DORA oder NIS2 — was gilt für Ihr Unternehmen?
Eine Antwort in 30 Sekunden, der Vergleich und die präzise Regel, die die meisten Beiträge verfehlen — samt ILR, CSSF und bedrohungsgeleiteten Tests.
Die kurze Antwort: Ist Ihr Unternehmen ein von der CSSF oder dem Commissariat aux Assurances beaufsichtigtes Finanzunternehmen, ergeben sich Ihre Pflichten zum Cyberrisiko aus DORA und nicht aus dem NIS2-Gesetz — doch „nicht NIS2" greift zu kurz, und die Nuance falsch zu verstehen, wird in beide Richtungen teuer.
Die meisten Beiträge verkürzen dies auf „Finanzsektor ist von NIS2 befreit". Das ist falsch. Die beiden Regime greifen über einen präzisen Rechtsmechanismus ineinander, und die praktische Folge — welche Behörde Sie beaufsichtigt, was Sie testen müssen, was Sie Ihren Kunden schulden — hängt davon ab, ihn genau zu verstehen.
Die Antwort in 30 Sekunden
Vor dem Detail — hier landen die meisten Luxemburger Unternehmen:
| Sie sind… | Ihr Cyber-Regelwerk |
|---|---|
| Ein von der CSSF oder dem CAA beaufsichtigtes Finanzunternehmen (Bank, Wertpapierfirma, Versicherer, Zahlungs-/E-Geld-Institut, Fondsverwalter, Krypto-Dienstleister…) | DORA — es geht NIS2 für Sie vor |
| In einem anderen kritischen Sektor (Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Lebensmittel, betroffene Industrie…) und mittelgroß oder größer | NIS2 — das Gesetz vom 5. Mai 2026, unter der ILR |
| Ein IT-, Cloud- oder Managed-Service-Anbieter für den Finanzsektor | DORA erreicht Sie über die Verträge Ihrer Kunden — und NIS2 kann eigenständig gelten |
In drei Fragen:
- Sind Sie von der CSSF oder dem CAA zugelassen oder registriert? Ja → DORA, und Sie können hier aufhören.
- Falls nicht: Sind Sie in einem NIS2-Sektor mit etwa 50+ Beschäftigten (oder ein größenunabhängiger Typ wie DNS/TLD, Vertrauensdienste oder Telekom)? Ja → NIS2.
- Weder noch, aber Sie bedienen Finanzkunden? DORA fließt in Ihre Verträge, und Sie können zugleich ein NIS2-Unternehmen sein.
Warum DORA vorgeht: die Lex-specialis-Regel
Artikel 4 des NIS2-Gesetzes löst die Überschneidung. Wenn ein sektorspezifischer EU-Rechtsakt Pflichten zum ICT-Risikomanagement und zur Vorfallmeldung auferlegt, die mindestens gleichwertig zu NIS2 sind, hat dieser Akt Vorrang. Für den Finanzsektor ist das DORA — die Verordnung (EU) 2022/2554, unionsweit unmittelbar anwendbar seit dem 17. Januar 2025. DORA ist somit lex specialis: für das ICT-Risikomanagement und die Meldung ICT-bezogener Vorfälle ersetzen seine Regeln die entsprechenden NIS2-Regeln.
Das ist eine Vorrangregel, keine Ausnahme. Finanzunternehmen werden nicht aus NIS2 gestrichen — DORA regelt lediglich die Teile, die es abdeckt. NIS2-Konzepte können an den Rändern weiter relevant sein, für ICT-Lieferkettenbeziehungen und für Infrastrukturen außerhalb der Reichweite von DORA. In der Praxis führt ein Finanzunternehmen sein Cyberprogramm nach DORA und fragt nicht mehr, ob die ILR zusieht.
Sind Sie ein „Finanzunternehmen" im Sinne von DORA?
Der Anwendungsbereich von DORA ist weit. Er umfasst unter rund zwanzig Kategorien: Kreditinstitute (Banken), Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer und zentrale Gegenparteien, Handelsplätze, Fondsverwalter — AIFM und OGAW-Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen und -vermittler, Ratingagenturen sowie Schwarmfinanzierungsdienstleister. Sind Sie von der CSSF oder dem CAA zugelassen oder registriert, fallen Sie mit hoher Wahrscheinlichkeit in den Anwendungsbereich.
In Luxemburg ist Ihre Behörde die CSSF oder das CAA — nicht die ILR
Das ist der Punkt, der überrascht. Die ILR ist nach dem NIS2-Gesetz die Standard-Cybersicherheitsbehörde, doch Finanzunternehmen unterliegen — abweichend — ihrer Aufsichtsbehörde. Die CSSF beaufsichtigt Banken, Wertpapierfirmen, Fondsverwalter, Zahlungs- und E-Geld-Institute sowie Krypto-Dienstleister; das Commissariat aux Assurances (CAA) beaufsichtigt Versicherungs- und Rückversicherungsunternehmen. Luxemburg verabschiedete sein DORA-Umsetzungsgesetz im Juli 2024 und benannte diese beiden Behörden mit Aufsichts- und Sanktionsbefugnissen.
