Die beiden europäischen Rechtsakte DORA und NIS2 sollen die Cybersicherheit im Finanzsektor der EU stärken. Doch das Nebeneinander von zwei Regularien könnte auch zu unnötig viel Bürokratie führen. Besser wäre es, die Auditverfahren zu harmonisieren und Zuständigkeiten zusammenzuführen.
Ein Beitrag von Ingolf Rauh, Head of Product and Innovation Management bei Swisscom Trust Services
Cyberangriffe sind für Unternehmen aller Branchen eine elementare Gefahr. Im selben Takt der wachsenden Bedrohungslage erlässt die EU neue Verordnungen, Richtlinien und Regularien. Für die Finanzwelt spannend sind aktuell vor allem NIS2 und DORA. Zwar helfen solche Vorgaben, die Resilienz zu stärken, allerdings erhoffen sich betroffene Parteien, wie Banken und ihre Software-Zulieferer häufig mehr gegenseitige Absprachen zwischen den Parteien, die die verschiedenen Gesetze und Richtlinien ausarbeiten, beziehungsweise mehr Abstimmung zwischen den einzelnen Mitgliedsstaaten der europäischen Union.
Was unterscheidet die Rechtsvorschriften?
NIS2 (Network and Information Security 2) soll die Cybersecurity-Anforderungen für viele Bereiche der Grundversorgung und lebenswichtigen Infrastrukturen der EU harmonisieren. Sie stellt grobe Anforderungen, hohe Strafen bis auf Geschäftsleitungsebene, Meldungswege und Einrichtungen für die Cybersecurity in den Vordergrund. Sie ist eine Richtlinie, die bis Oktober 2024 in nationales Recht umzusetzen ist. Jedes Land der EU kann diese Umsetzung allerdings anders realisieren, was multinationalen Unternehmen wie Banken häufig Probleme bereitet. Auch die Wettbewerbssituation kann dadurch in den verschiedenen EU-Ländern verzerrt werden.
DORA (Digital Operational Resiliance Act) ist eine Verordnung, das heißt ein direkt gültiges, europäisches Gesetz und tritt 2025 in den Mitgliedsstaaten unmittelbar und unverändert in Kraft. Stellt NIS2 noch das Risikomanagement in den Vordergrund, konzentriert sich DORA mehr auf die Betriebsstabilität im Finanzsektor, sodass diese einem Cyberangriff standhalten kann und Finanzdienstleistungen weiter verfügbar sind. Die Ausgestaltung von Strafen wird hierbei den nationalen Behörden überlassen.
Beide Rechtsvorschriften setzen einen besonderen Schwerpunkt auf die Supply Chain. Software-Zulieferer müssen eng in das Riskmanagement und in die Betrachtung der Betriebsstabilität einbezogen werden. DORA legt hierbei Wert auf Pen-Tests und Sicherheitsüberprüfungen (alle drei Jahre), NIS2 erfordert zumindest in Deutschland alle zwei Jahre ein Sicherheitsaudit.
Zu viele Zuständigkeiten
Schwierig wird es dann wieder bei den Zuständigkeiten: Für NIS2 entfällt die Prüfkompetenz in Deutschland auf das BSI beziehungsweise die BaFin. Artikel 46 von DORA enthält eine ganze Reihe von Behörden, die darüber hinaus die Einhaltung der Regularien garantieren sollen – bestenfalls die EZB beziehungsweise auch die BaFin.
Für den Bereich der Vertrauensdienste erarbeitet das Europäische Institut für Telekommunikationsnormen (European Telecommunications Standards Institute; ETSI) gerade Anforderungen, die auch NIS2 mit beinhalten, sodass bestenfalls das Auditschema und auch die Meldekette eines Vertrauensdienstes dieselben bleiben könnte. Ein ähnliches Vorgehen wäre auch im Finanzsektor wünschenswert.
