Modul 6 - Regulatorik für Banken: KWG → MaRisk → DORA → NIS2

Wer fragt mich was?

Es ist Donnerstag, 10:15 Uhr. In der xbank treffen sich drei Aufsichtspersonen zu einem koordinierten Termin:

• Eine BaFin-Bankenaufseherin — fragt nach MaRisk-Konformität und § 25a KWG.
• Ein BaFin-Spezialist für IKT-Risiko — fragt nach DORA-Artikeln, RTS-Umsetzung, TLPT-Plan.
• Eine Verbindungsperson zur BSI-NIS2-Stelle — fragt, ob die Bank überhaupt NIS2-pflichtig ist (oder durch DORA ausgenommen).

Drei Personen, drei verschiedene Rechtsrahmen, drei verschiedene Pflichten — alle gleichzeitig im Raum. Wer welche Antwort an wen liefert, hängt davon ab, welches Werk an welcher Stelle gilt.

Genau diese Landkarte zeichnet Modul 6.

Die Hierarchie der Bank-Regulatorik

Bevor wir uns die einzelnen Werke ansehen, brauchen wir die Lese-Richtung: was steht über was, und wer konkretisiert wen?

In jeder Audit-Frage musst du wissen, auf welcher Stufe die Frage gestellt wird. „Wie erfüllen Sie MaRisk AT 7.2?” ist eine Stufe-4-Frage; die Antwort liegt aber in der Bank-internen Richtlinie auf Stufe 5. Die zugrundeliegende Pflicht (Stufe 2: § 25a KWG) musst du nicht zitieren, aber kennen.

KWG — das Bank-Grundgesetz

Das Kreditwesengesetz ist seit 1961 das Grundgesetz für deutsche Banken. Für IT-Sicherheit besonders wichtig:

§ 25a KWG — Besondere organisatorische Pflichten von Instituten

Verlangt eine „ordnungsgemäße Geschäftsorganisation”, die unter anderem ein „angemessenes und wirksames Risikomanagement” einschließt. Das KWG selbst ist abstrakt — die BaFin konkretisiert es durch die MaRisk und (historisch) durch die BAIT.

Mehr braucht eine 2nd-Line-Risikomanagerin auf Modul-6-Niveau über das KWG nicht zu wissen. Tiefere Klauseln, Querverweise zu CRD/CRR, sind Bankenrecht-Themen.

MaRisk — Mindestanforderungen Risikomanagement

Die MaRisk sind das wichtigste BaFin-Rundschreiben für deutsche Banken. Sie konkretisieren § 25a KWG mit konkreten Anforderungen an Strategie, Aufbau- und Ablauf-Organisation, Risikomanagement-Prozesse und Outsourcing.

Aufbau

IT-relevante AT-Punkte

Aktueller Stand

• MaRisk-Rundschreiben 06/2024 ist die aktuell gültige Fassung.
• Die 9. MaRisk-Novelle ist seit April 2026 in Konsultation. Stoßrichtung: prinzipienbasierter, größenabhängiger, kompatibel zu DORA.

BAIT — historischer Detail-Standard

Die Bankaufsichtlichen Anforderungen an die IT waren von 2017 bis 17.01.2025 das wichtigste Detailwerk für IT-Security-Anforderungen in deutschen Banken. Mit Inkrafttreten von DORA wurden sie für DORA-Institute außer Kraft gesetzt, mit einer Übergangsfrist bis 01.01.2027 für die wenigen verbliebenen Nicht-DORA-Institute.

Warum BAIT trotzdem wichtig bleibt

• Die Logik der BAIT-Kapitel lebt 1:1 in DORA fort. Wer BAIT verstanden hat, versteht auch DORA — die Begriffe und Themen sind sehr ähnlich.
• Banken-Audits prüfen oft noch nach BAIT-Kapitelstruktur, weil Prozesshandbücher und interne Richtlinien historisch danach gegliedert sind.
• Bestandsdokumentation in Banken folgt häufig der BAIT-Logik — Migrationen sind im Gange, aber dauern Jahre.