Der Fehler, der beidseitig kostet. Registrieren Sie sich bei der ILR, während DORA für Sie gilt, haben Sie dem falschen Regulator geantwortet. Nehmen Sie an, DORA decke alles ab, und ignorieren NIS2 vollständig, können Ihnen die verbleibenden Randpflichten entgehen. Keiner der beiden Fehler ist für sich genommen fatal — doch für ein Unternehmen, das Vertrauen verkauft, ist sichtbare Unsicherheit über das anwendbare Regime selbst ein Reputationsschaden.
NIS2 und DORA auf einen Blick
| NIS2 | DORA | |
|---|---|---|
| Art des Rechtsakts | EU-Richtlinie, national umgesetzt (LU: Gesetz vom 5. Mai 2026) | EU-Verordnung, unmittelbar anwendbar |
| Anwendbar ab | Nationale Pflichten in Einführung (Luxemburg, 2026) | 17. Januar 2025 |
| Wer ist erfasst | Wesentliche & wichtige Einrichtungen in ~18 kritischen Sektoren | Finanzunternehmen + ihre kritischen ICT-Anbieter |
| Größenschwelle | In der Regel 50+ Beschäftigte oder 10 Mio. € Umsatz; einige Typen größenunabhängig | Nach Unternehmenstyp — weitgehend größenunabhängig |
| Behörde in Luxemburg | ILR (+ nationales CSIRT) | CSSF (Bank/Märkte), CAA (Versicherung) |
| Pflichttests | Risikobasiert; Tests erwartet | Resilienztests; bedrohungsgeleitete Tests (TLPT) wenn bedeutend |
Was DORA tatsächlich verlangt
DORA ruht auf fünf Säulen, die anspruchsvoller sind als der NIS2-Grundstandard:
- ICT-Risikomanagement — ein dokumentierter Rahmen, getragen und genehmigt vom Leitungsorgan, der den gesamten Lebenszyklus Ihrer ICT-Systeme abdeckt.
- ICT-Vorfallmanagement und -meldung — Einstufung von Vorfällen anhand definierter Schwellen und Meldung schwerwiegender Vorfälle an die CSSF oder das CAA nach einem harmonisierten Zeitplan, der dem von NIS2 vorgeht.
- Tests der digitalen operationalen Resilienz — ein regelmäßiges Testprogramm bis hin zu bedrohungsgeleiteten Penetrationstests (TLPT) für die von der CSSF als bedeutend eingestuften Unternehmen.
- ICT-Drittparteirisiko — ein verpflichtendes Informationsregister über jede ICT-Dienstleistungsvereinbarung, von DORA vorgeschriebene Vertragsklauseln und eine Überwachung kritischer Drittanbieter auf EU-Ebene.
- Informationsaustausch — freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.
TLPT: der Test, den DORA nicht optional macht
Für bedeutende Finanzunternehmen verlangt DORA bedrohungsgeleitete Penetrationstests — eine kontrollierte, nachrichtendienstlich gesteuerte Red-Team-Übung an produktiven Live-Systemen, die Ihre kritischen oder wichtigen Funktionen tragen. In Luxemburg ist die CSSF die TLPT-Behörde nach Artikel 46 von DORA und betreibt den nationalen Rahmen TIBER-LU, abgeleitet von TIBER-EU der EZB und konkretisiert durch die Delegierte Verordnung (EU) 2025/1190. Die CSSF bestimmt, wer testen muss, und validiert den Umfang. Das ist kein Häkchen-Penetrationstest, sondern eine vollständige Angreifersimulation mit einem formalen Rahmen.
Wenn Sie ICT-Dienste für ein Finanzunternehmen erbringen
DORA reicht über die Finanzunternehmen selbst hinaus. Da diese ihren ICT-Anbietern DORA-konforme Klauseln auferlegen und jede Vereinbarung registrieren müssen, fließen diese Pflichten in Ihre Verträge, wenn Sie den Sektor bedienen. Ein Softwareanbieter, ein Managed-Service-Provider oder ein Cloud-Integrator, der an den Luxemburger Finanzsektor verkauft, wird zunehmend aufgefordert, DORA-konforme Kontrollen nachzuweisen — vertraglich, durch den Kunden, nicht durch einen Regulator. Es ist dieselbe Lieferkettendynamik, die NIS2 erzeugt, nur ein Regime weiter.
Wie wir helfen
Wir sind unabhängige Prüfer und Bewerter. Für Finanzunternehmen kartieren wir Ihre Aufstellung entlang der DORA-Säulen, erstellen Ihre ICT-Risikodokumentation und Ihr Informationsregister und führen die Resilienztests durch — einschließlich einer abgegrenzten Angreifersimulation nach dem TLPT-Modell. Für ICT-Anbieter des Sektors weisen wir die Kontrollen nach, die Ihre Finanzkunden nun verlangen. Wir sind keine Zertifizierungsstelle und handeln nicht für die CSSF; eine Aufsichtsbehörde bestätigt ihre eigene Einschätzung. Was wir Ihnen geben, ist eine getestete, dokumentierte Position, die Sie ihr vorlegen können.
Unsicher, welchem Regime Sie unterliegen, oder ob eine bestimmte Einheit Ihrer Gruppe in den DORA-Anwendungsbereich fällt? Das ist ein kurzes Gespräch — und es lohnt sich, bevor Sie etwas nach dem falschen Standard aufbauen.