Nichts verlangsamt die Maßnahmen gegen eine Cyberbedrohung mehr, als wenn Vorfälle im Dickicht der unterschiedlichen behördlichen Zuständigkeiten untergehen und Unternehmen ganze Meldeorganisationen aufrechterhalten müssen, um im Fall der Fälle aktiv zu werden. Die damit einhergehenden erhöhten Kosten für die geforderte Cyber-Resilienz werden Finanzinstitute und andere NIS2-Betroffene letztlich an ihre Kunden weitergeben müssen. Eine Zusammenführung und Vereinfachung der Zuständigkeiten und Harmonisierung der Audits beziehungsweise Zertifizierungen wäre also auch im Interesse der Verbraucher.
Themen:
LESEN SIE AUCH
NIS-2-Richtlinie: Unternehmen sollten jetzt aktiv werden
Auch 2023 fehlt es noch flächendeckend am richtigen Cyber-Sicherheitsbewusstsein in Unternehmen und entsprechender Resilienz. Die NIS-2-Richtline soll dem Abhilfe schaffen. Besonderes Augenmerk wird dabei auf das Risikomanagement und das Cyber-Notfallmanagement gelegt.
Relyens und Cynerio – neue Cybersicherheitslösung für den europäischen Gesundheitsmarkt
Die Partnerschaft von Relyens und Cynerio zielt darauf ab, einen unübertroffenen Schutz vor Cyberbedrohungen und Schwachstellen zu bieten und so die Kontinuität der Pflege zu gewährleisten sowie die Sicherheit und Privatsphäre der Patienten zu schützen.
Grenzüberschreitende Cyber-Koordinierungsübung der G7-Finanzexperten im Finanzsektor
Die zuständigen Behörden der G7-Staaten führen regelmäßig Übungen durch, um sicherzustellen, dass sie ihre Reaktion auf einen weitreichenden Cybervorfall im Finanzsystem wirksam koordinieren und kommunizieren können.
Ransomware im Finanzsektor: DORA-Verordnung als Chance für Unternehmen
DORA definiert spezifische Anforderungen an das Risikomanagement von Finanzdienstleistern und enthält gesetzliche Regelungen zu zentralen Bereichen, wie der präzisen Meldung von IKT-Vorfällen und dem Risikomanagement durch Dritte.
Unsere Themen im Überblick
Themenwelt
Wirtschaft
Management
Recht
Finanzen
Assekuranz
BFH-Urteil zum freiwilligen Wehrdienst: Wann Kindergeld trotz Soldatendienst gezahlt wird
Der Bundesfinanzhof schafft Klarheit: Ein freiwilliger Wehrdienst allein begründet keinen Anspruch – doch wer ausbildungswillig ist und keinen Platz findet, kann profitieren. Was das Urteil für Familien bedeutet.
Geldanlage: Sicherheit vor Rendite – aber mit wachsender Risikobereitschaft
Für die meisten Deutschen steht Sicherheit bei der Geldanlage weiterhin an erster Stelle. Das zeigt eine aktuelle repräsentative forsa-Umfrage im Auftrag der BarmeniaGothaer. Während klassische Sparformen dominieren, gewinnt das Interesse an renditestärkeren Alternativen wie Fonds und Aktien langsam an Bedeutung.
Insolvenzverfahren der P&R-Gruppe: Über 666 Millionen Euro an Gläubiger verteilt
In den Insolvenzverfahren der vier deutschen P&R-Containerverwaltungsgesellschaften wurde nunmehr die vierte Abschlagsverteilung vorgenommen. Insgesamt rund 122 Millionen Euro wurden an mehr als 54.000 Gläubiger ausgezahlt.

Steuerbonus aus der Nebenkostenabrechnung
Versteckte Steuerersparnis in der Betriebskostenabrechnung: Wer haushaltsnahe Dienstleistungen und Handwerkerleistungen gezielt nutzt, kann jährlich mehrere hundert Euro direkt von der Steuer abziehen. Was § 35a EStG erlaubt, wie man eine Bescheinigung bei der Hausverwaltung anfordert – und worauf Mieter und Eigentümer jetzt achten sollten.