Die zwölf BAIT-Kapitel im Schnellüberblick

DORA — die Hauptbühne

Der Digital Operational Resilience Act (Verordnung EU 2022/2554) ist seit dem 17. Januar 2023 in Kraft und seit dem 17. Januar 2025 anwendbar. Er ist das primäre IKT-Anker-Werk für alle Finanzunternehmen in der EU: Banken, Wertpapierfirmen, Versicherer, Zahlungsdienstleister, Krypto-Dienstleister, Zentralverwahrer, Rating-Agenturen — über 20 Finanz-Sektoren.

DORA ist eine Verordnung, keine Richtlinie. Das heißt: Sie gilt direkt in jedem EU-Mitgliedstaat, ohne dass nationale Umsetzungsgesetze nötig wären. Anders als bei NIS2.

Vollständige DORA-Struktur

DORA hat neun Kapitel mit 64 Artikeln. Klick auf ein Kapitel, um die Artikel-Liste zu öffnen:

Im Folgenden vertiefen wir die vier IT-Sec-Kern-Kapitel (II, III, IV, V), wie sie in jeder Bank-Praxis und in jedem Audit-Gespräch auftauchen.

Kapitel II — IKT-Risikomanagement (Art. 5–16)

Das Herzstück von DORA. Verlangt einen umfassenden, dokumentierten IKT-Risikomanagement-Rahmen, der alle Phasen abdeckt:

Verantwortlich: Das Leitungsorgan (Vorstand) — Art. 5 trifft hier eine harte Aussage: „Das Leitungsorgan trägt die Letzt-Verantwortung für das IKT-Risikomanagement.” Diese Klausel hat in deutschen Banken zu neuen Vorstands-Berichtspflichten geführt: monatliche oder quartalsweise IKT-Risiko-Berichte direkt an den Vorstand, mit dokumentierter Kenntnisnahme.

Kapitel III — IKT-Vorfallmanagement und Meldung (Art. 17–23)

Jeder Vorfall durchläuft drei Stufen, an denen DORA Pflichten knüpft:

1. Erkennen und klassifizieren (Art. 17, 18) — die Bank muss einen Prozess haben, der schwerwiegende Vorfälle zuverlässig identifiziert. Sieben Kriterien aus Art. 18 (RTS): Anzahl betroffener Kunden, Datentypen, Dauer, geografische Reichweite, wirtschaftliche Auswirkungen, Reputationsschaden, Kritikalität der Funktion.

2. Melden (Art. 19, 20) — drei-stufiges Meldeverfahren:

3. Lernen (verzahnt mit Art. 13) — Lessons Learned sind Pflicht-Bestandteil jedes Vorfalls. Die 2. Linie überprüft, ob die Erkenntnisse in den IKT-Rahmen eingearbeitet werden.

Kapitel IV — Resilienztesting (Art. 24–27)

Pflicht zu einem umfassenden Test-Programm mit zwei Stufen:

Standard-Tests (alle Institute, mindestens jährlich):

• Schwachstellen-Scans, Pen-Tests
• Source-Code-Reviews
• Szenario-basierte Tests, Resilienz-Tests
• BCM-Übungen, Krisenstabsübungen

TLPT — Threat-Led Penetration Testing (Art. 26): Pflicht für signifikante Banken, mindestens alle drei Jahre. Realistische Angriffssimulation nach EU-Standard „TIBER-EU”:

• Externe Threat-Intel-Anbieter erstellen ein Bedrohungsszenario speziell für die Bank.
• Externe Red-Team-Tester führen den simulierten Angriff über mehrere Wochen durch.
• Trennung zum normalen Pentesting-Pool: Tester dürfen kein operatives IT-Mandat bei der Bank haben.
• Die Bank weiß, dass ein Test läuft — die meisten Mitarbeiter nicht. Damit wird auch Detection und Response realistisch geprüft.

Kapitel V — IKT-Drittparteienrisiko (Art. 28–44)

Mit 17 Artikeln das größte DORA-Kapitel. Adressiert das Thema, das seit SolarWinds 2020 im Mittelpunkt steht: die Bank ist nur so sicher wie ihre Lieferanten.

