NIS2 oder DORA? Welches Cyber-Regime wirklich für Sie gilt

Europa hat in derselben Gesetzgebungssaison zwei Cybersicherheits-Regime gebaut und den halben Markt im Unklaren gelassen, welches für ihn gilt. Die Verwirrung ist verständlich — NIS2 und DORA teilen Vokabular, Fristen und Ambitionen —, aber die Grenze zwischen ihnen ist sauber, sobald man weiß, wo man hinsehen muss: DORA ist das Spezialgesetz für die Finanzbranche; NIS2 das allgemeine Gesetz für alle anderen Wichtigen.

Die Architektur in zwei Sätzen. DORA — Verordnung (EU) 2022/2554, anwendbar seit Januar 2025 — regelt IKT-Risiken für Finanzunternehmen direkt und einheitlich, von Banken über Zahlungsinstitute bis zu CASPs. NIS2 — Richtlinie (EU) 2022/2555 — hebt die Sicherheits-Grundlinie für „wesentliche“ und „wichtige“ Einrichtungen in achtzehn Sektoren, von Energie über digitale Infrastruktur bis zur Fertigung, und kommt als Richtlinie über nationale Umsetzung an. Wo beide auf ein Finanzunternehmen passen könnten, geht DORA als lex specialis vor — das bewusste Design, das Banken erspart, für dasselbe Risiko zwei Herren zu dienen.

Der deutsche Nebenstrang: eine späte Umsetzung

Die NIS2-Umsetzungsfrist lief am 17. Oktober 2024 ab; Deutschland, charakteristisch gründlich und charakteristisch langsam, lieferte mehr als ein Jahr zu spät. Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und gilt seit dem 6. Dezember 2025. Praktische Konsequenz eins: Betroffene Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren; für alle, die schon beim Inkrafttreten erfasst waren, ist diese Frist am 6. März 2026 abgelaufen — wer betroffen und noch nicht registriert ist, sollte das sofort nachholen. Praktische Konsequenz zwei: Die Registrierungs- und Durchsetzungsmaschinerie des BSI läuft, und die Ausrede „Wir warten auf das finale Gesetz“ ist abgelaufen. Firmen, die die Verzögerung zur Vorbereitung nutzten, haben sich gelassen registriert; Firmen, die sie zum Aufschieben nutzten, entdecken, dass Geschäftsleitungs-Haftungsvorschriften die Konzentration fördern.

Wer wo sitzt — die praktische Sortierung

• Lizenzierte Finanzunternehmen (Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, CASPs): DORA, Punkt — Risikomanagement, Vorfallsmeldung, Resilienztests, Drittparteien-Register.
• SaaS- und IT-Anbieter für diese Unternehmen: nicht direkt unter DORA — aber vertraglich mittendrin als IKT-Drittdienstleister, und potenziell selbst unter NIS2 als digitale oder Managed-Service-Anbieter.
• Cloud-, Rechenzentrums- und Managed-Security-Anbieter: in NIS2 als digitale Infrastruktur beziehungsweise als Verwaltung von IKT-Diensten erfasst — und, falls kritisch für die Finanzbranche, zusätzlich unter dem DORA-Überwachungsregime für kritische IKT-Anbieter.
• Alle anderen oberhalb der Größenschwellen in den achtzehn Sektoren: NIS2 — mit Registrierung, Sicherheitsmaßnahmen und der dreistufigen Meldeuhr (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats nach der Meldung).

“

Für ein Fintech ist die Frage entschieden: DORA. Für die SaaS-Firma, die an dieses Fintech verkauft, lautet die ehrliche Antwort oft: beides — eines direkt, eines über den Vertrag.

