Produkte
Lösungen
Ressourcen
Im Jahr 2023 stieg die Zahl der Cyberangriffe in Europa um 57 %. Dieser anhaltende Trend, verbunden mit dem Bedarf, regulatorische Bemühungen in der EU zu harmonisieren und auf das zunehmende Niveau der digitalen Transformation zu reagieren, veranlasste die Europäische Union und ihre Mitgliedstaaten, die Cybersicherheits- und Betriebsresilienzanforderungen durch die Annahme der aktualisierten Richtlinie über Netz- und Informationssicherheit (NIS2) und des Digital Operational Resilience Act (DORA) zu stärken. Obwohl beide sehr ähnlich sind, ist das Verständnis der Unterschiede zwischen NIS2 und DORA für die regulatorische Compliance und die Minimierung des Risikoexposure unerlässlich.
Im Folgenden werden wir NIS2 und DORA voneinander abgrenzen, um Ihnen ein Verständnis der wesentlichen Unterschiede zu vermitteln, darunter:
NIS2 und DORA sind beide Cybersicherheitsregulierungen in der EU. Sie sind jedoch nicht identisch, und die Unterschiede sind relevant.
NIS2 ist eine Cybersicherheitsrichtlinie, die ein gemeinsames Ziel für alle Mitgliedstaaten in Bezug auf digitale Resilienz festlegt. Sie wurde erstmals 2016 eingeführt und 2024 überarbeitet.
Die zweite Version der Richtlinie umfasst zusätzliche Sektoren, betont die persönliche Verantwortung für Cybersicherheitsresilienz, führt einen risikobasierten Ansatz ein und sieht strengere Meldepflichten vor. Die Mitgliedstaaten müssen dann eigene Rechtsvorschriften erlassen, die die Ziele der NIS2-Richtlinie erfüllen, wobei die erste Compliance-Frist für Oktober 2024 festgesetzt wurde.
Download our NIS2 checklist for the actionable steps your organisation can take to comply and elevate your cyber security resilience.
DORA ist ein regulatorisches Rahmenwerk, das speziell für Finanzinstitute gilt. Mit einer Compliance-Frist vom 17. Januar 2025 hat es das Ziel, einen einheitlichen Standard zu schaffen, nach dem sich der EU-Finanzsektor gegen Cyberangriffe, IT-Systemausfälle und andere digitale Risiken schützen kann.
Im Unterschied zu NIS2 schreibt DORA spezifische Anforderungen — anstelle von Zielvorgaben — vor, die die EU als wesentlich für die operationelle Resilienz erachtet.
Comparing the covered entities for NIS2 vs. DORA is essential to understanding your potential compliance burden for DORA and NIS2.
Der Anwendungsbereich der NIS2-Richtlinie umfasst achtzehn besonders kritische und andere kritische Sektoren. Im Rahmen der Aktualisierung führte die EU außerdem eine Größenschwellenregel ein, um alle mittleren und großen Unternehmen einzubeziehen.
Besonders kritische Sektoren
Andere kritische Sektoren
Essential and important entities further define these scopes; authorities will monitor and audit the former more closely.
Essential entities operate in a highly critical sector with over 250 employees and an annual turnover of €50 million or a balance sheet of €43 million.
Important entities operate in one of the highly critical or other critical sectors and have over 50 employees, an annual turnover of €10 million or a balance sheet of €10 million.
Diese Verordnung gilt für 20 Arten von Finanzunternehmen und umfasst das gesamte Ökosystem des Bankwesens, der Finanzdienstleistungen und der Intermediärdienstleister. Für diese Organisationen hat DORA Vorrang vor NIS2.
Bemerkenswert ist, dass einige IKT-Drittanbieter als „kritisch“ eingestuft werden und der regulatorischen Aufsicht unterliegen. Diese Prüfung umfasst Organisationen außerhalb der EU, wie das Vereinigte Königreich, die Dienstleistungen für EU-ansässige Finanzunternehmen erbringen.
Erfasste Arten von Finanzunternehmen
Fokus auf die Lieferkette
NIS2 verpflichtet Organisationen, Cybersicherheitsschwachstellen in ihrer Lieferkette zu adressieren. Diese Einbeziehung sicherheitsbezogener Anforderungen zwischen jeder Organisation und ihren direkten Lieferanten oder Dienstleistern wird einen top-down vertraglich getriebenen Effekt sicherstellen, der ein gesamtes Ökosystem von Lieferanten beeinflusst, die die geschätzten 160.000 wesentlichen und wichtigen Einrichtungen unterstützen, die direkt in den Anwendungsbereich von NIS2 fallen. Direkte Lieferanten oder Dienstleister sollten sich auf diese vertraglichen Verpflichtungen vorbereiten.
