Im Finanzsektor gilt DORA anstelle von NIS2. NIS2 nennt nur drei Arten von Finanzunternehmen: Kreditinstitute, Betreiber von Handelsplätzen und zentrale Gegenparteien. Für diese ersetzt DORA die NIS2-Vorschriften zu Risikomanagement, Meldung von Sicherheitsvorfällen und Aufsicht. Versicherer, Wertpapierfirmen, Zahlungsinstitute und Fondsverwalter sind überhaupt keine NIS2-Einrichtungen: Für sie gilt allein DORA.
Dieser Leitfaden zeigt, welche Finanzunternehmen NIS2 nennt, wie DORA NIS2 verdrängt, was DORA verlangt und welche Fristen gelten, den Unterschied zwischen NIS2 und DORA, kritische IKT-Drittdienstleister, die CER-Richtlinie, IKT-Zulieferer und eine Checkliste.
| Unternehmensart | In Anhang I der NIS2? | Unter DORA? | Was Sie befolgen |
|---|---|---|---|
| Kreditinstitut (Bank) | Ja, Nummer 3 | Ja | DORA; NIS2 nur am Rand |
| Betreiber eines Handelsplatzes oder zentrale Gegenpartei (CCP) | Ja, Nummer 4 | Ja | DORA; NIS2 nur am Rand |
| Wertpapierfirma, Zahlungs- oder E-Geld-Institut | Nein | Ja | DORA |
| Versicherer, Rückversicherer, AIFM oder OGAW-Verwaltungsgesellschaft | Nein | Ja | DORA |
| Zentralverwahrer, Anbieter von Krypto-Dienstleistungen | Nein | Ja | DORA |
| IKT-Anbieter für Finanzunternehmen | Oft (Cloud, Rechenzentrum, MSP) | Über Verträge | NIS2 selbst, plus DORA-Klauseln |
Gilt NIS2 für den Finanzsektor?
Nur für drei Arten von Einrichtungen, in zwei Sektoren von Anhang I:
- Nummer 3, Bankwesen: Kreditinstitute im Sinne von Artikel 4 Nummer 1 der Verordnung (EU) Nr. 575/2013.
- Nummer 4, Finanzmarktinfrastrukturen: Betreiber von Handelsplätzen im Sinne von Artikel 4 Nummer 24 der Richtlinie 2014/65/EU und zentrale Gegenparteien im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) Nr. 648/2012.
Mehr steht nicht auf der Liste. Versicherer, Wertpapierfirmen, Zahlungsinstitute, Fondsverwalter und Zentralverwahrer erscheinen in keinem der beiden Anhänge. Die Leitlinien der Kommission von 2023 zu Artikel 4 bestätigen: Zu den Arten von Einrichtungen, die sowohl unter NIS2 als auch unter DORA fallen, „gehören Kreditinstitute, Handelsplätze und zentrale Gegenparteien“.
Für diese drei Arten gelten die normalen Regeln zum Anwendungsbereich: Mittlere und größere Einrichtungen fallen unter NIS2 (Artikel 2(1)), und Einrichtungen oberhalb der Schwellenwerte für mittlere Unternehmen sind wesentliche Einrichtungen (Artikel 3). Zwei Sonderfälle:
- Eine kritische Einrichtung nach der CER-Richtlinie fällt unabhängig von ihrer Größe unter NIS2 (Artikel 2(3)) und ist eine wesentliche Einrichtung (Artikel 3(1)(f)).
- NIS2 gilt nicht für Einrichtungen, die ein Mitgliedstaat nach Artikel 2(4) DORA vom Anwendungsbereich von DORA ausgenommen hat (Artikel 2(10)).
Die allgemeinen Regeln stehen in Für wen gilt NIS2?; der NIS2-Betroffenheitscheck liefert eine erste Antwort.
NIS2 und DORA: Was gilt für eine Bank?
