DORA vs. NIS-2: Unterschiede, Überschneidungen und gemeinsame Ansätze

DORA und NIS-2 gehören zu den zentralen europäischen Regelwerken für den Umgang mit digitalen Risiken. Beide nehmen Unternehmen stärker in die Pflicht, Cyberrisiken systematisch zu steuern, Vorfälle zu melden und die Verantwortung der Unternehmensleitung zu stärken. Dennoch unterscheiden sie sich deutlich in ihrem Anwendungsbereich und ihrer regulatorischen Ausrichtung.

Unternehmen müssen daher zunächst klären, welche Vorgaben für welche Gesellschaft und Tätigkeit gelten. Innerhalb einer Unternehmensgruppe kann beispielsweise eine Gesellschaft DORA und eine andere NIS-2 unterliegen. Da sich viele Anforderungen überschneiden, sollte anschließend geprüft werden, welche Prozesse und Kontrollen gemeinsam genutzt werden können und wo getrennte Vorgehensweisen notwendig sind. Eine pauschale Einordnung nach dem Prinzip „DORA oder NIS-2“ greift zu kurz.

Der Digital Operational Resilience Act, kurz DORA, regelt die digitale operationale Resilienz im europäischen Finanzsektor. Die Verordnung wird seit dem 17. Januar 2025 angewendet und richtet sich an zahlreiche regulierte Finanzunternehmen, darunter Kredit- und Zahlungsinstitute, Versicherungsunternehmen, Wertpapierfirmen, Verwaltungsgesellschaften und Anbieter von Kryptowerte-Dienstleistungen. Die Verordnung verbindet das IKT-Risikomanagement, also das Risikomanagement für Informations- und Kommunikationstechnologien, mit der Behandlung und Meldung schwerwiegender IKT-bezogener Vorfälle, Resilienztests und dem IKT-Drittparteienrisikomanagement. Hinzu kommen der freiwillige Austausch von Informationen über Cyberbedrohungen und die europäische Überwachung kritischer IKT-Drittdienstleister.

Die NIS-2-Richtlinie verfolgt einen breiteren, sektorübergreifenden Ansatz. Sie soll ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union fördern und erfasst wichtige und besonders wichtige Einrichtungen aus zahlreichen Bereichen. Dazu gehören etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung, verarbeitendes Gewerbe und bestimmte digitale Dienste. Die Richtlinie regelt das Cyberrisikomanagement und die Meldung erheblicher Sicherheitsvorfälle. Außerdem legt sie fest, wie die Einhaltung der Vorgaben beaufsichtigt und durchgesetzt wird.

Anders als die unmittelbar geltende DORA-Verordnung muss NIS-2 von den Mitgliedstaaten in nationales Recht übertragen werden. Für betroffene Einrichtungen sind daher neben der Richtlinie die jeweils geltenden nationalen Vorschriften relevant. In Deutschland trat das neue BSI-Gesetz am 6. Dezember 2025 in Kraft. In Österreich gilt das NISG 2026 seit dem 1. Oktober 2026.

DORA und NIS-2 adressieren ähnliche Risiken, setzen jedoch verschiedene Schwerpunkte. Die folgende Übersicht stellt beide Regelwerke gegenüber:

Die jeweiligen Anforderungen müssen daher trotz bestehender Überschneidungen klar voneinander unterschieden werden. Insbesondere Finanzunternehmen müssen prüfen, welche Vorgaben für sie gelten und in welchen Bereichen DORA Vorrang vor den entsprechenden NIS-2-Bestimmungen hat.

Bei dieser Abgrenzung spielt Artikel 4 der NIS-2-Richtlinie eine zentrale Rolle. Danach finden die entsprechenden NIS-2-Bestimmungen zum Cyberrisikomanagement und zur Meldung erheblicher Vorfälle keine Anwendung, wenn ein sektorspezifischer EU-Rechtsakt mindestens gleichwertige Anforderungen vorsieht. DORA gilt für den Finanzsektor als ein solcher Rechtsakt.

