Regulatorik.
Prüffähig umgesetzt.
NIS2, DORA und BaFin-Anforderungen – übersetzt in konkrete Maßnahmen. Sie wissen, was für Sie gilt, wo Lücken sind und wie Sie sie dokumentiert schließen.
Jetzt kostenlos testen.
Verschaffen Sie sich in wenigen Minuten einen ersten Überblick über Ihre Compliance.
Leistungsumfang.
Betroffenheitsprüfung
Gilt NIS2 oder DORA für Sie – und in welchem Umfang?
Gap-Analyse
Ist-Zustand gegen Anforderungen, mit Prioritäten
Umsetzung
Richtlinien, Prozesse, Risikomanagement, Meldewege
Dokumentation
Prüffähige Nachweise für Aufsicht und Auditoren
Häufige Fragen.
Bin ich von NIS2 betroffen?
In Deutschland gilt seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz – ohne Übergangsfrist. Betroffen sind in der Regel Unternehmen aus den erfassten Sektoren (u. a. Energie, Transport, Gesundheit, digitale Infrastruktur, Produktion bestimmter Güter) mit mindestens 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Einige Einrichtungen fallen unabhängig von ihrer Größe darunter. Die Einordnung sollte im Einzelfall geprüft werden.
Was müssen NIS2-Unternehmen konkret tun?
Sich beim BSI registrieren, Risikomanagement-Maßnahmen umsetzen (z. B. Notfallmanagement, Zugriffsschutz, Lieferkettensicherheit) und erhebliche Sicherheitsvorfälle in festen Fristen melden. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und regelmäßig an Schulungen teilnehmen.
Haftet die Geschäftsführung persönlich?
Ja. Die Geschäftsleitung trägt die Verantwortung für die Umsetzung und kann bei Pflichtverletzungen persönlich haften. Eine dokumentierte Umsetzung ist deshalb auch eigener Schutz.
Was ist DORA und wen betrifft es?
Der Digital Operational Resilience Act ist eine EU-Verordnung, die seit dem 17. Januar 2025 unmittelbar gilt. Sie betrifft nahezu den gesamten Finanzsektor – Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften – und regelt IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und das Management von IT-Dienstleistern.
Gelten die BAIT noch?
Für Institute, die DORA direkt anwenden, nicht mehr. Für die übrigen Institute gelten die BAIT noch bis Ende 2026. VAIT, KAIT und ZAIT wurden bereits zum 17. Januar 2025 aufgehoben.
Ich bin IT-Dienstleister für Finanzunternehmen – betrifft mich DORA?
Indirekt ja. Finanzunternehmen müssen ihre Anforderungen vertraglich an IKT-Dienstleister weitergeben – etwa zu Sicherheit, Prüfrechten, Meldewegen und Ausstiegsstrategien. Wer diese Anforderungen erfüllt und nachweisen kann, hat einen klaren Wettbewerbsvorteil.
Was ist eine Gap-Analyse?
Ein strukturierter Abgleich Ihres Ist-Zustands mit den regulatorischen Anforderungen. Ergebnis ist eine Liste aller Lücken mit Priorität, Aufwand und Maßnahmenplan – so dokumentiert, dass Sie sie gegenüber Aufsicht oder Prüfern vorlegen können.
Passend dazu im Ratgeber.
30 Minuten. Kostenlos.
Unverbindlich.
Wir klären, wo Sie stehen und was sinnvoll ist.