DORA, für fast alles. Nach Artikel 4(1) NIS2 finden die einschlägigen NIS2-Bestimmungen, einschließlich Aufsicht und Durchsetzung, keine Anwendung, wenn ein sektorspezifischer Rechtsakt der Union Anforderungen an das Risikomanagement oder die Meldung von Sicherheitsvorfällen stellt, die in ihrer Wirkung zumindest gleichwertig sind. Artikel 1(2) DORA bestimmt, dass DORA für Finanzunternehmen, die nach den nationalen Vorschriften zur Umsetzung von Artikel 3 NIS2 als wesentliche oder wichtige Einrichtungen ermittelt wurden, „für die Zwecke von Artikel 4 der genannten Richtlinie als sektorspezifischer Rechtsakt der Union“ gilt. Erwägungsgrund 16 DORA bezeichnet die Verordnung als lex specialis.
Erwägungsgrund 28 NIS2 beschreibt das Ergebnis: „Anstelle der Bestimmungen in der vorliegenden Richtlinie“ sollten die Bestimmungen von DORA zum IKT-Risikomanagement, zum Management und zur Meldung von IKT-bezogenen Vorfällen, zu Resilienztests, zum Informationsaustausch und zum IKT-Drittparteienrisiko gelten.
In der Praxis setzt eine Bank keine Maßnahmen nach Artikel 21 neben DORA um, gibt keine NIS2-Frühwarnungen ab und untersteht ihrer Finanzaufsicht. Nach den Leitlinien der Kommission sollte auch Artikel 20 zu den Leitungsorganen nicht gelten; diese Aufgabe übernimmt Artikel 5 DORA.
Was NIS2 für ein DORA-Unternehmen weiterhin regelt
- Ermittlung. Artikel 1(2) DORA knüpft an Einrichtungen an, die nach Artikel 3 NIS2 ermittelt wurden. Nach den Leitlinien der Kommission sollten die NIS2-Bestimmungen zur Liste und zur Registrierung (Artikel 3(3) und 27(2)) für solche Einrichtungen nicht gelten, die Mitgliedstaaten können sie aber dennoch in die Liste aufnehmen. Prüfen Sie Ihr nationales Recht.
- Informationen über Vorfälle. Die DORA-Aufsichtsbehörde übermittelt Einzelheiten zu schwerwiegenden IKT-bezogenen Vorfällen an die NIS2-Behörden, die zentralen Anlaufstellen oder die CSIRTs (Artikel 19(6) DORA). Die Mitgliedstaaten können zudem verlangen, dass Unternehmen ihre DORA-Meldungen auch den NIS2-Behörden oder CSIRTs übermitteln (Artikel 19(1)).
- Krisenmanagement. Nach den Leitlinien sollten die nationalen Rahmen für das Cyberkrisenmanagement nach NIS2 (Artikel 9) und EU-CyCLONe (Artikel 16) weiterhin gelten.
- Fristen. Banken, Handelsplätze, zentrale Gegenparteien und andere NIS2-Einrichtungen verlieren bei Erstmeldungen und Zwischenmeldungen eine Wochenendverlängerung von DORA, wie unten erläutert.
Was verlangt DORA?
Die Verordnung (EU) 2022/2554 (DORA) gilt seit dem 17. Januar 2025 unmittelbar in jedem Mitgliedstaat (Artikel 64).
Artikel 2(1) nennt 20 Arten von Finanzunternehmen sowie IKT-Drittdienstleister. Dazu gehören Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Marktinfrastrukturen, Anbieter von Krypto-Dienstleistungen, Fondsverwalter, Versicherer und Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte und Schwarmfinanzierungsdienstleister. Artikel 2(3) nimmt unter anderem kleine AIFM, kleine Versicherer sowie Versicherungsvermittler aus, die KMU sind.
| Säule | DORA-Kapitel | Kernpflicht |
|---|---|---|
| IKT-Risikomanagement | II (Artikel 5 bis 16) | Dokumentierter Rahmen, mindestens jährlich überprüft |
| Meldung von Vorfällen | III (Artikel 17 bis 23) | Vorfälle klassifizieren, schwerwiegende melden |
| Resilienztests | IV (Artikel 24 bis 27) | Jährliche Tests für kritische oder wichtige Funktionen; TLPT für ausgewählte Unternehmen |
| IKT-Drittparteienrisiko | V (Artikel 28 bis 44) | Register, Konzentrationsrisiko, Vertragsklauseln, Überwachung kritischer Anbieter |
| Informationsaustausch | VI (Artikel 45) | Freiwilliger Austausch von Informationen über Cyberbedrohungen |
Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risiko (Artikel 5(2)), und seine Mitglieder müssen ihre Kenntnisse aktiv auf dem neuesten Stand halten, unter anderem durch regelmäßige spezielle Schulungen (Artikel 5(4)). Bedrohungsorientierte Penetrationstests (TLPT) sind mindestens alle drei Jahre vorgeschrieben, und nur für Unternehmen, die die Aufsichtsbehörde ermittelt (Artikel 26).