DORA schreibt ebenfalls ein verbessertes IKT-Drittparteienrisikomanagement vor. Das IKT-Drittparteienrisiko muss als integraler Bestandteil der IKT-Risiken innerhalb des IKT-Risikomanagement-Frameworks verwaltet werden. Eine gründliche Analyse vor Vertragsabschluss sollte dem formalen Abschluss von Vertragsvereinbarungen vorausgehen und diese untermauern. Zu den Elementen gehören die Kritikalität oder Bedeutung der durch den geplanten IKT-Vertrag unterstützten Dienste, die erforderlichen Aufsichtsgenehmigungen, das mögliche Konzentrationsrisiko, die Standorte, an denen die Dienste erbracht werden, wo Daten verarbeitet werden sollen sowie Zugangs-, Prüfungs- und Auditrechte des Finanzunternehmens.
In Abkehr von ihrem Vorgänger enthält NIS2 strengere und detailliertere Meldepflichten bei Vorfällen. Die neuen Anforderungen sollen eine schnellere und effektivere Kommunikation über Cybersicherheitsvorfälle ermöglichen. Betroffene Einrichtungen müssen jeden Vorfall melden, der zu einer erheblichen Dienstunterbrechung führt oder das Potenzial hat, die Erbringung von Diensten zu beeinträchtigen.
Organisationen sollten vorbereitet sein, mehrere Vorfallsberichte nach Bekanntwerden einzureichen:
Wie NIS2 schreibt das DORA-Framework drei Vorfallsberichte nach einem Ereignis vor. Die Meldefristen unter DORA sind jedoch weniger streng und überlassen es den zuständigen Behörden, spezifische Meilensteine festzulegen. Unter DORA müssen betroffene Einrichtungen Vorfälle melden, wenn sie Schwellenwerte auf der Grundlage von Unterbrechungen kritischer oder wichtiger Dienste, potenziellen Schäden für Verbraucher, Finanzmärkte oder die Wirtschaft sowie einer Betroffenheit mehrerer EU-Jurisdiktionen erfüllen.
Follow our step-by-step guide to ensure you meet DORA's stringent standards effortlessly.
NIS2 trat am 18. Oktober 2024 vollständig in Kraft, d. h. die Mitgliedstaaten hätten die Richtlinie in ihre nationale Gesetzgebung umsetzen sollen. Obwohl viele Staaten diese Frist nicht eingehalten haben, laufen die Bemühungen weiter. 9 Länder haben ein aktualisiertes Gesetz verabschiedet und in 17 Ländern wurde ein Gesetzesentwurf veröffentlicht.
Organisationen, die NIS2 nicht einhalten, drohen verschiedene Sanktionen:
Nicht finanzielle Sanktionen
Finanzielle Sanktionen
Einzelne Unternehmensleiter, die direkt für Verstöße verantwortlich sind, können ebenfalls Sanktionen unterliegen, wie beispielsweise verpflichtende öffentliche Bekanntmachungen von Verstößen und die Veröffentlichung ihrer Identitäten zusammen mit spezifischen Informationen über den Vorfall.
DORA trat am 16. Januar 2023 in Kraft und wurde ab dem 17. Januar 2025 anwendbar. Diese Verordnung gibt den zuständigen Behörden erhebliche Eingriffsbefugnisse gegenüber nicht konformen Organisationen, was bedeutet, dass EU-Finanzunternehmen die Compliance ernst nehmen sollten. DORA verleiht den Aufsichtsbehörden weitreichende Befugnisse, darunter:
Diese Sanktionen und Maßnahmen müssen wirksam, verhältnismäßig und abschreckend sein und entsprechend der Wesentlichkeit, Schwere und Dauer der Nichteinhaltung, der erzielten Gewinne oder erlittenen Verluste (durch Dritte) sowie dem Grad der Kooperation verhängt werden.
Leitungsorganen wird eine aktive Rolle zugewiesen und sie tragen die Verantwortung für die Genehmigung der von ihren Organisationen ergriffenen Maßnahmen für das Cybersicherheits-Risikomanagement und die Überwachung ihrer Umsetzung. Ein Versäumnis, die Compliance sicherzustellen, kann dazu führen, dass Einzelpersonen für die Verletzung ihrer Pflichten haftbar gemacht werden. Zu den Sanktionen kann ein vorübergehendes Verbot gehören, dass Personen in Geschäftsführungs- oder Vertretungspositionen ihre Leitungsfunktionen ausüben.
