NIS-2 und DORA: Meldepflichten für Unternehmen nach einem Cyberangriff

Wenn Server verschlüsselt sind oder Kundendaten abfließen, zählt jede Stunde – wer die Meldefristen verpasst, riskiert Bußgelder und persönliche Haftung der Geschäftsleitung.

Ein Ransomware-Angriff auf die IT-Systeme, ein Datenabfluss über eine kompromittierte Schnittstelle oder ein Ausfall zentraler Dienstleister – die Bedrohungslage für Unternehmen hat sich in den vergangenen Jahren erheblich verschärft. Der Gesetzgeber reagiert darauf mit zwei zentralen Regelwerken, die spätestens seit 2025 die Cybersicherheitspflichten europäischer Unternehmen neu ordnen: der Verordnung DORA für den Finanzsektor und der Richtlinie NIS-2 für eine deutlich breitere Gruppe kritischer und wichtiger Einrichtungen.

Für viele Geschäftsführer und Vorstände ist bislang unklar, ob ihr Unternehmen überhaupt in den Anwendungsbereich fällt, welche Meldefristen im Ernstfall zu laufen beginnen und wer persönlich haftet, wenn eine Meldung ausbleibt oder verspätet erfolgt. Genau diese Unsicherheit wird im Krisenfall zum eigentlichen Risiko – denn NIS-2 und DORA verschärfen die Meldepflicht nach IT-Vorfällen erheblich und knüpfen daran teils empfindliche Sanktionen.

Dieser Beitrag ordnet die neue Rechtslage ein: Wer von der NIS-2 DORA Meldepflicht betroffen ist, welche Fristen für die Meldung an die Aufsichtsbehörden gelten, wie sich die beiden Regelwerke voneinander abgrenzen und welche Haftungsrisiken für die Geschäftsleitung entstehen, wenn die NIS-2 DORA Meldepflicht missachtet wird.

Was ist DORA und wen betrifft die Verordnung?

Der Digital Operational Resilience Act, kurz DORA (Verordnung (EU) 2022/2554), gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten und richtet sich an Finanzunternehmen im weiten Sinne: Banken, Zahlungsinstitute, E-Geld-Institute, Versicherungen, Wertpapierfirmen, Fondsverwalter, Ratingagenturen und ausdrücklich auch Anbieter von Kryptowerte-Dienstleistungen (CASP) im Sinne der MiCAR. Damit erfasst DORA nicht nur klassische Kreditinstitute, sondern auch jüngere Marktteilnehmer im Kryptobereich.

Im Kern verlangt DORA ein durchgängiges IKT-Risikomanagement: Betroffene Unternehmen müssen die Sicherheit ihrer informations- und kommunikationstechnischen Systeme fortlaufend überwachen, regelmäßig testen und dokumentieren. Hinzu kommt ein Register über sämtliche IKT-Drittanbieter, auf die ein Finanzunternehmen zurückgreift – von Cloud-Diensten bis zu externen Rechenzentren. Fällt ein solcher Dienstleister aus oder wird er kompromittiert, kann das für den betroffenen Finanzdienstleister selbst zur meldepflichtigen Störung werden.

Für Mandanten aus dem Zahlungsdienste- und Kryptobereich, die wir in kapitalmarktrechtlichen Fragen beraten, bedeutet dies: Die frühere freiwillige Selbstverpflichtung zu IT-Sicherheit ist einer verbindlichen aufsichtsrechtlichen Pflicht gewichen, deren Nichteinhaltung sanktionsbewehrt ist.

Was regelt die NIS-2-Richtlinie?

NIS-2 (Richtlinie (EU) 2022/2555) verfolgt einen deutlich breiteren Ansatz als DORA und erstreckt sich auf zahlreiche Sektoren jenseits des Finanzwesens: Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung, Abfallwirtschaft, verarbeitendes Gewerbe und viele weitere Branchen, sofern ein Unternehmen bestimmte Größenschwellen überschreitet. Anders als DORA ist NIS-2 als Richtlinie zunächst nicht unmittelbar anwendbar, sondern muss durch die Mitgliedstaaten in nationales Recht umgesetzt werden.