Welche Meldefristen gelten nach DORA?
Ein schwerwiegender IKT-bezogener Vorfall wird der Finanzaufsicht in drei Stufen gemeldet (Artikel 19(4) DORA). Artikel 5 der Delegierten Verordnung (EU) 2025/301 legt die Fristen fest:
| Meldung | Frist nach DORA | NIS2 zum Vergleich |
|---|---|---|
| Erstmeldung | 4 Stunden nach Klassifizierung des Vorfalls als schwerwiegend, höchstens 24 Stunden nach Kenntniserlangung | Frühwarnung innerhalb von 24 Stunden |
| Zwischenmeldung | 72 Stunden nach der Erstmeldung, auch wenn sich nichts geändert hat | Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden |
| Abschlussmeldung | Einen Monat nach der letzten Zwischenmeldung | Einen Monat nach der Meldung über den Sicherheitsvorfall |
Die Klassifizierung richtet sich nach der Delegierten Verordnung (EU) 2024/1772; die Vorlagen stehen in der Durchführungsverordnung (EU) 2025/302. Wird ein Vorfall erst nach den ersten 24 Stunden als schwerwiegend klassifiziert, ist die Erstmeldung innerhalb von 4 Stunden nach der Klassifizierung fällig (Artikel 5(2)). Fällt eine Frist auf ein Wochenende oder einen Feiertag, kann sie bis 12 Uhr des nächsten Arbeitstags eingehalten werden. Das gilt nicht für Erstmeldungen und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und anderen Unternehmen, die nach NIS2 als wesentliche oder wichtige Einrichtungen ermittelt wurden. Kunden, deren finanzielle Interessen betroffen sind, müssen unverzüglich informiert werden (Artikel 19(3) DORA).
Der erste Bericht der ESAs über schwerwiegende Vorfälle nach DORA (Juni 2026, für das Jahr 2025) zählte 3.383. Nur 10 % standen im Zusammenhang mit Cybersicherheit; Hauptursachen waren Systemausfälle und externe Ereignisse. Ein Prozess, der nur nach Angreifern sucht, übersieht die meisten meldepflichtigen Vorfälle. Die Stufen nach NIS2 stehen in NIS2-Meldefristen im Überblick.
NIS2 und DORA: Wo liegt der Unterschied?
| NIS2 | DORA | |
|---|---|---|
| Rechtsform | Richtlinie, nationale Gesetze sollten ab dem 18. Oktober 2024 gelten | Verordnung, seit dem 17. Januar 2025 unmittelbar anwendbar |
| Anwendungsbereich im Finanzsektor | Kreditinstitute, Betreiber von Handelsplätzen, zentrale Gegenparteien | 20 Arten von Finanzunternehmen |
| Risikomanagement | Zehn Mindestmaßnahmen, gefahrenübergreifend (Art. 21) | IKT-Risikomanagementrahmen (Art. 5 bis 16) |
| Meldung von Vorfällen | 24 Stunden, 72 Stunden, ein Monat (Art. 23) | 4 Stunden nach Klassifizierung (höchstens 24 nach Kenntniserlangung), 72 Stunden, ein Monat |
| Tests | Konzepte zur Bewertung der Wirksamkeit (Art. 21(2)(f)) | Jährliche Tests; TLPT mindestens alle drei Jahre für ausgewählte Unternehmen |
| Drittparteienrisiko | Sicherheit der Lieferkette (Art. 21(2)(d) und (3)) | Register, Konzentrationsrisiko, Pflichtklauseln, Überwachung kritischer Anbieter |
| Aufsicht | Nationale NIS2-Behörden | Finanzaufsichtsbehörden, EZB für bedeutende Banken; ESAs für kritische IKT-Drittdienstleister |
| Sanktionen | Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des Umsatzes (wesentliche), 7 Mio. EUR oder 1,4 % (wichtige) (Art. 34) | Von den Mitgliedstaaten festgelegt (Art. 50); kritische IKT-Drittdienstleister: tägliche Zwangsgelder bis 1 % des durchschnittlichen weltweiten Tagesumsatzes |
Was sind das Informationsregister und die Überwachung kritischer Anbieter?
