Wie sich DORA- und NIS2-Meldepflichten verzahnen lassen

Praktische Tipps für Unternehmen mit Doppelverantwortung

Die regulatorischen Anforderungen an Cybersicherheit steigen – und mit ihnen die Komplexität der Meldepflichten. Wer gleichzeitig unter die EU-Verordnung DORA und die NIS2-Richtlinie fällt, steht vor einer besonderen Herausforderung: Fristen, Meldewege und Empfänger unterscheiden sich teils erheblich.

Wie lassen sich diese Pflichten sinnvoll verzahnen?

Ausgangslage: Zwei Regime, viele Anforderungen

DORA: Gilt seit Januar 2025 direkt für Finanzunternehmen. Sicherheitsvorfälle sind nur noch an die BaFin zu melden.

NIS2: Noch nicht in deutsches Recht umgesetzt, aber verbindlich, mit Meldepflichten an das BSI.

Gerade dort, wo Unternehmen als Dienstleister für kritische Infrastrukturen und zugleich für regulierte Finanzunternehmen tätig sind, drohen Meldeüberschneidungen.

Fristen, Formate, Fallstricke

Ohne klare Governance entstehen mitunter Fristversäumnisse, Mehraufwand und Aufsichtsrisiken.

Fünf Empfehlungen aus der Praxis

1. Zentrale Incident-Governance etablieren

Zuständig: ISB / CISO

Tipp: Verankern Sie Meldepflichten und eine Eskalationslogik verbindlich im ISMS. Rollen, Zuständigkeiten und Entscheidungswege sollten dokumentiert und regelmäßig überprüft werden.

2. Meldeschwellen intern harmonisieren

Zuständig: IT-Betrieb, ISB / CISO, Risikomanagement (OpRisk)

Tipp: Nutzen Sie ein einheitliches Vorfallklassifikationsschema, das DORA- und NIS2-relevante Kriterien berücksichtigt und überleitet.

3. Automatisierte Melde-Templates einsetzen

Zuständig: IT-Betrieb, ISB / CISO

Tipp: Integrieren Sie Fristen und Formate in Ihr Ticketsystem oder eine SOAR-Plattform (Security Orchestration, Automation and Response (Sicherheitsorchestrierung, Automatisierung und Reaktion). Das spart Zeit im Ernstfall.

4. Kontaktstellen und Meldewege gezielt organisieren

Zuständig: IT-Betrieb, Unternehmenskommunikation, ISB / CISO

Tipp: Richten Sie ein 24/7-Funktionspostfach als technische Kontaktstelle ein. Die operative Meldeverantwortung sollte gesondert geregelt sein.

5. Simulationen und Schulungen durchführen

Zuständig: ISB/ CISO, HR

Tipp: Üben Sie regelmäßig, mindestens einmal jährlich reale Meldekaskaden mit zeitkritischen Vorfällen, inklusive Eskalationswegen.

Governance-Tipp: NIS2 und DORA gemeinsam denken

NIS2 verlangt eine technisch erreichbare Kontaktstelle – idealerweise 24/7.
DORA betont die Verantwortung des Leitungsorgans für das Incident Management.

Empfehlung: Trennen Sie klar zwischen technischer Erreichbarkeit (Kontaktstelle), operativer Meldeverantwortung und strategischer Steuerung. Diese Aufgaben müssen integriert, aber nicht vermischt werden – etwa durch ein etabliertes ISMS mit Eskalationsmatrix.

Fazit

Weniger melden ist keine Lösung – klüger melden schon. Mit einer abgestimmten Governance-Struktur lassen sich Doppelmeldungen vermeiden, Fristen einhalten und Aufwände reduzieren – bei voller Aufsichtssicherheit.

Im nächsten Teil: Worauf bei der Einbindung von IKT-Drittanbietern zu achten ist.