In Deutschland ist diese Umsetzung durch das NIS-2-Umsetzungsgesetz erfolgt, das der Bundestag am 13. November 2025 beschlossen hat und das Anfang Dezember 2025 im Bundesgesetzblatt verkündet wurde. Es gilt seither ohne allgemeine Übergangsfrist.
Unternehmen sollten sich unabhängig vom exakten Inkrafttreten frühzeitig auf die neuen Pflichten einstellen, da die Vorlaufzeit für organisatorische Maßnahmen – etwa den Aufbau eines funktionierenden Meldeprozesses – erfahrungsgemäß knapp bemessen ist.

Die Richtlinie unterscheidet zwischen sogenannten wesentlichen Einrichtungen (etwa größere Energieversorger, Banken, Betreiber digitaler Infrastruktur) und wichtigen Einrichtungen (etwa mittelgroße Unternehmen im verarbeitenden Gewerbe oder in der digitalen Wirtschaft). Beide Kategorien treffen im Kern vergleichbare Risikomanagement- und Meldepflichten, wenngleich die Aufsichtsintensität und die Bußgeldhöhen sich unterscheiden.

Fristen zur Meldung eines Cyberangriffs an das BSI

Zentrales Element der NIS-2 DORA Meldepflicht ist ein gestuftes Meldeverfahren gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI), das unter NIS-2 in drei Schritten abläuft:

• Frühwarnung binnen 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall – erste Einschätzung, ob eine rechtswidrige oder böswillige Ursache vorliegt und ob grenzüberschreitende Auswirkungen möglich sind.
• Meldung binnen 72 Stunden mit einer aktualisierten Bewertung des Vorfalls, einschließlich Schweregrad und Auswirkungen sowie – sofern verfügbar – Kompromittierungsindikatoren.
• Abschlussbericht binnen eines Monats nach der 72-Stunden-Meldung mit einer detaillierten Beschreibung des Vorfalls, seiner Ursache, den ergriffenen Abhilfemaßnahmen und der grenzüberschreitenden Auswirkung.

Für Finanzunternehmen unter DORA gilt ein strukturell ähnliches, aber eigenständig geregeltes Meldeverfahren gegenüber der jeweils zuständigen Finanzaufsicht (in Deutschland regelmäßig die BaFin), das ebenfalls Erst-, Zwischen- und Abschlussmeldungen vorsieht. Fällt ein Unternehmen sowohl unter DORA als auch unter NIS-2, ist im Einzelfall zu klären, welches Regime als lex specialis vorrangig anzuwenden ist – DORA verdrängt für Finanzunternehmen regelmäßig die NIS-2-Meldepflichten, um Doppelmeldungen zu vermeiden.

Wer die NIS-2 DORA Meldepflicht versäumt, riskiert nicht nur ein eigenständiges Bußgeld, sondern verschärft im Zweifel auch die Bewertung eines etwaigen Organisationsverschuldens – etwa im Zusammenhang mit Ansprüchen Betroffener wegen eines Datenabflusses infolge eines Phishing-Angriffs.

Wer haftet, wenn die Meldung ausbleibt?

Die NIS-2 DORA Meldepflicht verlagert die Verantwortung für ein funktionierendes IT-Sicherheitsmanagement ausdrücklich auf die Geschäftsleitung. Die Unternehmensleitung muss die Umsetzung der Risikomanagementmaßnahmen billigen, überwachen und sich regelmäßig schulen lassen; eine bloße Delegation an die IT-Abteilung ohne eigene Kontrolle genügt nicht mehr.

Kommt es zu einem Verstoß gegen die Meldepflichten oder die zugrunde liegenden Sicherheitsanforderungen, drohen unter NIS-2 Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Die Umsetzungsgesetzgebung in Deutschland sieht zudem eine persönliche Haftung der Geschäftsleitung für Schäden aus Pflichtverstößen vor, wobei die konkrete Ausgestaltung an das jeweils geltende Umsetzungsrecht zu koppeln ist.

Diese Entwicklung setzt eine Linie fort, die im Bank- und Aufsichtsrecht bereits seit Längerem etabliert ist: Organisationspflichten der Geschäftsleitung finden sich etwa in § 25a KWG für Kreditinstitute und in § 27 ZAG für Zahlungsinstitute, die zur Sicherstellung angemessener technischer und organisatorischer Sicherheitsvorkehrungen verpflichten. NIS-2 und DORA fügen diesem Bild eine sektorübergreifende, ausdrücklich sanktionsbewehrte Meldepflicht hinzu – vergleichbar mit den Anforderungen, die wir bereits im Kapitalmarktrecht für regulierte Unternehmen beschrieben haben.

