NIS2 vs. DORA
NIS2 vs. DORA: zwei EU-Gesetze zur Cyber-Resilienz mit unterschiedlichen Adressaten. DORA deckt den Finanzsektor detailliert ab, NIS2 viele andere Branchen.
NIS2 vs. DORA entscheidet sich nach Branche. DORA, die Digital Operational Resilience Act, ist eine Verordnung für Finanzunternehmen und die ICT-Anbieter, von denen sie abhängen, und gilt seit dem 17.
Für Finanzunternehmen ist DORA die spezifische Regel und hat Vorrang vor NIS2, wo sie sich überschneiden. Andere betroffene Unternehmen folgen NIS2. Ein Unternehmen kann auch indirekt betroffen sein, zum Beispiel als IT-Zulieferer einer Bank.
Direkter Vergleich
| Funktion | NIS2 | DORA |
|---|---|---|
| Vollständiger Name | Richtlinie (EU) 2022/2555 über Netz- und Informationssicherheit | Verordnung (EU) 2022/2554 über die digitale operationale Resilienz |
| Rechtsform | Richtlinie, erfordert nationale Gesetze, Details variieren je nach Land | Verordnung, gilt direkt in allen Mitgliedstaaten |
| Wen es abdeckt | Wesentliche und wichtige Einrichtungen in vielen Sektoren | Banken, Versicherer, Investmentfirmen, Zahlungs- und Krypto-Anbieter und andere Finanzunternehmen sowie kritische IKT-Anbieter |
| Gilt ab | Mitgliedstaaten mussten bis 17. Oktober 2024 umsetzen, nationale Fristen variieren | 17. Januar 2025 |
| IKT-Risikomanagement | Erforderlich, auf allgemeiner Ebene festgelegt | Erforderlich, mit detaillierteren und verbindlicheren Regeln |
| Meldung von Vorfällen | Frühwarnung, Meldung und Abschlussbericht an die nationalen Behörden | Meldung schwerer Vorfälle an die Finanzaufsicht |
| Resilienztests | Als Teil des Risikomanagements erwartet | Definiertes Testprogramm, fortgeschrittenes bedrohungsbasiertes Testen für bedeutende Einrichtungen |
| Drittanbieterrisiko | Maßnahmen zur Lieferkettensicherheit | Detaillierte Vertrags- und Registerregeln für IKT-Anbieter |
| Strafen | Bis zu 10 Millionen Euro oder 2 % des Umsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4 % für wichtige Einrichtungen | Von nationalen Aufsichtsbehörden und Behörden festgelegt, prüfen Sie Ihre Regulierungsstelle |
Worin jede Lösung stark ist
NIS2
- Breite Abdeckung über kritische und wichtige Sektoren
- Flexible, risikobasierte Anforderungen
- Umfasst Lieferkette und Managementpflichten
- Hebt den Standard für viele mittelständische Unternehmen
- Nationale Gesetze unterscheiden sich zwischen Ländern
- Weniger detailliert als DORA bei Tests und Anbietern
- Der Umfang ist ohne Beratung schwer einzuschätzen
DORA
- Eine direkt geltende Regel in der gesamten EU
- Detaillierte Anforderungen an ICT-Risiko und Tests
- Klare Regeln für die Auslagerung an ICT-Anbieter
- Hat Vorrang vor NIS2 für Finanzunternehmen
- Umfangreiche Dokumentations- und Vertragsarbeit
- Nur für den Finanzsektor und seine IKT-Anbieter
- Lieferanten können über Kundenverträge eingebunden werden
NIS2 prüfen, wenn
- Sie arbeiten in Energie, Verkehr, Gesundheit, digitaler Infrastruktur, Produktion oder einem anderen betroffenen Sektor
- Sie sind ein Managed-Service-, Cloud- oder Rechenzentrumsanbieter
- Sie sind ein mittleres oder großes Unternehmen in einem gelisteten Sektor
- Ein Kunde verlangt von Ihnen Sicherheit auf NIS2-Niveau
- Sie müssen prüfen, was das nationale Recht Ihres Landes verlangt
DORA prüfen, wenn
- Sie sind eine Bank, ein Versicherer, ein Investmentunternehmen, ein Zahlungs- oder Kryptoanbieter oder ein ähnliches Finanzunternehmen
- Sie erbringen ICT-Dienste für Finanzunternehmen
- Ein Finanzkunde ändert Ihren Vertrag wegen DORA
- Sie müssen ein Verzeichnis Ihrer ICT-Drittanbieter führen
- Ihre Aufsichtsbehörde fragt nach Resilienztests
Häufige Fragen
Gelten NIS2 oder DORA für mein Unternehmen?
Finanzunternehmen fallen unter DORA, und andere Unternehmen in gelisteten Sektoren und oberhalb der Größenkriterien fallen unter NIS2. Prüfen Sie den Text und Ihr nationales Recht oder fragen Sie einen Rechtsberater.
Was ist der Hauptunterschied zwischen NIS2 und DORA?
NIS2 ist eine Richtlinie, die viele Sektoren allgemein abdeckt. DORA ist eine Verordnung für den Finanzbereich mit detaillierteren Regeln.
Müssen Finanzunternehmen auch NIS2 befolgen?
DORA ist die branchenspezifische Regel und hat Vorrang, wo sich beide überschneiden. Einige NIS2-Pflichten können weiterhin relevant sein, klären Sie das mit Ihrer Aufsichtsbehörde.
Seit wann gilt DORA?
17. Januar 2025. NIS2 musste bis zum 17.
Mehr zu Vergleiche
Nicht sicher, wie sich das auf Sie bezieht?
Ein Senior Engineer geht Ihre Website, Ihre Sichtbarkeit in der Suche und den Weg Ihrer Anfragen durch und notiert die drei Dinge, die sich zuerst zu beheben lohnen. Das Dokument gehört Ihnen so oder so.