01Gilt für uns DORA oder NIS2?
Für Banken, Zahlungs- und E-Geld-Institute, Versicherer und Versicherungsvermittler oberhalb der KMU-Grenze ist DORA maßgeblich. Nach § 28 Abs. 6 BSIG gelten für diese Finanzunternehmen unter anderem die Pflichten zu Risikomanagement und Meldungen aus dem BSIG nicht. Eine Registrierung beim BSI kann dennoch erforderlich sein. Die Einordnung Ihres Hauses ersetzt keine rechtliche Prüfung.
02Was ist das Informationsregister, und ersetzt NEXGAP es?
Das Register nach Art. 28 Abs. 3 DORA erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, einschließlich der Unterauftragnehmer. Es wird jährlich bei der BaFin eingereicht, 2026 im Zeitraum vom 9. bis 30. März zum Stichtag 31. Dezember 2025. Das Register führen Sie selbst. CQTI liefert die laufende Risikosicht auf die Dienstleister darin.
03Ersetzt die EU-Aufsicht über kritische IKT-Drittdienstleister unser eigenes Risikomanagement?
Nein. Die europäischen Aufsichtsbehörden haben am 18. November 2025 19 kritische IKT-Drittdienstleister benannt, darunter AWS, Microsoft, Google Cloud, SAP und Deutsche Telekom. Die Verantwortung für das Drittparteienrisiko bleibt beim Finanzunternehmen. Das gilt auch für alle Dienstleister, die nicht als kritisch benannt sind.
04Welche Tests verlangt DORA von jedem Institut?
Ein risikobasiertes Testprogramm nach Art. 24 und 25 DORA. Alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich zu testen. Genannt sind unter anderem Schwachstellenscans, Netzwerksicherheitsbewertungen, Quellcodeprüfungen, szenariobasierte Tests und Penetrationstests. NEXGAP führt dafür Penetrationstests sowie Firewall- und Active-Directory-Audits durch.
05Wer muss einen TLPT durchführen?
Nur von der Aufsicht ausgewählte Unternehmen, mindestens alle drei Jahre (Art. 26 DORA, Delegierte Verordnung (EU) 2025/1190). Kriterien sind unter anderem eine Einstufung als global oder anderweitig systemrelevantes Institut, bei Zahlungsinstituten mehr als 150 Mrd. Euro Zahlungsvolumen und bei Versicherern mehr als 1,5 Mrd. Euro Bruttoprämien und mehr als 10 Mrd. Euro versicherungstechnische Rückstellungen. In Deutschland ist die BaFin zuständig, das TLPT Cyber Team der Bundesbank begleitet die Tests.
06Unterstützt NEXGAP bei TLPT?
Ein TLPT stellt besondere Anforderungen an Threat-Intelligence-Anbieter und Tester, etwa Referenzen, Erfahrung des Teams und Berufshaftpflicht. Wir unterstützen die Vorbereitung mit Angriffsfläche, Darknet-Exposure und Tests zwischen den Zyklen. Eine Rolle im TLPT selbst klären wir im Einzelfall.
07In welchen Fristen sind schwerwiegende IKT-Vorfälle zu melden?
Die Erstmeldung erfolgt binnen vier Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis. Der Zwischenbericht folgt binnen 72 Stunden nach der Erstmeldung, der Abschlussbericht einen Monat nach dem letzten Zwischenbericht. Kritische Funde von NEXGAP erreichen Sie innerhalb von 60 Minuten, die Einstufung bleibt Ihre Entscheidung.
08Wie groß ist das Drittparteienrisiko im deutschen Finanzsektor?
Laut BaFin wurden 2025 733 schwerwiegende IKT-Vorfälle gemeldet. Bei der Hälfte lag die Ursache bei Dritten, und rund 40 Prozent der gemeldeten Cyberangriffe trafen einen Dienstleister statt das Institut selbst.
09Reichen Security Ratings oder Fragebögen für DORA aus?
DORA schreibt kein bestimmtes Instrument vor, verlangt aber eine risikobasierte Bewertung und Überwachung der IKT-Dienstleister. Fragebögen sind Selbstauskünfte zu einem Stichtag, automatische Ratings sehen keine internen Kontrollen. Belastbar wird die Überwachung durch die Kombination aus vertraglichen Nachweisen, unabhängigen Signalen aus Darknet und Angriffsfläche und einer Bewertung durch Analysten.
10Was bedeutet Kumulrisiko in der Cyberversicherung?
Viele Versicherte können gleichzeitig durch dasselbe Ereignis geschädigt werden, etwa durch den Ausfall oder die Kompromittierung eines gemeinsam genutzten Cloud-, Software- oder IT-Dienstleisters. EIOPA erwartet, dass Versicherer auch nicht-affirmative Cyber-Exposures erkennen und Kumul im ORSA berücksichtigen. NEXGAP macht gemeinsame Dienstleister und Technologien über den Bestand sichtbar.
11Überwachen Sie auch Vermittler, Makler und Agenturen?
Ja. Vertriebspartner legen wir als eigene Collections über ihre Domains und Identifier an und überwachen sie passiv, ohne Fragebogen. Funde zu Mitarbeitenden von Partnern melden wir datensparsam an berechtigte Kontakte.
12Was erwartet die BaFin beim Einsatz von KI?
Die unverbindliche Orientierungshilfe vom 18. Dezember 2025 ordnet KI-Systeme in das IKT-Risikomanagement nach DORA ein. Sie empfiehlt unter anderem adversariale Tests, Exit- und Fallback-Planung bei proprietären KI-Diensten und eine Inventur nicht freigegebener KI. NEXGAP testet KI-Anwendungen, Copilots und Agenten auf Prompt Injection und Datenabfluss.
