DORA vs. NIS2: Unterschiede, Überschneidungen und Anforderungen

Was ist der Unterschied zwischen DORA und NIS2?

Der Hauptunterschied liegt im Anwendungsbereich und im rechtlichen Vorrang: NIS2 ist eine EU-Richtlinie für Cybersicherheit in 18 kritischen und wichtigen Sektoren, von Energie über Gesundheit bis zu digitalen Diensten. DORA ist eine EU-Verordnung, die ausschließlich für den Finanzsektor und dessen IKT-Dienstleister gilt. Für Finanzunternehmen ist DORA die speziellere Regelung und geht den Cybersicherheitsvorgaben von NIS2 vor.

Mit dem Digital Operational Resilience Act (DORA) (Verordnung (EU) 2022/2554) und der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) hat die EU ihre Vorgaben für digitale Sicherheit deutlich verschärft. DORA gilt seit dem 17. Januar 2025 unmittelbar. NIS2 musste in nationales Recht umgesetzt werden – in Deutschland durch das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz neu fasst.

Für Compliance-Verantwortliche, CISOs und Geschäftsführungen stellen sich deshalb drei Fragen: Gilt für unser Unternehmen DORA, NIS2 oder beides? Wo überschneiden sich die Anforderungen? Und welches Regelwerk ist strenger?

Welche Regel hat Vorrang: DORA oder NIS2?

Das Verhältnis von DORA und NIS2 folgt dem Grundsatz lex specialis derogat legi generali: Die speziellere Regelung geht der allgemeinen vor.

• NIS2 ist das allgemeine Rahmenwerk: Es setzt Mindeststandards für Cybersicherheit in vielen Branchen, von Energie und Verkehr bis zu Chemie und Postdiensten.
• DORA ist die Spezialregelung: Art. 1 Abs. 2 DORA in Verbindung mit Art. 4 NIS2 stellt klar, dass DORA für Finanzunternehmen als sektorspezifischer Rechtsakt gilt.

Was das für Finanzunternehmen bedeutet: Banken, Versicherungen, Zahlungsinstitute und FinTechs setzen in erster Linie DORA um. Die Vorgaben von NIS2 zu Risikomanagement und Meldepflichten werden für sie durch DORA verdrängt. Das deutsche BSI-Gesetz nimmt DORA-Unternehmen deshalb von den entsprechenden Pflichten aus.

DORA und NIS2 im direkten Vergleich

Die Tabelle zeigt die wichtigsten Unterschiede der beiden Regelwerke:

Welche Unternehmen fallen unter welches Regelwerk?

Für die Einordnung helfen drei Gruppen:

1. DORA-pflichtige Finanzunternehmen

Alle Unternehmen nach Art. 2 DORA, etwa Kreditinstitute, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Krypto-Dienstleister (CASPs), Fondsverwalter sowie Versicherungs- und Rückversicherungsunternehmen. Details liest du in unserem Artikel Wer ist verpflichtet zur DORA-Compliance?

2. NIS2-pflichtige Unternehmen

Unternehmen aus den 18 NIS2-Sektoren außerhalb des Finanzbereichs, die die Schwellenwerte erreichen: in der Regel mindestens 50 Mitarbeitende oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Beispiele sind Maschinenbauer, Lebensmittelhersteller, Stadtwerke, Chemieunternehmen oder Postdienste.

3. Sonderfall: IKT-Dienstleister und Konzerne

Ein Software- oder Cloud-Anbieter, der Banken und zugleich Krankenhäuser oder Energieversorger beliefert, bewegt sich an der Schnittstelle:

• Gegenüber Finanzkunden muss er die vertraglichen Anforderungen nach Art. 30 DORA erfüllen, etwa Audit-Rechte, Service-Level und Ausstiegsregelungen.
• Für die eigene Organisation kann er selbst unter NIS2 fallen, etwa als Cloud-Anbieter oder Managed Service Provider, sofern er die Schwellenwerte erreicht.

Wo überschneiden sich DORA und NIS2?

DORA ist detaillierter, doch beide Regelwerke beruhen auf denselben Grundprinzipien. In der Praxis setzen beide ein funktionierendes Informationssicherheits-Managementsystem (ISMS) voraus. Die wichtigsten Überschneidungen:

1. Verantwortung der Geschäftsleitung: DORA (Art. 5) und NIS2 (Art. 20) nehmen die Geschäftsleitung direkt in die Pflicht. Sie muss Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Mehr dazu in unserem Artikel zur NIS2-Haftung der Geschäftsführung.
2. Sicherheit in der Lieferkette: Beide Regelwerke verlangen, die Risiken von Dienstleistern und Software-Lieferanten systematisch zu bewerten und vertraglich abzusichern.
3. Meldung von Sicherheitsvorfällen: Beide sehen mehrstufige Meldeverfahren an die zuständige Behörde vor.
4. Notfallmanagement: Krisenmanagement, Backups und Wiederherstellungspläne sind in beiden Regelwerken Pflicht.

Lassen sich DORA und NIS2 gemeinsam umsetzen?

Ja. Wenn dein Unternehmen oder deine Unternehmensgruppe von beiden Regelwerken betroffen ist, solltest du keine zwei getrennten Programme aufbauen. Ein gemeinsames ISMS – etwa nach ISO 27001 oder BSI IT-Grundschutz – deckt einen großen Teil der Anforderungen beider Regelwerke ab.

So gehst du vor:

1. Gemeinsame Basis schaffen: Richtlinien, Risikomanagement, Asset-Management und Notfallpläne einmal für die ganze Organisation aufbauen.
2. Spezifische Module ergänzen: für den Finanzbereich das DORA-Informationsregister, die DORA-Meldefristen und die Vertragsinhalte nach Art. 30; für NIS2 die Registrierung und Meldungen beim BSI.
3. Dienstleister einheitlich steuern: Ein zentrales Vendor Risk Management erfüllt die Lieferkettenanforderungen beider Regelwerke.

Welches Regelwerk ist strenger?

Insgesamt ist DORA deutlich detaillierter und strenger als NIS2.

• DORA schreibt kürzere Meldefristen vor (Erstmeldung binnen 4 Stunden nach Einstufung), detaillierte Vertragsinhalte für IKT-Dienstleister (Art. 30), ein Informationsregister und für ausgewählte Unternehmen bedrohungsorientierte Penetrationstests nach dem TIBER-EU-Rahmenwerk. Die Einhaltung prüft die Finanzaufsicht.
• NIS2 lässt den Mitgliedstaaten mehr Spielraum bei der Umsetzung und arbeitet stärker mit allgemeinen Risikomanagement-Grundsätzen.

Fazit: Klare Zuständigkeiten, gemeinsame Basis

Der Vergleich zeigt: Finanzunternehmen orientieren sich vorrangig an DORA, alle anderen Unternehmen in den 18 Sektoren an NIS2. IKT-Dienstleister und branchenübergreifende Konzerne können von beiden betroffen sein. Für sie lohnt sich ein gemeinsames ISMS mit spezifischen Modulen für DORA und NIS2.

Mit heyData setzt du NIS2 und DORA auf einer gemeinsamen Grundlage um: mit vorgefertigten Richtlinien, geführter Risikoanalyse und strukturiertem Dienstleister-Management.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo