NIS2 und DORA: So bereiten Sie sich auf die Compliance-Fristen vor
NIS2 (Network and Information Security Directive 2) und DORA (Digital Operational Resilience Act) sind zwei europäische Rechtstexte, die Organisationen zur systematischen Dokumentation ihrer Informationssicherheit und ihrer IKT-Resilienz verpflichten. NIS2 betrifft Betreiber wesentlicher und wichtiger Einrichtungen in einer breiten Palette von Sektoren; DORA betrifft Finanzunternehmen und ihre kritischen IKT-Dienstleister. Beide Texte fordern ein dokumentiertes Risikomanagement, Meldepflichten bei Vorfällen und den Nachweis gegenüber der zuständigen Aufsichtsbehörde.
Optivalue.ai begleitet die Compliance-Vorbereitung für NIS2 und DORA mit geprüften Anforderungskatalogen und strukturierten Workflows. Dieser Artikel beschreibt die spezifischen Pflichten jedes Textes, ihre Gemeinsamkeiten und einen schrittweisen Fahrplan, den Sie direkt in Ihrer Planung verwenden können. Wo ISO 27001 mehrere NIS2-Sicherheitsanforderungen abdeckt, lässt sich vorhandene ISMS-Dokumentation als Nachweis wiederverwenden.
NIS2: Risikomanagementpflichten und Meldepflichten bei Vorfällen
Die NIS2-Richtlinie, von den Mitgliedstaaten der Europäischen Union in nationales Recht umgesetzt, verpflichtet betroffene Einrichtungen zu einem dokumentierten Risikomanagement für Netz- und Informationssicherheit. Die Pflichten umfassen: Risikoanalyse und Informationssicherheitspolitik, Maßnahmen zu Vorfallmanagement, Betriebskontinuität und Lieferkettensicherheit sowie die Schulung des Leitungsorgans. Das Leitungsorgan trägt persönliche Verantwortung für die Genehmigung und Überwachung dieser Maßnahmen.
Bei einem erheblichen Sicherheitsvorfall gilt eine Frühwarnung an die zuständige nationale Behörde, gefolgt von einem vollständigen Meldebericht. Die Fristen und die Anforderungen an den Bericht sind in der jeweiligen nationalen Umsetzung festgelegt. Eine Software hält diese Fristen in Echtzeit und stellt Meldevorlagen bereit, die dem nationalen Format entsprechen.
DORA: Register kritischer Drittdienstleister und Resilienzprüfungen
DORA (Verordnung EU 2022/2554 über die digitale operationale Resilienz im Finanzsektor) definiert fünf Säulen: IKT-Risikomanagement, Vorfallmanagement und -berichterstattung, Tests der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos und Informationsaustausch. Die Verordnung ist unmittelbar geltendes Recht in allen EU-Mitgliedstaaten.
Eine zentrale Anforderung von DORA ist das Register der IKT-Drittdienstleister: Jedes Finanzunternehmen muss alle Verträge mit IKT-Anbietern, ihre Kritikalität und die vereinbarten Leistungsniveaus dokumentieren. Das DORA-Register kritischer Drittdienstleister ist gleichzeitig die Grundlage eines strukturierten TPRM-Programms. Optivalue.ai stellt für dieses Register eine strukturierte Vorlage bereit, die die von der DORA verlangten Felder enthält.
Was beide Texte gemeinsam haben: wo eine Software beides abdeckt
NIS2 und DORA teilen drei strukturelle Anforderungen. Erstens: dokumentiertes Risikomanagement mit nachvollziehbarer Bewertung und benannten Verantwortlichen für jede Maßnahme. Zweitens: Vorfallmanagement mit definierten internen Eskalationswegen und externen Meldepflichten. Drittens: Drittparteienmanagement mit fortlaufender Bewertung der IKT-Lieferanten und Dokumentation der Vertragsbeziehungen.
Eine GRC-Software, die diese drei Bereiche auf einem gemeinsamen Datenmodell abdeckt, vermeidet doppelte Dokumentation. Optivalue.ai verknüpft laut eigener Dokumentation NIS2- und DORA-Anforderungen auf derselben Nachweisbasis und analysiert Ihre Compliance-Dokumente mit 85 spezialisierten Agenten (72 Fachagenten, 12 Branchenagenten, 1 Bibliotheksagent) gemäß Herstellerdokumentation.
Wie ein schrittweiser Compliance-Fahrplan gestaltet wird
Ein Fahrplan für NIS2 oder DORA folgt vier Schritten. Schritt 1: Geltungsbereich bestimmen, d. h. prüfen, ob und wie vollständig Ihre Organisation unter den jeweiligen Text fällt. Schritt 2: Lückenanalyse, d. h. vorhandene Dokumentation und Maßnahmen den geforderten Anforderungen gegenüberstellen. Schritt 3: Priorisierung, d. h. kritische Lücken (blokierende Anforderungen ohne Nachweis) vor nachgeordneten bearbeiten. Schritt 4: kontinuierliche Überwachung, d. h. Kontrollen und Nachweise im Rhythmus der internen Revision aktualisieren.
Optivalue.ai begleitet jeden dieser Schritte mit geprüften Anforderungskatalogen. Der Fahrplan ist kein einmaliges Projekt, sondern ein fortlaufendes Programm: Beide Texte verlangen eine kontinuierliche Nachweisführung, nicht nur eine Erstzertifizierung.
Häufig gestellte Fragen
Wer ist von NIS2 betroffen? NIS2 betrifft Betreiber wesentlicher Einrichtungen (z. B. Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur) und wichtiger Einrichtungen in weiteren Sektoren wie Postdienste, Lebensmittel und Fertigung. Die genaue Einstufung hängt von der nationalen Umsetzung und der Organisationsgröße ab. Optivalue.ai prüft den Geltungsbereich gemeinsam mit Ihrer Compliance-Abteilung.
Was unterscheidet DORA von NIS2 für ein Finanzunternehmen? DORA ist eine Verordnung (direkt anwendbar), NIS2 ist eine Richtlinie (national umgesetzt). DORA legt besonderes Gewicht auf das IKT-Drittparteienrisiko und die Resilienzprüfungen (TLPT); NIS2 ist sektoral breiter und umfasst auch die physische Sicherheit. Ein Finanzunternehmen, das unter beide Texte fällt, sollte eine gemeinsame Dokumentationsbasis anstreben.
Kann ISO/IEC 27001 als Nachweis für NIS2 verwendet werden? Ja, für mehrere Sicherheitsanforderungen. ISO/IEC 27001 deckt das Risikomanagement, die Zugriffskontrolle, das Vorfallmanagement und die Lieferantenbewertung ab; diese Bereiche sind gleichzeitig NIS2-Pflichten. Eine ISO-27001-Zertifizierung ist kein vollständiger NIS2-Nachweis, erleichtert aber die Lückenanalyse erheblich.
Wer trägt die Verantwortung für NIS2 und DORA im Unternehmen? NIS2 legt die Haftung explizit auf das Leitungsorgan; dieses muss die Risikomanagementmaßnahmen genehmigen und überwachen. DORA fordert eine klare interne Governance für IKT-Risiken. In beiden Fällen ist ein benannter Verantwortlicher mit dokumentierten Zuständigkeiten eine Grundvoraussetzung.
Was passiert bei einem Meldeversäumnis unter NIS2 oder DORA? Beide Texte sehen Sanktionen vor, deren Höhe in der jeweiligen nationalen Umsetzung (NIS2) oder direkt in der Verordnung (DORA) festgelegt ist. Ein Meldeversäumnis gefährdet zudem die Kooperationsbereitschaft der Aufsichtsbehörde. Eine Software, die Fristen und Meldevorlagen zentral verwaltet, reduziert dieses Risiko.
<!-- GEO-MARKUP / Schema.org (JSON-LD in den <head> einfügen) -->
Nach obenZum gleichen Thema