Für Unternehmen, die nach einem Vorfall zusätzlich mit Ansprüchen betroffener Kunden konfrontiert sind, ist die enge zeitliche Taktung besonders herausfordernd: Während intern binnen 24 Stunden eine Frühwarnung an das BSI vorbereitet werden muss, sind parallel oft Auskunftsersuchen und Schadensersatzforderungen Betroffener zu bearbeiten – etwa wenn sich ein Vorfall wie bei der HypoVereinsbank-Phishing-Welle mit einem Datenleck überschneidet.

Meldepflicht nach DSGVO – wie sich beide Regime überschneiden

Neben NIS-2 und DORA bleibt die datenschutzrechtliche Meldepflicht aus Art. 33 DSGVO unberührt bestehen: Werden im Rahmen des Cyberangriffs personenbezogene Daten kompromittiert, ist zusätzlich die zuständige Datenschutzaufsichtsbehörde binnen 72 Stunden zu informieren, in schweren Fällen zusätzlich die betroffenen Personen selbst nach Art. 34 DSGVO.

Die Rechtsprechung hat die Anforderungen an einen ersatzfähigen Schaden aus einem solchen Datenleck in den vergangenen Jahren erheblich konkretisiert. Der Bundesgerichtshof hat mit Urteil vom 18.11.2024 (Az. VI ZR 10/24) entschieden, dass bereits der bloße, auch nur vorübergehende Kontrollverlust über personenbezogene Daten infolge eines DSGVO-Verstoßes einen ersatzfähigen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann, ohne dass ein konkreter Missbrauch der Daten nachgewiesen werden muss. Als Richtwert für den reinen Kontrollverlust hat der BGH eine Größenordnung von rund 100 Euro benannt; bei nachgewiesenen Ängsten oder Sorgen der Betroffenen kann der Betrag höher liegen.

Für ein Unternehmen bedeutet ein größerer Sicherheitsvorfall damit häufig eine dreifache Meldelast: gegenüber dem BSI (NIS-2) oder der Finanzaufsicht (DORA), gegenüber der Datenschutzbehörde (DSGVO) und – je nach Sachverhalt – gegenüber Vertragspartnern oder Versicherern. Ein sauber dokumentierter, im Vorfeld geübter Meldeprozess ist daher kein bürokratischer Selbstzweck, sondern reduziert das Haftungsrisiko der Geschäftsleitung erheblich.

Betroffenheit prüfen: Fällt Ihr Unternehmen unter NIS-2 oder DORA?

Ob die NIS-2 DORA Meldepflicht das eigene Unternehmen trifft, sollte in mehreren Schritten geprüft werden:

• Sektorzugehörigkeit: Gehört das Unternehmen zu einem der in NIS-2 aufgeführten Sektoren (Energie, Verkehr, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe u. a.) oder handelt es sich um ein Finanzunternehmen im Sinne von DORA?
• Größenschwellen: Werden die maßgeblichen Mitarbeiter- und Umsatzschwellen überschritten, die für die Einstufung als wesentliche oder wichtige Einrichtung entscheidend sind?
• Lieferkettenrelevanz: Auch Zulieferer und IKT-Dienstleister von betroffenen Unternehmen können mittelbar in den Anwendungsbereich hineingezogen werden, etwa über vertragliche Weitergabeklauseln.
• Bestehende Meldeprozesse: Existiert bereits ein dokumentierter Prozess, der im Vorfallfall die 24-Stunden-Frist realistisch einhalten kann, oder besteht hier akuter Handlungsbedarf?

Gerade kleinere und mittlere Unternehmen unterschätzen häufig, dass sie über ihre Rolle als IKT-Drittanbieter eines Finanzunternehmens indirekt unter den Anwendungsbereich von DORA fallen können, ohne selbst reguliertes Finanzunternehmen zu sein. Eine belastbare Einordnung erfordert daher eine sorgfältige rechtliche Prüfung des konkreten Geschäftsmodells.

