IT & Cyber
DORA, Cyber Resilience Act, NIS2, BAIT/VAIT/KAIT/ZAIT und TIBER-DE — der regulatorische Rahmen für digitale Betriebsstabilität und Cyber-Sicherheit im Finanzsektor.
Die Verordnung (EU) 2022/2554 ist seit dem 17. Januar 2025 vollständig anwendbar und gilt unmittelbar in allen EU-Mitgliedstaaten. Sie schafft einen einheitlichen Rahmen für das IKT-Risikomanagement und die digitale Betriebsstabilität von Finanzunternehmen. Die bisherige nationale Regelung für den IKT-Bereich — die BAIT — wurde zum selben Datum außer Kraft gesetzt.
IKT-Governance, Risikostrategie, Schutz- und Präventionsmaßnahmen, Erkennung, Reaktion und Wiederherstellung. Anforderungen an das IKT-Rahmenwerk (Art. 5–16 DORA).
Klassifizierung, Meldung und Nachverfolgung von IKT-Vorfällen. Meldepflichten gegenüber Aufsichtsbehörden für schwerwiegende Vorfälle (Art. 17–23 DORA).
Threat-Led Penetration Testing (TLPT) für bedeutende Institute — mindestens alle drei Jahre. Basiert auf dem TIBER-EU-Rahmen. Koordination durch die zuständige Behörde (Art. 24–27 DORA).
Anforderungen an Verträge mit IKT-Drittanbietern, Überwachung kritischer IKT-Dienstleister durch die Aufsicht (Oversight Framework). Neue Kategorie: Critical Third-Party Providers (CTPP) (Art. 28–44 DORA).
Art. 31 ff. DORA sieht einen eigenen EU-Überwachungsrahmen für IKT-Dienstleister vor, deren Ausfall aufgrund ihrer Marktstellung und technischen Verbreitung besonders gravierende Auswirkungen auf die Finanzmarktstabilität hätte. Am 18. November 2025 haben EBA, ESMA und EIOPA erstmals 19 Unternehmen als Critical Third-Party Providers (CTPP) benannt.
Datenbasis der Kritikalitätsbewertung waren die Informationsregister nach Art. 28 DORA. Benannte CTPP unterliegen der direkten Aufsicht der ESAs durch Joint Examination Teams (JETs) aus ESA-Mitarbeitenden und nationalen Behörden — einschließlich jährlicher Risikoanalysen, Berichtspflichten, Vor-Ort-Prüfungen und Aufsichtsgebühren.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) richtet sich primär an Hersteller und Anbieter von Produkten mit digitalen Elementen (Hard- und Software). Für Banken ist er ein wichtiges Zulieferer-Thema: Produkte und Komponenten, die Kreditinstitute in ihrer IT-Infrastruktur einsetzen, müssen die CRA-Anforderungen erfüllen.
Anwendbarkeit: Stufenweise bis 2027. Marktüberwachung durch nationale Behörden (in DE: BSI).
Die NIS2-Richtlinie (EU) 2022/2555 wurde in Deutschland durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am Folgetag in Kraft. Betroffen sind rund 30.000 Unternehmen in 18 Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz. Kreditinstitute sind als „wichtige Einrichtungen" erfasst.
Verhältnis zu DORA: Für Finanzunternehmen gilt DORA als lex specialis gegenüber NIS2 (Art. 4 NIS2). Wo DORA spezifischere Anforderungen enthält, verdrängt es NIS2.
Die BaFin-Rundschreiben konkretisieren die IT-Anforderungen aus § 25a KWG bzw. den sektorspezifischen Gesetzen für verschiedene Institutstypen. Mit der Anwendbarkeit von DORA hat sich ihr Status grundlegend geändert.
Galt für Kreditinstitute (§ 25a KWG) und regelte IT-Strategie, IT-Governance, Informationsrisiko- und Informationssicherheitsmanagement, Benutzerberechtigungsmanagement, IT-Projekte, Anwendungsentwicklung und IT-Betrieb. Mit der DORA-Anwendbarkeit außer Kraft gesetzt; die Regelungsmaterie wird durch Kapitel II DORA abgedeckt.
Außer KraftPendant zur BAIT für Versicherungsunternehmen. Strukturell analog zur BAIT, angepasst an die Besonderheiten des Versicherungssektors (§ 23 VAG).
Für Kapitalverwaltungsgesellschaften (§ 28 KAGB). Entspricht inhaltlich weitgehend der BAIT, berücksichtigt aber die spezifischen Risiken von KVGen und Investmentvermögen.
Für Zahlungsinstitute und E-Geld-Institute (§ 27 ZAG). Berücksichtigt die besonderen Anforderungen aus PSD2 und den EBA-Leitlinien zu Sicherheitsmaßnahmen für Zahlungsdienste.
TIBER-DE (Threat Intelligence-based Ethical Red Teaming) ist das deutsche Implementierungsframework des europäischen TIBER-EU-Rahmenwerks der EZB. Es ermöglicht kontrollierten, geheimdienstgestützten Angriffssimulationen (Red-Team-Tests) auf kritische Live-Systeme systemrelevanter Finanzinstitute.
TIBER-DE-Tests sind die Referenzimplementierung für die DORA-Anforderungen an Threat-Led Penetration Testing (TLPT, Art. 26 DORA). Koordiniert wird das Programm von der Deutschen Bundesbank und der BaFin.
| Regelwerk | Adressat | Thema | Verhältnis zu DORA |
|---|---|---|---|
| DORA | Finanzunternehmen (EU) | IKT-Risiko, Incident, TLPT, Drittparteien | Lex specialis |
| CRA | Produkt-/Softwarehersteller | Produktsicherheit digitaler Produkte | Ergänzend (Zuliefererkette) |
| NIS2 / BSIG | Wichtige/besonders wichtige Einrichtungen | Netz- und Informationssicherheit | DORA verdrängt NIS2 (lex specialis) |
| KRITIS-DachG | Betreiber kritischer Anlagen | Physische Resilienz kritischer Anlagen | Eigenständig, komplementär |
| BAIT | Kreditinstitute (DE) | IT-Governance, -Betrieb, -Sicherheit | Außer Kraft seit 17.01.2025 |
| TIBER-DE | Systemrelevante Institute (DE) | Red-Team-Tests | Umsetzung DORA Art. 26 (TLPT) |
| MaRisk AT 7.2 | Kreditinstitute (DE) | Notfallmanagement / BCM | Ergänzend zu DORA (nicht ersetzt) |