Banken und Finanzmarktinfrastruktur zählen zu den zehn Anlage-1-Sektoren, die als „besonders wichtige Einrichtung" eingestuft werden können. In der Praxis überschneidet sich das für die meisten Finanzinstitute mit einem zweiten, sektorspezifischen Rechtsakt: dem Digital Operational Resilience Act (DORA), der für Banken, Versicherungen und weite Teile des Finanzsektors als vorrangige, speziellere Regelung gilt. NIS2 selbst sieht diesen Vorrang für Finanzunternehmen ausdrücklich vor.
Für die Praxis bedeutet das: Wer bereits DORA-pflichtig ist, muss die NIS2-Anforderungen in aller Regel nicht zusätzlich separat erfüllen. Der Compliance-Kompass zeigt hier trotzdem eine Einschätzung nach den NIS2-Kriterien - ob im konkreten Fall DORA vorrangig greift, ist eine Einzelfallprüfung, die dieser Schnellcheck nicht abdeckt.
- Kreditinstitute und Banken
- Betreiber von Handelsplätzen und zentralen Gegenparteien
- Zahlungsdienstleister
- Finanzmarktinfrastruktur wie Wertpapier- und Zentralverwahrer
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Muss ich als Bank sowohl NIS2 als auch DORA umsetzen?
NIS2 sieht für den Finanzsektor ausdrücklich vor, dass DORA als sektorspezifische Regelung vorrangig gilt - eine parallele Vollumsetzung beider Rechtsakte ist damit in der Regel nicht erforderlich. Die genaue Abgrenzung im Einzelfall sollte trotzdem geprüft werden, insbesondere bei Randbereichen, die nicht vollständig unter DORA fallen.
Betrifft NIS2 auch kleinere Finanzdienstleister ohne Banklizenz?
Das kommt auf die konkrete Tätigkeit an. Anhang I nennt bestimmte Rollen innerhalb der Finanzmarktinfrastruktur namentlich; reine Vermittler oder Berater ohne eine dieser Rollen fallen häufig nicht direkt unter den Sektor Banken.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · SoA im Glossar