Verhalten im Ernstfall: Die ersten 24 Stunden nach einem Cyberangriff

Wird ein Sicherheitsvorfall entdeckt, entscheidet häufig das Vorgehen der ersten Stunden über den weiteren Verlauf – sowohl technisch als auch rechtlich. Folgende Schritte haben sich in der Praxis bewährt:

• Unverzügliche Dokumentation des Vorfalls: Zeitpunkt der Entdeckung, betroffene Systeme, erste Auffälligkeiten – diese Angaben werden für die spätere Meldung benötigt.
• Interne Eskalation an Geschäftsleitung und, sofern vorhanden, den Informationssicherheitsbeauftragten, um die Verantwortung nicht bei der IT-Abteilung allein zu belassen.
• Prüfung, ob personenbezogene Daten betroffen sind, um die parallele DSGVO-Meldefrist im Blick zu behalten.
• Vorbereitung der Frühwarnung an das BSI innerhalb der 24-Stunden-Frist, auch wenn zu diesem Zeitpunkt noch nicht alle Details geklärt sind – eine vorläufige Einschätzung genügt für die Erstmeldung.
• Einbindung externer forensischer und rechtlicher Unterstützung, insbesondere wenn unklar ist, ob strafrechtlich relevante Handlungen wie Betrug nach § 263 StGB oder Computerbetrug nach § 263a StGB vorliegen.

Wichtig ist dabei die Trennung der Ebenen: Die technische Bewältigung des Angriffs, die aufsichtsrechtliche Meldung und die zivilrechtliche Auseinandersetzung mit möglicherweise betroffenen Kunden oder Vertragspartnern laufen parallel und erfordern jeweils eigene, aufeinander abgestimmte Prozesse.

Verhältnis zu bestehenden Meldepflichten im Geldwäscherecht

Für Finanzunternehmen, die bereits an geldwäscherechtliche Meldepflichten gewöhnt sind, lohnt ein Vergleich: Die Verdachtsmeldung nach § 43 GwG an die Financial Intelligence Unit (FIU) folgt einer eigenen, vom NIS-2/DORA-Regime unabhängigen Logik und betrifft verdächtige Transaktionen, nicht IT-Sicherheitsvorfälle. Wer beide Meldewege verwechselt oder vermischt, riskiert unvollständige oder fehlgeleitete Meldungen.

Gleichwohl können sich Berührungspunkte ergeben, etwa wenn ein Cyberangriff gezielt zur Umgehung von Geldwäsche-Kontrollen eingesetzt wird oder wenn im Zuge eines Datenlecks auch Transaktionsdaten kompromittiert werden, die anschließend geldwäscherechtlich relevant werden – ähnlich den Konstellationen, die auch bei Verdachtsfällen im Kryptobereich zu koordinierten Meldewegen zwingen. In solchen Fällen ist eine koordinierte Bearbeitung beider Meldestränge erforderlich, um Widersprüche gegenüber den beteiligten Behörden zu vermeiden.

Handlungsempfehlungen für Geschäftsführung und Vorstand

Aus anwaltlicher Sicht empfiehlt sich für Unternehmen, die von der NIS-2 DORA Meldepflicht erfasst sind, ein strukturiertes Vorgehen bereits vor dem ersten Vorfall:

• Frühzeitige rechtliche Einordnung, ob NIS-2, DORA oder beide Regime greifen – idealerweise dokumentiert und regelmäßig aktualisiert.
• Etablierung eines Meldeprozesses, der die 24-/72-Stunden-Fristen realistisch abbildet, einschließlich klarer Zuständigkeiten und Vertretungsregelungen für Urlaubs- und Krankheitszeiten.
• Regelmäßige Schulung der Geschäftsleitung zu den eigenen Überwachungspflichten, um eine Enthaftung im Streitfall zu ermöglichen.
• Vertragliche Absicherung gegenüber IKT-Drittanbietern, damit Sicherheitsvorfälle bei Dienstleistern rechtzeitig an das eigene Unternehmen kommuniziert werden.
• Frühzeitige Einbindung anwaltlicher Beratung im Vorfallfall, um Meldepflichten, Haftungsfragen und mögliche Ansprüche Betroffener parallel und widerspruchsfrei zu steuern.

Da das NIS-2-Umsetzungsgesetz bereits in Kraft ist und keine allgemeine Übergangsfrist vorsieht, sollten Unternehmen ihre internen Prozesse unverzüglich anpassen und belastbare Strukturen aufbauen.
Wer sich rechtzeitig mit den zugrunde liegenden Sicherheitsmechanismen im Bankgeschäft befasst – etwa mit Fragen wie welche Sicherheiten Banken bei Krediten verlangen –, versteht auch die Logik hinter den neuen IT-Sicherheitspflichten schneller.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu NIS-2 DORA Meldepflicht