Warum Anbieter aufhören sollten, „out of scope“ zu feiern

Der häufigste strategische Fehler im Anbietermarkt ist, Anwendungsbereichs-Tabellen als Entwarnung zu lesen. Ein SaaS-Anbieter unterhalb der NIS2-Schwellen begegnet NIS2 trotzdem — über die Lieferketten-Sicherheitspflichten seiner Enterprise-Kunden — und DORA über den vertraglichen Flow-down jedes Finanzkunden: Prüfrechte, Vorfallsmelde-Fristen, Subunternehmer-Transparenz, Exit-Unterstützung. Der Compliance-Perimeter moderner B2B-Software wird weniger davon definiert, was das Gesetz über Sie sagt, als davon, was es über Ihre Kunden sagt. Anbieter, die das verinnerlichen, bauen ein Sicherheits- und Nachweisprogramm, das NIS2-Fragebögen, DORA-Flow-downs und Data-Act-Exit-Erwartungen aus denselben Artefakten beantwortet — und gewinnen DACH-Beschaffungen allein über Antwortgeschwindigkeit.

Eine Konvergenz-Checkliste

1. 01Sich ehrlich klassifizieren: Sektor, Größe und Dienste gegen NIS2; Kundenbasis gegen DORA-Flow-down-Exponierung.
2. 02Registrieren, wo gefordert — die nationalen Meldepflichten sind die billigste Pflicht zum Erfüllen und die peinlichste zum Verpassen.
3. 03Incident Response auf die strengste anwendbare Uhr vereinheitlichen: 24 Stunden für die NIS2-Frühwarnung, für Finanzunternehmen unter DORA vier Stunden ab Einstufung eines Vorfalls als schwerwiegend — Anbieter von Banken sollten mit entsprechend kurzen vertraglichen Meldefristen rechnen.
4. 04Die Nachweisbibliothek einmal bauen: Risikoanalysen, Maßnahmen nach Art. 21 NIS2 / DORA Kapitel II, Testprotokolle, Lieferantenregister.
5. 05Die Geschäftsleitung buchstäblich in die Schleife holen — beide Regime verankern Verantwortung, Schulungspflichten und Haftung auf Führungsebene.

Die österreichische und die Schweizer Ecke

Österreich hat NIS2 später umgesetzt als Deutschland: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) wurde am 23. Dezember 2025 kundgemacht und gilt seit dem 1. Oktober 2026. Es bringt die vertraute Architektur — Registrierung, Risikomaßnahmen, Meldungen — und wird vom neuen österreichischen Bundesamt für Cybersicherheit vollzogen; wer beide Märkte abdeckt, sollte materiell identische Pflichten mit prozedural getrennten Einreichungen erwarten. Die Schweiz, außerhalb beider Rahmen, fährt ihre eigene Spur: ein Informationssicherheitsgesetz für bundesnahe Sektoren, FINMAs Erwartungen zu operationellen Risiken und Cyber für die Finanzbranche und seit dem 1. April 2025 eine Pflicht, Cyberangriffe auf kritische Infrastrukturen binnen 24 Stunden dem Schweizer Bundesamt für Cybersicherheit (BACS) zu melden. Die Planungskonsequenz wiederholt das DACH-Muster, dem diese Serie immer wieder begegnet: ein Kontrollrahmen, drei Meldedialekte.

Für Multi-Markt-Betreiber ist die effiziente Haltung eine einzige Kontroll-Grundlinie, einmal gegen alle drei Regime gemappt — denn die Alternative, parallele Sicherheitsprogramme pro Jurisdiktion zu pflegen, produziert drei mittelmäßige Programme zum Preis von zwei guten.

Fazit

NIS2 und DORA sind keine konkurrierenden Regime, sondern Arbeitsteilung — und der DACH-Markt setzt beide inzwischen durch, aufsichtlich wie über die Beschaffung. Die erfolgreichen Firmen behandeln das Paar als ein Sicherheitsprogramm mit zwei Meldedialekten. Aegiron Capital Group hilft Fintechs und ihren Technologieanbietern, sich auf die Sicherheits- und Compliance-Fragen ihrer Kunden im DACH-Raum vorzubereiten und bankentaugliche Readiness aufzubauen; die rechtliche Einordnung übernimmt die Kanzlei, die Sie beauftragen.