Zum Inhalt springen
Demo buchen
Framework-Vergleich

NIS2 vs DORA

NIS2 und DORA sind beide EU-Regelwerke zur Cybersicherheit, zielen aber auf unterschiedliche Adressaten. DORA ist das speziellere Recht für den Finanzsektor und verdrängt dort weitgehend die allgemeineren NIS2-Anforderungen.

Kurzantwort

NIS2 ist die breite EU-Cybersicherheitsrichtlinie für 18 Sektoren. DORA ist die spezielle Verordnung für den Finanzsektor und geht dort als spezielleres Recht (lex specialis) vor. Finanzunternehmen richten sich primär nach DORA, alle anderen betroffenen Branchen nach NIS2.

NIS2 und DORA im direkten Vergleich

MerkmalNIS2DORA
Adressaten18 Sektoren (Energie, Gesundheit, Industrie ...)Finanzsektor (Banken, Versicherer, Zahlungsdienste ...)
RechtsformRichtlinie (national umgesetzt)Verordnung (unmittelbar geltend, EU-weit gleich)
DetailtiefeRahmenanforderungenSehr detailliert (Tests, Drittparteien, Register)
DrittparteienLieferkettensicherheit allgemeinStrenge IKT-Drittparteiensteuerung, kritische Anbieter unter Aufsicht
ResilienztestsWirksamkeitsprüfung gefordertVerpflichtende, teils bedrohungsorientierte Tests (TLPT)
VerhältnisAllgemeines CybersicherheitsrechtSpezielleres Recht, verdrängt NIS2 im Finanzsektor

Die wichtigsten Unterschiede

ZielgruppeNIS2 deckt viele Sektoren ab, DORA ausschließlich den Finanzsektor und dessen kritische IKT-Dienstleister.
VorrangIm Finanzsektor gilt DORA als spezielleres Recht und verdrängt die NIS2-Anforderungen weitgehend.
DetailgradDORA ist deutlich konkreter, etwa bei verpflichtenden Resilienztests und der Steuerung von IT-Drittdienstleistern, bis hin zu deren direkter Aufsicht.
RechtsformNIS2 ist eine Richtlinie, die jedes Land umsetzt. DORA ist eine Verordnung und gilt EU-weit unmittelbar und einheitlich.

Gemeinsamkeiten

  • Beide verlangen ein risikobasiertes IKT-/Informationssicherheitsmanagement
  • Beide fordern Vorfallmeldung, Business Continuity und Lieferketten- bzw. Drittparteiensteuerung
  • Beide adressieren die Verantwortung der Leitungsorgane
  • Ein ISMS nach ISO 27001 ist für beide eine tragfähige Grundlage
Welches brauche ich?

Die beiden überschneiden sich inhaltlich stark, gelten aber für unterschiedliche Adressaten. Entscheidend ist die Branche: Finanzunternehmen folgen DORA, andere betroffene Sektoren NIS2.

Empfehlung: Prüfen Sie zuerst, ob Sie Finanzunternehmen oder kritischer IKT-Dienstleister des Finanzsektors sind. Falls ja, ist DORA maßgeblich. Falls nein, ist NIS2 der relevante Rahmen. Ein gemeinsames ISMS bedient in beiden Fällen den Kern.

Häufig gestellte Fragen

Gilt für Banken NIS2 oder DORA?
Für den Finanzsektor ist DORA als spezielleres Recht maßgeblich und verdrängt die NIS2-Anforderungen weitgehend. Die Schutzziele sind aber sehr ähnlich.
Ist DORA strenger als NIS2?
In vielen Punkten ja. DORA ist detaillierter, etwa bei verpflichtenden Resilienztests und der Aufsicht über kritische IT-Drittdienstleister.
Kann ein Unternehmen unter beide fallen?
Im Kern gilt für Finanzunternehmen DORA. IT-Dienstleister können je nach Kundschaft mit beiden Welten in Berührung kommen, etwa als NIS2-Einrichtung und zugleich als DORA-relevanter Drittdienstleister.

Weiterführend

Die 10 NIS2-PflichtenLexikon: NIS2Lexikon: DORANIS2 nach Branche
In CompliantDesk

NIS2 und DORA in einer Plattform

CompliantDesk bringt alle Frameworks über ein gemeinsames Kern-Modell zusammen. Check-Antworten fließen in die Frameworks, denen ihre Anforderungen zugeordnet sind, ohne doppeltes Dokumentieren.

Demo buchenAlle Vergleiche

Weitere Vergleiche

VergleichNIS2 vs ISO 27001VergleichISO 27001 vs TISAXVergleichDSGVO vs NIS2VergleichBSI IT-Grundschutz vs ISO 27001VergleichIT-Grundschutz vs Grundschutz++VergleichNIS2 vs KRITISVergleichNIS2 vs CRA

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten