NIS2-Compliance für den Bankensektor

Der Bankensektor ist zentral für die finanzielle Stabilität, die Zahlungssysteme und die wirtschaftliche Kontinuität in der gesamten Europäischen Union. Da Finanzdienstleistungen zunehmend digital, vernetzt und von Drittanbietern technologischer Dienste abhängig sind, ist das Cyberrisiko zu einer systemischen Herausforderung geworden.

Die NIS2-Richtlinie legt EU-weit geltende Verpflichtungen zur Cybersicherheit für wesentliche und wichtige Einrichtungen fest und erweitert den Anwendungsbereich und die Durchsetzungsmechanismen des ursprünglichen NIS-Rahmens erheblich. NIS2-Compliance im Bankensektor untermauert die Resilienzanforderungen an Institute, die kritische Finanzdienstleistungen erbringen.

Die Richtlinie gilt für mittlere und große Organisationen, die in bestimmten Sektoren tätig sind, einschließlich des Bankensektors. Obwohl viele Banken bereits unter strenger Finanzregulierung arbeiten, führt NIS2 zusätzliche sektorübergreifende Anforderungen an die Cybersicherheits-Governance sowie Meldepflichten für Sicherheitsvorfälle ein.

Wenn Ihr Unternehmen im Bankensektor tätig ist, kann es unter NIS2 entweder als Essential- oder als Important-Einrichtung eingestuft werden.

Anhang I bezeichnet Sektoren mit hoher Kritikalität; nicht jede Einrichtung in diesen Sektoren ist automatisch wesentlich. Nach Artikel 3 gilt grundsätzlich folgende größenabhängige Einstufung:

• Großunternehmen — wesentliche Einrichtungen: mindestens 250 Beschäftigte oder sowohl mehr als 50 Mio. € Jahresumsatz als auch mehr als 43 Mio. € Bilanzsumme.
• Mittlere Unternehmen — wichtige Einrichtungen: keine Großunternehmen, aber mindestens 50 Beschäftigte oder sowohl mehr als 10 Mio. € Jahresumsatz als auch mehr als 10 Mio. € Bilanzsumme.

Relevanter Anhang: Anhang I (Sektoren mit hoher Kritikalität)

Abdeckung der Subsektoren (Anhang I – Bankwesen):

• Kreditinstitute, wie im EU-Bankenrecht definiert

Zu den Kreditinstituten zählen Banken, die befugt sind, Einlagen oder andere rückzahlbare Gelder von der Öffentlichkeit entgegenzunehmen und für eigene Rechnung Kredite zu gewähren.

Die EU-KMU-Regeln gelten einschließlich der erforderlichen Einbeziehung von Partnerunternehmen und verbundenen Unternehmen (Empfehlung 2003/361/EG). Kleine und Kleinstunternehmen fallen nicht allein aufgrund ihrer Tätigkeit in einem Sektor des Anhangs I automatisch in den Anwendungsbereich. Gesetzliche Sonderfälle, die nationale Einstufung als wesentlich oder wichtig und die Identifizierung als kritische Einrichtung nach der CER-Richtlinie können die allgemeine Größenregel überlagern (Artikel 2 und 3).

Zusammenspiel im Finanzsektor: für Finanzunternehmen, die DORA unterliegen, ist diese Verordnung sektorspezifisches Unionsrecht im Sinne von NIS2-Artikel 4. Gleichwertige Anforderungen ersetzen die entsprechenden NIS2-Bestimmungen; die Einstufung nach Anhang I bedeutet allein keine doppelten Pflichten.

Die NIS2-Compliance-Pflichten im Bankensektor gelten für:

• Mittlere Unternehmen (50 oder mehr Beschäftigte oder Jahresumsatz über 10 Mio. € und Jahresbilanzsumme über 10 Mio. €; Partner- und verbundene Unternehmen werden einberechnet)
• Große Unternehmen, die diese Schwellenwerte überschreiten

Die meisten Kreditinstitute erfüllen die Schwellenwerte und fallen daher automatisch als wesentliche Einrichtungen in den Anwendungsbereich.

Mittlere und große Einrichtungen in diesem Sektor erfüllen grundsätzlich den NIS2-Größentest. Kleine und Kleinstunternehmen sind in der Regel ausgenommen, sofern keine gesetzliche größenunabhängige Regel oder förmliche nationale Benennung greift. Die EU-KMU-Definition und die Einbeziehung von Partner- und verbundenen Unternehmen nach Empfehlung 2003/361/EG sind zu beachten, ebenso sektorspezifische Regeln und die nationale Umsetzung.

Grenzüberschreitend in der EU tätige Banken unterliegen NIS2 weiterhin in jedem Mitgliedstaat, in dem sie Dienstleistungen erbringen, vorbehaltlich einschlägiger Aufsichtskoordinierungsmechanismen.

Nach Artikel 21 der NIS2-Richtlinie müssen Kreditinstitute angemessene und verhältnismäßige technische und organisatorische Maßnahmen zur Bewältigung von Cybersicherheitsrisiken umsetzen.

Verpflichtende Maßnahmen umfassen:

• Risikomanagementrahmen
• Verfahren zur Behandlung von Sicherheitsvorfällen
• Geschäftskontinuität und Notfallwiederherstellung
• Lieferkettensicherheit
• Sichere Entwicklung und Wartung
• Richtlinien zu Verschlüsselung und Kryptografie
• Zugriffskontrolle und Mehrfaktor-Authentifizierung (MFA)
• Schwachstellenmanagement und Patch-Management
• Schulungen zur Cyberhygiene
• Nutzung sicherer Kommunikationskanäle

Für Banken müssen NIS2-Sicherheitsmaßnahmen Kernbankensysteme, Zahlungsinfrastruktur, Online-Banking-Plattformen und cloudbasierte Finanzdienstleistungen abdecken. Ein starkes Identitätsmanagement, Kontrollen der Transaktionsintegrität und Echtzeitüberwachung sind wesentliche Bestandteile der Compliance.

Die NIS2-Compliance im Bankensektor erfordert eine Integration von Cybersicherheit, operationeller Resilienz und Unternehmensrisikomanagement. Obwohl Finanzinstitute bereits sektorspezifischen Regelungen zu IKT-Risiken unterliegen, auferlegt NIS2 horizontale Cybersicherheitspflichten, die in allen Mitgliedstaaten gelten.

Banken müssen bei erheblichen Sicherheitsvorfällen die NIS2-Meldefristen einhalten.

Zu den Meldepflichten gehören:

Meldungen sind an das nationale CSIRT oder die nach NIS2 benannte zuständige Behörde zu übermitteln.

Die 24-Stunden-Meldepflicht nach NIS2 erfordert eine schnelle Erkennung und interne Eskalationsverfahren. Cybervorfälle, die Zahlungsdienste, die Transaktionsabwicklung oder Kundenzugangssysteme beeinträchtigen, können als erhebliche Vorfälle gelten.

Die Nichteinhaltung der vorgeschriebenen Meldefristen kann aufsichtsrechtliche Durchsetzungsmaßnahmen und finanzielle Sanktionen nach sich ziehen.

Die NIS2-Compliance für den Bankensektor verankert die Aufsicht über die Cybersicherheit beim Leitungsorgan.

Wesentliche Governance-Anforderungen umfassen:

• Genehmigung von Maßnahmen des Cybersicherheits-Risikomanagements durch das Leitungsorgan
• Laufende Überwachung der Umsetzung
• Verpflichtende Cybersicherheitsschulungen für Mitglieder des Leitungsorgans
• Mögliche persönliche Haftungsrisiken nach nationalem Recht

Artikel 21 der NIS2-Richtlinie stellt klar, dass die Verantwortung für Cybersicherheit auf Ebene des Leitungsorgans liegt. Die Mitglieder des Leitungsorgans müssen sicherstellen, dass angemessene Kontrollen vorhanden sind und dass Risikomanagementprozesse dokumentiert und regelmäßig überprüft werden.

Für Banken ist die Governance-Abstimmung zwischen Cybersicherheitsteams, Risikofunktionen und der Geschäftsleitung entscheidend, um sowohl die NIS2- als auch die finanzaufsichtlichen Erwartungen zu erfüllen.

Als Einrichtungen nach Anhang I unterliegen als wesentliche Einrichtungen eingestufte Banken einer proaktiven Aufsicht. Zuständige Behörden können ungeachtet dessen, ob ein Vorfall eingetreten ist, Prüfungen, Inspektionen und Sicherheitsbewertungen durchführen.

Verwaltungsrechtliche Geldbußen bei Nichteinhaltung:

• Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresgesamtumsatzes (je nachdem, welcher Betrag höher ist)

Nationale Umsetzungsgesetze können die Koordinierung zwischen Finanzaufsichtsbehörden und den nach NIS2 zuständigen Behörden weiter präzisieren. Die Richtlinie legt jedoch harmonisierte Mindestschwellen für Sanktionen in den Mitgliedstaaten fest.

Angesichts der systemischen Bedeutung von Finanzinstituten wird eine robuste und risikobasierte Durchsetzung erwartet.

Bankinstitute, die eine strukturierte NIS-2-Compliance anstreben, sollten:

1. Eine NIS-2-Gap-Analyse im Einklang mit bestehenden IKT-Risikorahmenwerken durchführen
2. Kritische Bankdienstleistungen und digitale Abhängigkeiten abbilden
3. Ein dokumentiertes Rahmenwerk für das Cybersicherheitsrisikomanagement formalisieren
4. Pläne zur Vorfallreaktion und Krisenkommunikation aktualisieren
5. Verträge mit Drittanbietern und Cloud-Dienstleistern überprüfen
6. Mitglieder des Vorstands und der Geschäftsleitung schulen
7. Einen 24-Std./72-Std./1-Monat-Meldeprozess einrichten

Frühzeitige Vorbereitung reduziert Durchsetzungsrisiken und operative Beeinträchtigungen.

Bankinstitute sind unter NIS2 mit sektorspezifischen Risiken konfrontiert:

• Betriebsunterbrechung: Cybervorfälle können Zahlungssysteme oder Kernbankdienstleistungen unterbrechen.
• Exponierung gegenüber systemischen Risiken: Störungen können sich kaskadenartig über die Finanzmärkte ausbreiten.
• Beeinträchtigung der Lieferkette: Ausgelagerte IKT- und Cloud-Dienstleister bringen Drittrisiken mit sich.
• Regulatorische Geldbußen: Nichteinhaltung kann zu erheblichen finanziellen Sanktionen führen.
• Reputationsschaden: Der Verlust des Kundenvertrauens kann langfristige geschäftliche Folgen haben.

Die NIS2-Compliance im Bankensektor ist daher ein Kernelement der operationellen Resilienz und der regulatorischen Angleichung.