, Unterstützung bei IKT-Vorfällen, Zusammenarbeit mit den Behörden, Kündigungsrechte und Mindestkündigungsfristen). Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen treten nach Art. 30 Abs. 3 zusätzliche Pflichtklauseln hinzu (u. a. quantitative Leistungsziele, Notfallpläne, Mitwirkung an TLPT, uneingeschränkte Zugangs-, Inspektions- und Auditrechte).

Art. 28 DORA enthält dagegen keine Klauselliste, sondern die allgemeinen Prinzipien des IKT-Drittparteienrisikomanagements — etwa die fortbestehende volle Verantwortung des Finanzunternehmens, den Verhältnismäßigkeitsgrundsatz, die Risiko- und Sorgfaltsprüfung vor Vertragsschluss (Abs. 4), Mindeststandards der Informationssicherheit (Abs. 5), die vertraglich abzusichernden Kündigungsgründe (Abs. 7) sowie Ausstiegsstrategien. Damit gehen die DORA-Vorgaben deutlich weiter als die allgemein gehaltene Anforderung „Sicherheit der Lieferkette“ in § 30 Abs. 2 Nr. 4 BSIG.

Was § 30 Abs. 2 Nr. 4 BSIG für NIS2-pflichtige Konzerneinheiten praktisch bedeutet: eine Lieferantenbewertung mit Risikoklassifizierung, Cybersecurity-Klauseln in den Standardverträgen, ein Right-to-Audit für kritische Lieferanten und eine vertraglich vereinbarte Vorfallmeldung des Lieferanten an den Auftraggeber. Praxisempfehlung: für diese vertragliche Meldung eine Frist von 24 Stunden vereinbaren — eine gesetzliche Lieferantenfrist ist das nicht. Nach unserer Praxiseinschätzung zeigen sich neben der Lieferkette häufig auch bei der Wirksamkeitsbewertung (§ 30 Abs. 2 Nr. 6 BSIG) sowie bei Schulungen und Sensibilisierungsmaßnahmen (§ 30 Abs. 2 Nr. 7 BSIG) Umsetzungslücken. In Österreich entspricht der Lieferketten-Pflicht § 32 Abs. 4 lit. d NISG 2026.

6. Bußgeldrisiko

DORA selbst nennt für Finanzunternehmen keine Bußgeldobergrenze. Nach Art. 50 Abs. 3 DORA legen die Mitgliedstaaten angemessene verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen fest, die wirksam, verhältnismäßig und abschreckend sein müssen; Art. 50 Abs. 4 DORA benennt lediglich die Mindestbefugnisse der zuständigen Behörden (z. B. Unterlassungsanweisungen, Einstellung von Praktiken).

Die häufig zitierte 1-%-Grenze ist kein Bußgeld gegen Institute, sondern ein Zwangsgeld gegen kritische IKT-Drittdienstleister: bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres, verhängt durch die federführende Überwachungsbehörde, täglich und für höchstens sechs Monate (Art. 35 Abs. 6 bis 8 DORA). Für Institute kommen die nationalen Sanktionsregelungen zum Tragen — in Deutschland unter anderem die Bußgeldvorschriften des § 56 KWG; MaRisk-Mängel werden aufsichtsrechtlich adressiert.

Für NIS2-pflichtige Konzerneinheiten (§ 28 BSIG) gilt ein eigener Rahmen. Die folgende Übersicht nennt ausschließlich Sanktions- und Haftungsnormen der NIS2-Umsetzung (Deutschland: BSIG, Österreich: NISG 2026); DORA-Sanktionen sind in den beiden Absätzen darüber beschrieben; die österreichischen Strafrahmen greifen ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026.

Anders als die Richtlinie kennt das BSIG kein pauschales „höherer Wert gilt“: Die Umsatzvariante greift nur bei einem Gesamtumsatz von mehr als 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße. Gesamtumsatz ist dabei die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

7. NIS2-Einordnung der Konzernteile außerhalb des DORA-Scopes

Ob eine Konzerneinheit außerhalb des DORA-Anwendungsbereichs NIS2-pflichtig ist, entscheidet in Deutschland § 28 BSIG. Im Regelfall müssen zwei Prüfungen zusammen erfüllt sein: Zuordnung zu einer Einrichtungsart der Anlage 1 oder Anlage 2 BSIG und Erreichen der Größenschwelle. Für Betreiber kritischer Anlagen gilt die Einstufung dagegen unabhängig von der Größe. Jede Zeile der folgenden Übersicht nennt ihre eigene Voraussetzung; die Spalten sind zwingend zusammen zu lesen.

Zwei Fallstricke: Erstens genügt der Umsatz allein nie — § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt Umsatz über 50 Mio. EUR und zusätzlich eine Bilanzsumme über 43 Mio. EUR; nur die Mitarbeiterzahl ab 250 wirkt als eigenständiges Kriterium. Zweitens gibt es bei den wichtigen Einrichtungen keine Mitarbeiter-Obergrenze: Weil § 28 Abs. 1 Nr. 4 BSIG ausschließlich Einrichtungsarten der Anlage 1 erfasst, bleibt eine Konzerngesellschaft mit 5.000 Mitarbeitern, die nur einer Anlage-2-Art zuzuordnen ist, eine wichtige Einrichtung. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG); Konzernzugehörigkeit kann verbundene Unternehmen einbeziehen.