Eine Unternehmensgruppe lässt sich daher oft nicht pauschal nur DORA oder NIS-2 zuordnen. Während beispielsweise eine Bank unter DORA fällt, können andere Gesellschaften derselben Gruppe NIS-2 unterliegen. Einzelne Gesellschaften können zudem grundsätzlich von beiden Regelwerken erfasst sein. In den überschneidenden Bereichen gelten für Gesellschaften, die unter DORA fallen, jedoch die Vorgaben der Verordnung anstelle der entsprechenden NIS-2-Bestimmungen. Dies betrifft das IKT-Risikomanagement, die Meldung schwerwiegender IKT-bezogener Vorfälle sowie die zugehörigen Regelungen zu Aufsicht und Durchsetzung. Ob daneben weitere Vorschriften des nationalen NIS-2-Rechts maßgeblich bleiben, muss für jede Gesellschaft gesondert geprüft werden.

Fehlt diese Differenzierung, können relevante Pflichten übersehen werden. Zugleich kann unnötige Doppelarbeit entstehen, wenn ähnliche Anforderungen beider Regelwerke getrennt umgesetzt werden, obwohl dafür dieselben Prozesse und Kontrollen genutzt werden könnten.

Trotz ihrer unterschiedlichen Ausrichtung weisen DORA und NIS-2 inhaltliche Gemeinsamkeiten auf. Dazu gehören insbesondere:

• Governance und Verantwortung der Unternehmensleitung
• Management von IKT- und Cyberrisiken
• Behandlung und Meldung relevanter Vorfälle
• Business Continuity und Krisenmanagement
• Berücksichtigung von Dienstleister- und Lieferkettenrisiken
• Überprüfung der Wirksamkeit getroffener Maßnahmen
• Dokumentation und Nachweisführung

Diese Überschneidungen bieten die Möglichkeit, vorhandene Strukturen mehrfach zu nutzen. Etablierte Prozesse für Risikobewertungen, das Vorfallmanagement oder Business Continuity können grundsätzlich Anforderungen beider Regelwerke unterstützen. Voraussetzung ist, dass regulierungsspezifische Unterschiede berücksichtigt werden.

In der Praxis entstehen Schwierigkeiten häufig nicht durch fehlende Dokumente, sondern durch voneinander getrennte Informationen. Werden Prozesse, Systeme, Risiken, Kontrollen und Verantwortlichkeiten in isolierten Dateien oder Anwendungen verwaltet, steigt der Abstimmungsaufwand. Gleichzeitig ist schwerer erkennbar, welche gemeinsamen Strukturen genutzt werden können und wo weiterhin Umsetzungslücken bestehen.

Der integrierte Ansatz von GBTEC GRC Management unterstützt Unternehmen dabei, relevante Sachverhalte in einem gemeinsamen Kontext abzubilden. Dadurch werden Abhängigkeiten transparenter, organisatorische Schnittstellen besser steuerbar und Synergien bei der Umsetzung regulatorischer Vorgaben leichter nutzbar.

Nicht alle Anforderungen aus DORA und NIS-2 lassen sich auf dieselbe Weise umsetzen. In einigen Bereichen sind deshalb getrennte Vorgehensweisen erforderlich.

Beim Incident Reporting gelten nach DORA und NIS-2 unterschiedliche Kriterien, Fristen und Meldewege. Auch die zu übermittelnden Informationen unterscheiden sich. Die technischen Standards konkretisieren die Einstufung und Meldung schwerwiegender IKT-bezogener Vorfälle nach DORA. Da sich Kriterien, Fristen, Meldeinhalte und Verfahren von NIS-2 unterscheiden, müssen die Meldeprozesse auf die jeweils geltenden Vorgaben abgestimmt sein.

Auch für den Umgang mit externen Dienstleistern gelten unterschiedliche Vorgaben. Nach NIS-2 müssen Unternehmen die Cybersicherheitsrisiken berücksichtigen, die sich aus den Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern ergeben. DORA regelt das Management von IKT-Drittdienstleistern deutlich detaillierter. Die Verordnung enthält unter anderem Vorgaben für Vertragsinhalte, Konzentrationsrisiken, Ausstiegsstrategien und das Informationsregister. Als kritisch eingestufte IKT-Drittdienstleister unterliegen zudem einer unmittelbaren europäischen Überwachung.

