Framework-Vergleich

DORA, NIS2, MaRisk und ISO 27001 im direkten Vergleich: Geltungsbereich, Anforderungen, Strafen und Überschneidungen.

Merkmal	DORA	NIS2	MaRisk	ISO 27001
Vollform	Digital Operational Resilience Act	EU 2022/2555 — Netz- und Informationssicherheit	Mindestanforderungen an das Risikomanagement (BaFin)	ISO/IEC 27001:2022 — Informationssicherheit
DORA Digital Operational Resilience Act NIS2 EU 2022/2555 — Netz- und Informationssicherheit MaRisk Mindestanforderungen an das Risikomanagement (BaFin) ISO 27001 ISO/IEC 27001:2022 — Informationssicherheit
Geltungsbereich	Finanzinstitute (CRR/CRD, ICAAP, Zahlungsdienste)	Wesentliche + wichtige Einrichtungen (Energie, Verkehr, Finanzen, Gesundheit)	Alle CRR-Institute, Finanzdienstleister	Alle Organisationen (freiwillig)
DORA Finanzinstitute (CRR/CRD, ICAAP, Zahlungsdienste) NIS2 Wesentliche + wichtige Einrichtungen (Energie, Verkehr, Finanzen, Gesundheit) MaRisk Alle CRR-Institute, Finanzdienstleister ISO 27001 Alle Organisationen (freiwillig)
Umfang	64 Artikel + 30 Level-2-Maßnahmen	35 Artikel	9 Module (AT + BT 1-8)	93 Annex A Controls in 4 Domänen
DORA 64 Artikel + 30 Level-2-Maßnahmen NIS2 35 Artikel MaRisk 9 Module (AT + BT 1-8) ISO 27001 93 Annex A Controls in 4 Domänen
Schwerpunkt	IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittparteien	Cyber-Sicherheit, Incident-Reporting, Lieferkette, Governance	Risikomanagement, ICAAP, Outsourcing, Revision	ISMS, Risikomanagement, Controls, kontinuierliche Verbesserung
DORA IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittparteien NIS2 Cyber-Sicherheit, Incident-Reporting, Lieferkette, Governance MaRisk Risikomanagement, ICAAP, Outsourcing, Revision ISO 27001 ISMS, Risikomanagement, Controls, kontinuierliche Verbesserung
Status	In Kraft seit Jan 2025, Anwendung ab Jan 2025	In Kraft seit Jan 2023, Umsetzung bis Okt 2024	9. Novelle final (Rundschreiben 06/2026)	Aktuelle Version 2022, Übergangsfrist bis Okt 2025
DORA In Kraft seit Jan 2025, Anwendung ab Jan 2025 NIS2 In Kraft seit Jan 2023, Umsetzung bis Okt 2024 MaRisk 9. Novelle final (Rundschreiben 06/2026) ISO 27001 Aktuelle Version 2022, Übergangsfrist bis Okt 2025
Kernanforderungen	Art. 5-16 IKT-RM, Art. 17-23 Vorfälle, Art. 24-27 Tests, Art. 28-30 TPR	Art. 20 Governance, Art. 21 Cyber-RM, Art. 23 Meldung, Art. 24 Lieferkette	AT 4.3.2 Risikotragfähigkeit, AT 7.2 gestrichen (→ DORA), BTO 1.2 Sicherheit, BTO 2 Auslagerung	Clauses 4-10, Annex A.5-A.8 (organisatorisch, personell, physisch, technisch)
DORA Art. 5-16 IKT-RM, Art. 17-23 Vorfälle, Art. 24-27 Tests, Art. 28-30 TPR NIS2 Art. 20 Governance, Art. 21 Cyber-RM, Art. 23 Meldung, Art. 24 Lieferkette MaRisk AT 4.3.2 Risikotragfähigkeit, AT 7.2 gestrichen (→ DORA), BTO 1.2 Sicherheit, BTO 2 Auslagerung ISO 27001 Clauses 4-10, Annex A.5-A.8 (organisatorisch, personell, physisch, technisch)
Sanktionen	Bis zu 2% des Jahresumsatzes oder 10 Mio. €	Bis zu 10 Mio. € oder 2% des Umsatzes	Aufsichtsrechtliche Maßnahmen, Sonderprüfungen	Keine direkten Strafen, aber Zertifikatsentzug
DORA Bis zu 2% des Jahresumsatzes oder 10 Mio. € NIS2 Bis zu 10 Mio. € oder 2% des Umsatzes MaRisk Aufsichtsrechtliche Maßnahmen, Sonderprüfungen ISO 27001 Keine direkten Strafen, aber Zertifikatsentzug
Anforderungen (DORA)	Art. 5-16 IKT-RM, Art. 17-23 Vorfälle, Art. 24-27 Tests, Art. 28-30 TPR
→ Art. 5-16 IKT-RM → Art. 17-23 Vorfälle → Art. 24-27 Tests → Art. 28-30 TPR
Anforderungen (NIS2)	Art. 20 Governance, Art. 21 Cyber-RM, Art. 23 Meldung, Art. 24 Lieferkette
→ Art. 20 Governance → Art. 21 Cyber-RM → Art. 23 Meldung → Art. 24 Lieferkette
Anforderungen (MaRisk)	AT 4.3.2 Risikotragfähigkeit, AT 7.2 gestrichen (→ DORA), BTO 1.2 Sicherheit, BTO 2 Auslagerung
→ AT 4.3.2 Risikotragfähigkeit → AT 7.2 gestrichen (→ DORA) → BTO 1.2 Sicherheit → BTO 2 Auslagerung
Anforderungen (ISO 27001)	Clauses 4-10, Annex A.5-A.8 (organisatorisch, personell, physisch, technisch)
→ Clauses 4-10 → Annex A.5-A.8 (organisatorisch → personell → physisch → technisch)

Framework-Vergleich

DORA ↔ ISO 27001

DORA ↔ MaRisk

NIS2 ↔ ISO 27001

MaRisk ↔ ISO 27001

Radar-Vergleich

DORA

NIS2

MaRisk

ISO 27001