Das Register. Nach Artikel 28(3) führt jedes Finanzunternehmen ein Informationsregister zu allen vertraglichen Vereinbarungen über IKT-Dienstleistungen und kennzeichnet diejenigen, die kritische oder wichtige Funktionen unterstützen. Mindestens einmal jährlich meldet das Unternehmen neue Vereinbarungen an seine Aufsichtsbehörde; das vollständige Register übermittelt es auf Verlangen. Die Vorlagen stehen in der Durchführungsverordnung (EU) 2024/2956. Artikel 29 verlangt vor dem Vertragsschluss für kritische oder wichtige Funktionen eine Bewertung des Konzentrationsrisikos, zum Beispiel wenn ein Anbieter nicht leicht ersetzbar ist. DORA legt keine festen Konzentrationsgrenzen fest.
Kritische IKT-Drittdienstleister. Die ESAs stufen sie ein und benennen für jeden eine federführende Überwachungsbehörde (Artikel 31). Am 18. November 2025 veröffentlichten sie die erste Liste: 19 Anbieter aus den Bereichen Cloud, Rechenzentren, Telekommunikation, Marktdaten und IT-Dienstleistungen. Eine federführende Überwachungsbehörde kann tägliche Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes verhängen, für höchstens sechs Monate (Artikel 35). Ist ein solcher Anbieter zugleich eine wesentliche Einrichtung nach NIS2, muss die NIS2-Behörde das DORA-Überwachungsforum unterrichten, wenn sie Aufsichts- oder Durchsetzungsmaßnahmen ergreift (Artikel 32(10) NIS2).
Welche Rolle spielt die CER-Richtlinie?
Gemeint ist die Richtlinie (EU) 2022/2557 (CER) über die Resilienz kritischer Einrichtungen gegenüber nicht cyberbezogenen Risiken; Angelegenheiten, die unter NIS2 fallen, sind ausgenommen (Artikel 1(2) CER). Sie ist nicht die Cyberresilienzverordnung, die Produkte mit digitalen Elementen regelt (siehe die Meldepflichten der Cyberresilienzverordnung (CRA)). Der Anhang der CER nennt dieselben Arten von Finanzeinrichtungen wie NIS2.
- Ermittlung. Die Mitgliedstaaten mussten kritische Einrichtungen bis zum 17. Juli 2026 ermitteln (Artikel 6(1)). Dieses Datum ist verstrichen; ermittelte Einrichtungen werden innerhalb eines Monats benachrichtigt (Artikel 6(3)).
- Wenige direkte Pflichten. Nach Artikel 8 stellen die Mitgliedstaaten sicher, „dass Artikel 11 und die Kapitel III, IV und VI nicht für die von ihnen ermittelten kritischen Einrichtungen“ in den Sektoren Banken, Finanzmarktinfrastruktur und digitale Infrastruktur gelten. Eine als kritisch eingestufte Bank hat nach CER keine Pflichten zu Risikobewertung, Resilienzmaßnahmen, Zuverlässigkeitsüberprüfungen oder Meldung von Sicherheitsvorfällen, sofern das nationale Recht sie nicht hinzufügt. Der nationale Rahmen nach Kapitel II gilt weiterhin (Erwägungsgrund 21).
- Die Verbindung zu NIS2. Eine kritische Einrichtung fällt unabhängig von ihrer Größe unter NIS2 (Artikel 2(3) NIS2) und ist eine wesentliche Einrichtung (Artikel 3(1)(f)). Für ein Kreditinstitut unterhalb der NIS2-Größenschwelle ist es die Ermittlung nach CER, die es in den Anwendungsbereich bringt. Für Risikomanagement und Meldungen gilt trotzdem DORA.
Was bedeutet DORA für IKT-Anbieter von Finanzunternehmen?