Weitere Unterschiede bestehen bei Resilienztests. DORA verlangt für die erfassten Finanzunternehmen ein risikobasiertes Testprogramm und sieht für bestimmte Unternehmen bedrohungsorientierte Penetrationstests vor. NIS-2 fordert zwar eine Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen, enthält aber kein entsprechendes sektorspezifisches Testregime.

Um DORA und NIS-2 effizient umzusetzen, sollten Unternehmen zunächst für jede Gesellschaft klären, welche Vorgaben gelten, und diese anschließend systematisch miteinander abgleichen. Auf dieser Grundlage lässt sich beurteilen, welche bestehenden Prozesse und Kontrollen mehrfach genutzt werden können und wo getrennte Vorgehensweisen notwendig sind.

1. Anwendungsbereich bestimmen

Prüfen Sie zunächst für jede Gesellschaft und ihre Tätigkeiten, ob DORA oder das nationale NIS-2-Recht gilt. Klären Sie dabei auch, ob Ausnahmen greifen oder DORA als sektorspezifische Regelung Vorrang vor einzelnen NIS-2-Bestimmungen hat.

2. DORA NIS2 Compliance Mapping erstellen

Ordnen Sie die Anforderungen beider Regelwerke thematisch ein und kennzeichnen Sie Überschneidungen. Ein solches DORA NIS2 Compliance Mapping zeigt, welche bestehenden Prozesse Anforderungen aus beiden Regelwerken unterstützen können und welche Pflichten getrennt zu bearbeiten sind.

3. Bestehende Strukturen bewerten

Prüfen Sie, inwieweit vorhandene Strukturen aus Informationssicherheitsmanagement, Business Continuity Management, IKT-Risikomanagement, Vorfallmanagement und Lieferantensteuerung bereits relevante Anforderungen abdecken. Eine DORA Requirements Checklist oder ein NIS-2-Anforderungskatalog kann die Bestandsaufnahme unterstützen, ersetzt aber keine fachliche Bewertung.

4. Gemeinsame Kontrollen eindeutig zuordnen

Evaluieren Sie, welche bestehenden Kontrollen Anforderungen aus DORA oder NIS-2 bereits abdecken. Halten Sie fest, für welche Gesellschaft und welches Regelwerk die jeweilige Kontrolle relevant ist. So wird deutlich, wo sie mehrfach genutzt werden kann und wo Anpassungen oder zusätzliche Kontrollen erforderlich sind.

5. Meldewege festlegen

Definieren Sie für jede Gesellschaft die geltenden Kriterien, Fristen, Zuständigkeiten und Meldewege. Dadurch ist im Ereignisfall eindeutig geregelt, wie ein Vorfall einzustufen und welches Meldeverfahren anzuwenden ist.

6. Mapping aktuell halten

Neue Systeme, Dienstleister, Geschäftsprozesse oder regulatorische Vorgaben können verändern, welche Anforderungen für eine Gesellschaft gelten und wie ihre Risiken zu bewerten sind. Überprüfen und aktualisieren Sie deshalb regelmäßig das DORA NIS2 Compliance Mapping. So erkennen Sie, ob bestehende Prozesse und Kontrollen weiterhin ausreichen oder angepasst werden müssen.

DORA und NIS-2 stärken den Umgang mit digitalen Risiken, richten sich jedoch an unterschiedliche Unternehmen und setzen eigene regulatorische Schwerpunkte. Besonders in Unternehmensgruppen muss deshalb für jede Gesellschaft geprüft werden, welche Vorgaben gelten und welche Pflichten daraus folgen.

Gleichzeitig betreffen beide Regelwerke ähnliche Themen, etwa das Risikomanagement, die Behandlung von Vorfällen oder den Umgang mit externen Dienstleistern. Werden Prozesse, Risiken, Kontrollen, Dienstleister und Nachweise miteinander verknüpft, lassen sich Daten mehrfach heranziehen, Änderungen leichter nachvollziehen und deren Auswirkungen schneller erkennen.

Eine solche Betrachtung schafft Klarheit über Verantwortlichkeiten und Handlungsbedarf. Sie hilft dabei, Pflichten eindeutig zuzuordnen, Doppelarbeit zu vermeiden und Synergien auszuschöpfen. So können die jeweils geltenden Vorgaben effizient und nachvollziehbar erfüllt werden.