Für Bank- und Finanzkonzerne sind neben dem Finanzwesen vor allem zwei Einträge relevant: Anlage 1 BSIG nennt die Digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten (Managed Services), Anlage 2 BSIG unter anderem Anbieter digitaler Dienste. Ob eine konzerneigene IT- oder Rechenzentrumsgesellschaft darunter fällt, ist anhand der konkreten Einrichtungsart zu prüfen.

In Österreich kennt § 25 Abs. 2 und 3 NISG 2026 dieselben Größenstufen, die ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 gelten: großes Unternehmen ab 250 Mitarbeitern oder über 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Bilanzsumme; mittleres Unternehmen ab 50 Mitarbeitern oder über 10 Mio. EUR Jahresumsatz und über 10 Mio. EUR Bilanzsumme. Große Unternehmen der Anlage-1-Arten sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3 NISG 2026), Anlage-1- und Anlage-2-Arten mit großem oder mittlerem Unternehmen sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1 NISG 2026).

8. Registrierung und Meldewege für NIS2-Einheiten

NIS2-pflichtige Konzerneinheiten müssen sich registrieren und erhebliche Sicherheitsvorfälle gestuft melden — drei Pflichtstufen (24 h / 72 h / 1 Monat) zuzüglich Zwischenmeldung auf Ersuchen und Fortschrittsmeldung bei andauerndem Vorfall — mit unterschiedlichen Adressaten in Deutschland und Österreich. In Deutschland erfolgt die Registrierung nach § 33 Abs. 1 BSIG über eine gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Registrierungsmöglichkeit — praktisch über das Portal „Mein Unternehmenskonto“ —, und zwar spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige bzw. wichtige Einrichtung gilt. Pflichtangaben sind Name samt Rechtsform und gegebenenfalls Handelsregisternummer, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail, öffentlicher IP-Adressbereiche und Telefonnummern, der relevante Sektor nach Anlage 1 oder 2, die Liste der EU-Mitgliedstaaten mit Diensterbringung sowie die zuständigen Aufsichtsbehörden des Bundes und der Länder. Änderungen sind unverzüglich, spätestens zwei Wochen nach Kenntnis zu übermitteln (§ 33 Abs. 5 BSIG). Betreiber kritischer Anlagen registrieren sich abweichend nach § 8 KRITIS-Dachgesetz, soweit § 33 Abs. 2 BSIG bereits anzuwenden ist (§ 66 BSIG); bleibt die Registrierung aus, kann das BSI sie selbst vornehmen (§ 33 Abs. 3 BSIG). Die Frist läuft ab dem Eintritt der Einrichtungseigenschaft, nicht ab einem einheitlichen Kalenderdatum — eine versäumte Registrierung ist nachzuholen.

In Österreich registrieren sich wesentliche und wichtige Einrichtungen bei der Cybersicherheitsbehörde (§ 29 Abs. 2 NISG 2026) binnen drei Monaten ab Inkrafttreten, also bis Ende 2026 (§ 29 Abs. 3); Änderungen der Kerndaten sind binnen zwei Wochen nachzumelden (§ 29 Abs. 4). Konzernstrukturen mit deutschen und österreichischen Gesellschaften registrieren separat.

Die folgende Übersicht nennt ausschließlich die gesetzlichen Meldestufen der NIS2-Umsetzung; DORA-Meldefristen sind davon nicht erfasst. Die österreichische Spalte gilt ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026.

Adressat ist in Deutschland die gemeinsame Meldestelle von BSI und BBK, in Österreich das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen das nationale CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet (§ 34 Abs. 1 NISG 2026). Maßgeblich ist der erhebliche Sicherheitsvorfall nach § 2 Nr. 11 BSIG: ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für bestimmte digitale Einrichtungsarten — unter anderem Cloud- und Rechenzentrumsdienste sowie Managed (Security) Service Provider — konkretisiert die EU-Durchführungsverordnung 2024/2690 diese Schwelle mit quantitativen Kriterien (vgl. § 30 Abs. 3 BSIG); für alle übrigen Einrichtungen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG. Österreich definiert den erheblichen Vorfall weitgehend gleichlautend in § 35 Abs. 1 NISG 2026. Die 24-Stunden-Frist knüpft an die Kenntnis an, nicht an den Beginn des Vorfalls; Praxisfolge: Wer sie halten will, braucht eine durchgehende Erreichbarkeit — externe SOC-Dienstleister können das übernehmen.

9. Geschäftsleitung und Nachweis der Umsetzung

Die Verantwortung für die NIS2-Maßnahmen liegt in Deutschland bei der Geschäftsleitung selbst und ist nicht delegierbar. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts; nach dem BSIG selbst haftet die Geschäftsleitung nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Hinzu kommt die Pflicht zur regelmäßigen Teilnahme an Schulungen (§ 38 Abs. 3 BSIG).

In Österreich haben die Leitungsorgane wesentlicher und wichtiger Einrichtungen ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen sowie an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 1 und 2 NISG 2026). Eine Innenhaftungs-Regel analog § 38 Abs. 2 BSIG enthält das NISG 2026 nicht.

Beim Nachweis der Umsetzung unterscheiden sich beide Rechtsräume deutlich. In Deutschland trifft die regelmäßige Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen primär Betreiber kritischer Anlagen: zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre; die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind zu übermitteln (§ 39 Abs. 1 BSIG). In Österreich gilt ab dem 01.10.2026 eine breitere Regel: Wesentliche und wichtige Einrichtungen übermitteln der Cybersicherheitsbehörde binnen zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Risikomanagementmaßnahmen (Selbstdeklaration, § 33 Abs. 1 NISG 2026). Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 2 NISG 2026).