Ein IKT-Anbieter ist kein Finanzunternehmen, aber DORA erreicht ihn über Verträge. Finanzunternehmen dürfen nur IKT-Drittdienstleister nutzen, die angemessene Standards für Informationssicherheit einhalten (Artikel 28(5)), und Artikel 30 legt fest, was der Vertrag enthalten muss. Anbieter von Cloud-Diensten, Rechenzentren und verwalteten Diensten können zudem selbst NIS2-Einrichtungen sein.
DORA ARTIKEL 30: KLAUSELN, MIT DENEN EIN IKT-ANBIETER RECHNEN SOLLTE
Alle Verträge über IKT-Dienstleistungen (Art. 30(2))
[ ] Beschreibung der Leistungen; Bedingungen für Unteraufträge bei
kritischen oder wichtigen Funktionen
[ ] Standorte von Leistungen und Daten; Vorabinformation über
Änderungen
[ ] Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit der
Daten
[ ] Zugang zu Daten und Rückgabe bei Insolvenz oder Vertragsende
[ ] Beschreibungen der Dienstleistungsgüte
[ ] Unterstützung bei Vorfällen ohne Zusatzkosten oder zu vorab
festgelegten Kosten
[ ] Volle Zusammenarbeit mit den Aufsichtsbehörden des Kunden
[ ] Kündigungsrechte und Mindestkündigungsfristen
[ ] Teilnahme an den Sicherheitsschulungen des Kunden
Kritische oder wichtige Funktionen, zusätzlich (Art. 30(3))
[ ] Präzise quantitative und qualitative Leistungsziele
[ ] Meldung von Entwicklungen, die die Leistung beeinträchtigen
könnten
[ ] Getestete Notfallpläne und IKT-Sicherheitsmaßnahmen
[ ] Teilnahme am TLPT des Kunden
[ ] Uneingeschränkte Zugangs-, Inspektions- und Prüfungsrechte
[ ] Ausstiegsstrategie mit verbindlicher angemessener ÜbergangsfristIn der Praxis kosten Prüfungsrechte, die Mitwirkung an TLPT und die Unterstützung bei Vorfällen einen Zulieferer am meisten. Sinnvoll ist es, einmal vorzubereiten: einen Standard-Nachtrag für DORA, eine Liste der Unterauftragnehmer und Standorte, eine Zusage zur Meldung von Vorfällen, die Ihrem Kunden Zeit für seine 4-Stunden-Frist lässt, und ein Nachweispaket. Wie Sie solche Anlagen verhandeln, steht in Der Sicherheitsanhang, Klausel für Klausel; die Seite von NIS2 in NIS2-Risikobewertung der Lieferkette.
Was DORA in der Praxis offenlässt
- Die Uhr braucht Zeitstempel. Eine Aufsichtsbehörde wird fragen, wann Sie Kenntnis erlangt und wann Sie klassifiziert haben. Die Antwort muss aus Systemaufzeichnungen kommen, nicht aus dem Gedächtnis.
- Die Klassifizierung braucht Zahlen. Wenn es einen Tag dauert, die betroffenen Kunden zu zählen, ist die äußerste Frist von 24 Stunden verstrichen.
- Das Register veraltet. Wird es aus Beschaffungsunterlagen aufgebaut, fehlen darin per Karte gekaufte Dienste und die Unterauftragnehmer hinter Ihren Anbietern.
- Funktionen brauchen eine Landkarte. Tests, Register und Klassifizierung hängen alle davon ab, dass Sie wissen, welche Systeme welche kritische oder wichtige Funktion unterstützen.
- Gruppen brauchen einen Prozess. Eine Gruppe mit einer DORA-Bank und einer NIS2-Tochtergesellschaft braucht einen einzigen Prozess für Vorfälle, der jeden Fall dem richtigen Regime zuordnet.
All das sind Nachweise, die in Ihren eigenen Systemen liegen. Werden sie laufend erhoben und prüft eine Person die Ausnahmen, liegen sie bereit, wenn die Aufsicht fragt. So arbeitet die CloudSoul-Plattform, als automatisierte Plattform mit Human-in-the-Loop-Expertise. Das umfassendere Programm steht auf der Seite zur NIS2-Compliance.
Checkliste NIS2 und DORA für Finanzunternehmen
- Prüfen Sie Ihre Unternehmensart anhand von Anhang I NIS2 und Artikel 2(1) DORA.
