Was sich bei NIS2, DORA, MaRisk, KRITIS und dem Cyber Resilience Act geändert hat, was als Nächstes ansteht und was das für Ihre Prüfung heißt. Jeder Eintrag verweist auf die Primärquelle.
KRITIS-Dachgesetz: Betreiber registrieren sich spätestens drei Monate, nachdem ihre Anlage als kritisch gilt. Die dafür maßgebliche KRITIS-Verordnung ist laut BBK noch in der Abstimmung.
BSI stellt Beispielcurriculum für NIS2-Geschäftsleitungsschulungen vor
Das BSI hat ein Beispielcurriculum für Schulungen der Leitungsebene veröffentlicht. § 38 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen. Das Curriculum ist als Grundlage für initiale Schulungen gedacht.
Für die Prüfung: Prüfen Sie, ob die Teilnahme aller Mitglieder der Geschäftsleitung belegt ist und wie die Regelmäßigkeit festgelegt wurde. Das Curriculum eignet sich als Vergleichsmaßstab für die Inhalte, ist aber kein verbindliches Soll.
Cyber Resilience Act: Meldepflichten für Hersteller gelten
Hersteller von Produkten mit digitalen Elementen melden aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die Meldeplattform von ENISA. Fristen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Der Abschlussbericht folgt bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen binnen eines Monats nach der Meldung.
Für die Prüfung: Betrifft Hersteller, nicht jede Organisation, die solche Produkte einsetzt. Klären Sie zuerst, ob eigene Produkte unter die Verordnung fallen. Wenn ja: Sind Erkennung, Zuständigkeit und Vertretung auch am Wochenende geregelt, und lässt sich die 24-Stunden-Frist im Prozess belegen?
Die neue Fassung ist mit der Veröffentlichung in Kraft getreten und stärker prinzipienbasiert. Soweit sich im Einzelfall zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 1. Januar 2027. Eine grundsätzliche Absenkung des Anforderungsniveaus ist laut BaFin nicht erfolgt.
Für die Prüfung: Kriterien in bestehenden Prüfprogrammen auf die neue Fassung umstellen und alte Fundstellen ersetzen. Wegen der gestrichenen Erläuterungen sollten Sie festhalten, woran Sie die Angemessenheit im Einzelfall messen.
DORA: Hinweise zum Meldeformular für schwerwiegende IKT-Vorfälle, Stand Mai 2026
Die BaFin stellt Hinweise für das Ausfüllen des Meldeformulars für schwerwiegende IKT-bezogene Vorfälle mit Stand 15. Mai 2026 bereit.
Für die Prüfung: Prüfen Sie, ob Vorfallprozess und Vorlagen auf diesem Stand sind und ob die Pflichtangaben im Ernstfall schnell vorliegen. Eine Probemeldung am Formular zeigt Lücken früher als der Prozess auf dem Papier.
Das Gesetz vom 11. März 2026 wurde am 16. März verkündet (BGBl. 2026 I Nr. 66) und trat am Folgetag in Kraft (§ 14 Abs. 3 bis 5 erst 2030). Es regelt die physische Resilienz kritischer Anlagen. Die Registrierungspflicht knüpft daran an, dass eine Anlage als kritisch gilt; die maßgebliche Verordnung ist laut BBK noch in der Abstimmung.
Für die Prüfung: Solange keine Einzelfeststellung vorliegt, noch keine Registrierung prüfen. Prüfen Sie stattdessen, ob jemand zuständig ist, die Einstufung vorbereitet wird und die Fristen nach der Registrierung eingeplant sind: Laut § 8 gelten Pflichten nach § 12 erstmals neun Monate, solche nach §§ 13, 18 und 20 erstmals zehn Monate danach. Ausnahme nach § 4 Abs. 2: Für DORA-Finanzunternehmen und den Sektor IT und TK gelten diese Pflichten nicht, für Siedlungsabfall und Sozialversicherung nur § 12.
NIS2-Umsetzungsgesetz seit 6. Dezember 2025 in Kraft
Einrichtungen registrieren sich spätestens drei Monate, nachdem sie als besonders wichtige oder wichtige Einrichtung gelten (§ 33 BSIG). Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist, und fordert Nachzügler auf, sich umgehend zu registrieren.
Für die Prüfung: Lassen Sie sich die Registrierung im BSI-Portal und die dokumentierte Betroffenheitsprüfung zeigen. Prüfen Sie auch, wer Änderungen der Angaben nachhält.
DORA: Hinweise zum vereinfachten IKT-Risikomanagementrahmen
Die BaFin richtet die Aufsichtsmitteilung unter anderem an Institute außerhalb der CRR. Sie wenden den vereinfachten Rahmen nach Artikel 16 DORA ab Januar 2027 an. Er ersetzt für sie die BAIT.
Für die Prüfung: Prüfungen für 2027 nicht mehr gegen die BAIT planen. Prüfen Sie, ob die Überleitung auf Artikel 16 geplant und die Zuständigkeit benannt ist, und nehmen Sie Drittparteienrisiken mit auf.
Das Radar ist eine Auswahl für IT-Prüfungen und erhebt keinen Anspruch auf Vollständigkeit. Die Abschnitte „Für die Prüfung“ sind unsere Einordnung, keine Rechtsberatung und keine Aussage der Behörden. Maßgeblich ist immer die Quelle in ihrer aktuellen Fassung.