Das Leitungsorgan des Finanzunternehmens muss alle Vereinbarungen im Zusammenhang mit dem IKT-Risikomanagement-Framework definieren, genehmigen, überwachen und für deren Umsetzung verantwortlich sein und trägt die letztendliche Verantwortung für das Management des IKT-Risikos eines Finanzunternehmens, einschließlich der kontinuierlichen Einbindung des Leitungsorgans in die Kontrolle der Überwachung des IKT-Risikomanagements.
Mehrere Abteilungen innerhalb von Finanzunternehmen sind für die Einhaltung verantwortlich. Während DORA die Verantwortung nicht spezifischen Personen zuschreibt, macht es Unternehmen für strenges Risikomanagement, Vorfallsmeldung und Auditmaßnahmen verantwortlich. Diese Vorgaben machen DORA nicht nur zu einer Cybersicherheitsmaßnahme, sondern auch zu einem integralen Bestandteil von Governance, Risk und Compliance.
Angesichts der Ähnlichkeiten zwischen NIS2 und DORA fragen sich Unternehmen, die unter eine der beiden Regulierungen fallen, verständlicherweise, wo die eine Regel endet und die andere beginnt. Die Realität ist, dass sie in vielerlei Hinsicht miteinander verknüpft sind.
DORA und NIS2 stellen parallele Bemühungen zur Stärkung der Cybersicherheit und operationellen Resilienz innerhalb der Europäischen Union dar, insbesondere in kritischen Sektoren. Obwohl beide Regulierungen ähnliche Anliegen adressieren, unterscheiden sich ihre Anwendungsbereiche und spezifischen Ziele. DORA konzentriert sich stark auf IKT-Drittanbieter innerhalb der Lieferkette des Finanzsektors, während NIS2 eine breitere Perspektive einnimmt und verschiedene kritische Sektoren abdeckt sowie Lieferkettenrisiken über den IKT-Bereich hinaus adressiert. Beide streben danach, uneinheitliche nationale Ansätze zu reduzieren, Verbesserungen der Resilienz zu harmonisieren und die Resilienz des Sektors gegenüber Störungen aus dem IKT-Bereich zu erhöhen. Ein gemeinsames Prinzip der Verhältnismäßigkeit leitet die Umsetzung und stellt sicher, dass Organisationen die Regeln in einer ihrer Größe, ihrem gesamten Risikoprofil und der Komplexität ihrer Tätigkeiten angemessenen Weise umsetzen. Obwohl NIS2 das Bankwesen als besonders kritischen Sektor einschließt, hat DORA für Finanzunternehmen Vorrang und beauftragt sie, DORA als sektorspezifische Verordnung vorrangig zu befolgen. Schließlich behaupten beide Regulierungen eine extraterritoriale Anwendung und erstrecken ihren Geltungsbereich auf Unternehmen, die nicht in der EU ansässig sind, aber Dienste innerhalb der EU anbieten.
NIS2 wird nicht isoliert existieren. Ihre Vernetzung mit DORA zeigt, dass die Zukunft der Risikoreduzierung in der Zusammenarbeit über Sektoren und Grenzen hinweg liegt. Diese neue Realität erfordert einen einheitlichen Ansatz für Governance, Risk und Compliance.
Organisationen, die NIS2 und DORA effektiv in Einklang bringen, werden diejenigen sein, die Transparenz über verschiedene Bereiche des Cybersicherheitsrisikos und des Drittparteienrisikos haben, um den richtigen Führungsgremien die angemessene Sicherheit zu bieten. Es ist stets wichtig, die richtigen Richtlinien und Praktiken zu implementieren, aber die Diligent One Platform kann dazu beitragen, diese Sicherheit zu gewährleisten.
Laden Sie noch heute unsere NIS2-Checkliste herunter, um zu erfahren, wie Sie die Bemühungen Ihrer Organisation zur effizienten Erfüllung der Anforderungen der Richtlinie optimieren können und wie unser NIS2 Compliance Toolkit (verfügbar über die Diligent One Platform) umfassende Instrumente und Erkenntnisse bereitstellt, um wesentlichen und wichtigen Einrichtungen dabei zu helfen, die EU-Cybersicherheitsanforderungen zu erfüllen. Befähigen Sie Ihre Organisation, Risiken und Compliance effektiv zu managen. Laden Sie die Checkliste jetzt herunter, um zu beginnen.