Drei Säulen:

1. Pflichten der Bank (Art. 28–30): Konzentrationsrisiko-Bewertung vor Vertragsschluss, vertragliche Mindestinhalte, Register aller IKT-Drittparteien (verpflichtend, jährlich an die Aufsicht zu melden).

2. Aufsicht über kritische Drittanbieter (Art. 31–44): Ein neues Konzept — bestimmte Anbieter werden EU-weit als „kritisch” eingestuft (Critical Third-Party Provider, CTPP) und unterliegen direkter Aufsicht durch die EU-Aufsichtsbehörden.

3. Sanktionen: Bis zu 1 Prozent des weltweiten Tagesumsatzes pro Tag bei Nicht-Mitwirkung (Art. 43).

NIS2 — die Schwester-Richtlinie

Die EU-Richtlinie 2022/2555 ist die Cybersicherheits-Schwester von DORA. Sie regelt sektorübergreifend kritische Sektoren — Energie, Wasser, Gesundheit, Verkehr, digitale Infrastruktur und mehr.

Sektorale Gliederung

NIS2 unterscheidet zwei Klassen von Einrichtungen mit jeweils unterschiedlichen Pflichten:

In Deutschland fallen rund 30.000 Einrichtungen in den NIS2-Anwendungsbereich (in Kraft seit 06.12.2025 in Deutschland).

Lex specialis: DORA geht vor

Der zentrale Punkt für Banker: DORA-pflichtige Institute sind vom NIS2-Anwendungsbereich ausgenommen. Sie melden NIS2-konform über DORA-Verfahren. Eine Bank hat also nicht zwei parallele Meldepfade, sondern einen — den DORA-Pfad.

Trotzdem relevant: Wenn eine Bank z.B. eine konzerneigene Energie-Tochter hat oder einen IT-Dienstleister, der NIS2-pflichtig ist, greifen die NIS2-Pflichten dort über die Schwester-Gesellschaft.

Praxis: Wer hat welche Pflicht?

Zentrale Lese-Regel: Wer DORA-pflichtig ist, ist faktisch für die IT-Aufsicht abgedeckt. MaRisk gilt zusätzlich als nationaler Aufsatz für deutsche Banken.

Norm-zu-Realität-Mapping mit DORA-Anker

Wir hatten in Modul 5 das Mapping „BAIT-Anforderung → ISO → BSI” gezeigt. Hier das Pendant mit DORA als Ankerwerk:

Zusammenfassendes Mapping — Themen × Werke

Weiterführende Literatur

Für die Bank-Praxis sind die Originaltexte unverzichtbar. DORA wird durch 8 RTS, 2 ITS und 2 weitere Delegierte Verordnungen konkretisiert (plus ESA-Leitlinien), die jeweils eigene Verbindlichkeit haben. Wer in einem Audit-Gespräch DORA-fest sein will, sollte zumindest die relevanten RTS gelesen haben — und sie regelmäßig auf Updates prüfen.

Die fünf Merksätze für Modul 6

1. DORA ist seit 17.01.2025 anwendbar (in Kraft seit 17.01.2023) und damit das primäre Anker-Werk. Direkt anwendbare EU-Verordnung, gilt für alle EU-Finanzunternehmen ohne nationale Umsetzung.

2. 64 Artikel, 9 Kapitel — vier IT-Sec-Kerne. Kapitel II (Risikomgmt), III (Vorfälle), IV (Tests), V (Drittparteien) sind das, was im Tagesgeschäft zählt.

3. MaRisk lebt parallel. Als nationales BaFin-Rundschreiben konkretisiert sie das KWG für deutsche Häuser. BAIT ist für DORA-Institute außer Kraft, bleibt aber als historische Referenz im Bestandsgepäck.

4. NIS2 betrifft Banken nur über DORA. Lex-specialis-Prinzip: DORA-Institute melden NIS2-konform über DORA-Verfahren, kein Doppel-Reporting.

5. Norm-zu-Realität ist das Werkzeug. Eine DORA-Anforderung über MaRisk und ISO/BSI bis zur Audit-Frage durchspielen können — das ist die Tagesarbeit der 2. Linie und das, was in jedem Bewerbungsgespräch geprüft wird.