- Wenn Sie eine Bank, ein Handelsplatz oder eine zentrale Gegenpartei sind, prüfen Sie, wie Ihr nationales NIS2-Gesetz DORA-Unternehmen in seine Listen aufnimmt.
- Fragen Sie Ihre Aufsichtsbehörde, ob Sie nach CER als kritische Einrichtung ermittelt wurden.
- Testen Sie die Klassifizierung von Vorfällen gegen die DORA-Fristen, auch an einem Wochenende.
- Gleichen Sie das Informationsregister mit den tatsächlich genutzten IKT-Dienstleistungen ab.
- Ordnen Sie IKT-Systeme den kritischen oder wichtigen Funktionen zu und planen Sie die jährlichen Tests.
- Prüfen Sie IKT-Verträge anhand von Artikel 30, zuerst für kritische oder wichtige Funktionen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 4, 9, 16, 20, 21, 23, 27, 32(10), 34 und 41, Erwägungsgrund 28, Anhang I Nummern 3 und 4, EUR-Lex.
- Verordnung (EU) 2022/2554 (DORA), Artikel 1, 2, 5, 6, 19, 24, 26, 28 bis 31, 35, 45, 46, 50 und 64, Erwägungsgrund 16, EUR-Lex.
- Delegierte Verordnung (EU) 2025/301 der Kommission, Artikel 5, EUR-Lex.
- Durchführungsverordnung (EU) 2025/302 der Kommission, EUR-Lex.
- Delegierte Verordnung (EU) 2024/1772 der Kommission, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2956 der Kommission, EUR-Lex.
- Richtlinie (EU) 2022/2557 (CER), Artikel 1, 6 und 8, Erwägungsgrund 21 und Anhang, EUR-Lex.
- Leitlinien der Kommission zur Anwendung von Artikel 4 Absätze 1 und 2 der Richtlinie (EU) 2022/2555, 2023/C 328/02, EUR-Lex.
- ESAs, Einstufung kritischer IKT-Drittdienstleister, 18. November 2025, EBA.
- ESAs, erster Bericht über schwerwiegende IKT-bezogene Vorfälle nach DORA, 3. Juni 2026, EBA.
Häufige Fragen
Gilt NIS2 für Banken?
Kreditinstitute sind in Anhang I der NIS2 aufgeführt, daher ist eine Bank ab mittlerer Größe eine wesentliche oder wichtige Einrichtung. DORA gilt aber als sektorspezifischer Rechtsakt nach Artikel 4 NIS2. Die Bank folgt daher DORA beim IKT-Risikomanagement, bei der Meldung von Vorfällen, bei Tests, beim IKT-Drittparteienrisiko und bei der Aufsicht.
Gilt NIS2 für Versicherer, Wertpapierfirmen oder Zahlungsinstitute?
Nein. Aus dem Finanzsektor nennt NIS2 nur Kreditinstitute, Betreiber von Handelsplätzen und zentrale Gegenparteien. Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute sowie Fondsverwalter fallen unter DORA, die seit dem 17. Januar 2025 gilt.
Welche Meldefristen gelten nach DORA?
Die Erstmeldung ist innerhalb von 4 Stunden nach der Klassifizierung des Vorfalls als schwerwiegend fällig, spätestens aber 24 Stunden nach Kenntniserlangung. Die Zwischenmeldung folgt innerhalb von 72 Stunden nach der Erstmeldung, die Abschlussmeldung innerhalb eines Monats nach der letzten Zwischenmeldung.
Ist die CER-Richtlinie dasselbe wie die Cyberresilienzverordnung?
Nein. CER ist die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen gegenüber nicht cyberbezogenen Risiken. Die Cyberresilienzverordnung ist die Verordnung (EU) 2024/2847 über Produkte mit digitalen Elementen.
Gilt DORA für IKT-Anbieter?
Über ihre Verträge: Artikel 30 listet die Klauseln auf, die jedes Finanzunternehmen in Verträge über IKT-Dienstleistungen aufnehmen muss. Anbieter, die die Europäischen Aufsichtsbehörden (ESAs) als kritisch eingestuft haben, 19 in der ersten Liste vom November 2025, werden zusätzlich direkt überwacht.
