Ihr Sektor bestimmt, welches Gesetz gilt, nicht Ihre Größe
Ob NIS2 oder DORA für Ihre Organisation gilt, hängt von dem Sektor ab, in dem Sie tätig sind, nicht von der Anzahl Ihrer Mitarbeiter oder der Höhe Ihres Umsatzes. DORA, die Verordnung über die digitale Betriebssicherheit, ist die Europäische Verordnung speziell für den Finanzsektor: Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und eine Reihe von Parteien, die IT-Dienste für diese Institute erbringen. NIS2 richtet sich an alle anderen Sektoren, die die Richtlinie in Anlage I und II aufzählt, von Energie und Verkehr bis zu digitaler Infrastruktur und Abwasser. Ein Finanzinstitut, das unter DORA fällt, fällt damit nicht auch noch unter NIS2 für dieselben Aktivitäten.
Der Grund, warum diese Frage häufig gestellt wird, ist, dass beide Regelungen sich ähneln: Beide verpflichten zu Risikomanagement, Vorfallsmeldung und Aufmerksamkeit für Lieferanten. Wer den Text einer der beiden gelesen hat, erkennt fast automatisch die Struktur der anderen. Dies macht es besonders wichtig, zunächst festzustellen, in welchen der beiden Regelungsrahmen Ihre Organisation fällt, bevor Sie Zeit in die Umsetzung investieren.
Was DORA regelt und für wen
DORA wurde speziell für den Finanzsektor geschrieben, weil dieser Sektor bereits unter strenger Aufsicht steht, mit eigenständigen Aufsichtsbehörden wie der DNB und der AFM in den Niederlanden. Die Verordnung zählt eine Reihe von Entitäten auf: Kreditinstitute, Zahlungsinstitute, Geldinstitute, Wertpapierfirmen, Versicherer und Rückversicherer sowie Pensionsfonds, zuzüglich der kritischen IKT-Drittparteien, die diese Institute bedienen, wie große Cloud-Anbieter. Für diese Parteien ersetzt DORA den breiten Sorgfaltsplichtenrahmen von NIS2 durch eine Regelung, die auf Finanzrisiken und die bereits bestehende Aufsicht zugeschnitten ist.
Was NIS2 regelt und für wen
NIS2 deckt die Sektoren ab, die in der Richtlinie selbst aufgeführt sind: Energie, Verkehr, Trinkwasser, digitale Infrastruktur, Gesundheitswesen und eine Reihe weiterer, die in Anlage I als wesentlich und in Anlage II als wichtig gekennzeichnet sind. Ein Installationsbetrieb, ein Softwarelieferant oder ein Logistikdienstleister, der nicht im Finanzsektor tätig ist, schaut also auf diese Liste und nicht auf DORA. in wenigen Fragen sehen, ob Ihr Sektor auf dieser Liste steht gibt Ihnen schnell einen ersten Hinweis, ohne dass Sie den vollständigen Richtlinientext durchsuchen müssen.
Grenzfälle: wenn nicht sofort klar ist
Die meisten Organisationen sehen innerhalb einer Minute, in welches Lager sie gehören. Schwieriger wird es bei Zwischenformen: ein Versicherungsmakler, ein Factoring-Unternehmen, ein Fintech, das Zahlungsdienste anbietet, ohne selbst ein lizenziertes Zahlungsinstitut zu sein, oder ein IT-Lieferant, der sowohl Banken als auch nicht-finanzielle Kunden bedient. In solchen Fällen bestimmt der genaue rechtliche Status der Entität, und nicht die Branche, in der sie sich heimisch fühlt, unter welche Regelung sie fällt. Aufsichtsbehörden veröffentlichen dazu eigene Erläuterungen, und für eine konkrete Situation ist das der richtige Ansprechpartner, zusammen mit einem Rechtsanwalt, der die Definitionen aus beiden Texten neben Ihre tatsächlichen Aktivitäten legen kann.
Eine zweite Komplikation entsteht bei Gruppen: ein Mutterunternehmen, das als Finanzinstitut unter DORA fällt, kann eine Tochtergesellschaft haben, die eine ganz andere Aktivität ausübt und dadurch unabhängig davon gegen die NIS2-Kriterien geprüft wird. Beide Regelungen blicken auf die Entität, die die Dienstleistung erbringt, nicht automatisch auf das Konzern als Ganzes.
Die Kettenlogik gilt auf beiden Seiten
Was die beiden Rahmen gemeinsam haben, ist, dass sie über die unmittelbar verpflichteten Parteien hinausgehen. Genauso wie eine NIS2-verpflichtete Organisation ihre Lieferanten bewerten muss, verpflichtet DORA Finanzinstitute, ihre IKT-Dienstleister zu überprüfen und Vereinbarungen dazu zu treffen. Ein IT-Lieferant, der eine Bank beliefert, erhält möglicherweise eine Frageliste, die aus dem DORA-Kontext stammt, während derselbe Lieferant bei einem anderen Kundentyp eine Frageliste aus dem NIS2-Kontext erhält. Für diesen Lieferanten selbst ist es wertvoll zu wissen, aus welchem Rahmen eine Frage stammt, da die angeforderten Nachweise etwas unterschiedlich strukturiert sind. Mehr darüber, wie eine solche eingehende Frageliste genau funktioniert, finden Sie in den Themen zu Lieferkette und Frageliste eines Abnehmers.
Wie Sie dies für Ihre eigene Organisation überprüfen
Der schnellste Weg, um sich selbst Klarheit zu verschaffen, besteht darin, Ihre eigene Genehmigung oder Registrierung zu überprüfen: Haben Sie eine Genehmigung der DNB oder der AFM, oder sind Sie eine der ausdrücklich genannten Finanzentitäten, deutet dies auf DORA hin. Erscheint Ihr Sektor mit Namen in den Anlagen der NIS2-Richtlinie, deutet dies auf NIS2 hin. Im Zweifelsfall ist es kein Umweg, beide Texte nebeneinander zu legen oder die Frage unmittelbar der Aufsichtsbehörde vorzulegen. Secria konzentriert sich auf die NIS2-Seite dieser Frage; bei der Aufnahme erkennen wir Finanzinstitute und leiten Sie weiter, damit Sie nicht mit der falschen Checkliste beginnen. Wie wir Sektor und Rolle in der Lieferkette genau feststellen und welche Quellen wir dafür nutzen, lesen Sie auf der Seite über wie die Informationen auf dieser Plattform entstehen.
Möchten Sie zunächst selbst eine Orientierung, bevor Sie weiterlesen? Führen Sie den kostenlosen NIS2-Check durch oder blättern Sie durch die Wissensdatenbank mit Themen; beide sind ohne Konto zugänglich und geben Ihnen innerhalb einer halben Stunde eine Antwort, mit der Sie weiterkommen.