DORA und das Cybersicherheitsgesetz: ČNB und NÚKIB klären die Regeln

Am 24. Juni 2026 veröffentlichten die Tschechische Nationalbank (ČNB) und die Nationale Cyber- und Informationssicherheitsbehörde (NÚKIB) eine gemeinsame Erklärung, die darauf abzielt, das Verhältnis zwischen der DORA-Verordnung und dem Cybersicherheitsgesetz (ZKB-Gesetz) in Bezug auf Finanzmarkteinheiten zu klären, die den beiden rechtlichen Regimen unterliegen.

Das grundlegende Problem liegt darin, dass einige finanzielle Institutionen gleichzeitig den Verpflichtungen gemäß der DORA-Verordnung sowie gemäß dem ZKB-Gesetz unterliegen. Diese sogenannten DORA-Einheiten stehen daher in der Praxis vor der Frage, ob sie beide Regelkomplexe parallel einhalten müssen oder ob einer von diesen Komplexen Vorrang hat. Diese Frage beantwortet die gemeinsame Erklärung.

Die ČNB und die NÚKIB-Behörde basieren auf dem Prinzip lex specialis derogat legi generali, das heißt auf dem Prinzip, dass spezielle rechtliche Regelungen Vorrang vor der allgemeinen Gesetzgebung haben. Gemäß Artikel 1 Absatz 2 gilt die DORA-Verordnung als sektorspezifischer Rechtsakt der Union im Sinne von Artikel 4 der NIS-2-Direktive. Reguliert die DORA-Verordnung einen bestimmten Bereich der Cybersicherheit mit einer Methode, die mit ihrer Wirkung den Anforderungen von NIS 2-Direktive bzw. ZKB-Gesetz entspricht, wird die DORA vorrangig angewendet.

Gleichzeitig betont die Erklärung, dass der Vorrang von DORA nicht absolut verstanden werden kann. Das bedeutet nämlich nicht, dass das ZKB-Gesetz vollständig gegenüber den DORA-Einheiten ausgeschlossen ist. Im Gegenteil, wenn DORA einen bestimmten Bereich nicht reguliert oder nicht gleichwertig reguliert, unterliegen DORA-Einheiten weiterhin den entsprechenden Verpflichtungen nach dem ZKB-Gesetz. Die ČNB und die NÚKIB-Behörde nennen als Beispiele insbesondere die Registrierung einer Einheit bei der NÚKIB-Behörde oder die Regeln im Zusammenhang mit dem Zustand der Cybergefahr.

Ebenso wichtig ist die Schlussfolgerung in Situationen, in denen tschechische oder andere relevante rechtliche Regelungen andere, detailliertere oder strengere Anforderungen festlegen, die nicht als gleichwertig mit den Anforderungen der DORA-Verordnung angesehen werden können. In einem solchen Fall muss die DORA-Einheit gleichzeitig sowohl die aus der DORA-Verordnung ergebenen Anforderungen als auch diese zusätzlichen Verpflichtungen erfüllen. Mit anderen Worten: DORA fungiert als grundlegender regulatorischer Rahmen, der mit strengeren oder spezialisierten Regeln für bestimmte Tätigkeitsbereiche bereichert wird. Der maßgebende Sinn und Zweck solcher Regelungen ist es, ein zusammenhaltbares europäisches Cybersicherheitsregime sicherzustellen und die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.

Nicht weniger interessant ist der Teil der Erklärung, der der Aufsicht gewidmet ist. Finanzielle Einheiten, die der DORA-Verordnung unterliegen, werden in erster Linie von der ČNB überwacht. Wenn sie jedoch bestimmte Aktivitäten ausführen, die durch andere Vorschriften nicht gleichwertig geregelt sind, können sie auch der Aufsicht durch andere Behörden, insbesondere der NÚKIB oder der Digital- und Informationsagentur (DIA) unterliegen. Beide Behörden geben ausdrücklich an, dass sie ihren Aufsichtsansatz koordinieren und Instrumente wie gemeinsame Kontrollen, das gemeinsame Teilen der Ergebnisse von Kontrollaktivitäten oder andere Formen der Zusammenarbeit nutzen werden. Ziel ist es, Doppelarbeit zu vermeiden und gleichzeitig die Durchsetzung von Cybersicherheits- und Resilienz-Anforderungen effektiver zu machen.

Die Gemeinsame Erklärung stellt somit ein wichtiges interpretatives Dokument für die auf dem Finanzmarkt tätigen Einheiten dar, die an der Grenze zwischen den DORA- und ZKB-Vorschriften liegen. Sie bietet eine relativ klare Leitlinie, nach der die DORA-Verordnung (als spezielle Regelung) Vorrang hat, wenn die Anforderungen beider Regime inhaltlich gleichwertig sind. Wenn jedoch das ZKB-Gesetz oder eine andere Sonderregelung zusätzliche oder strengere Verpflichtungen vorsieht, ist es notwendig, beide Regime parallel anzuwenden. Gleichzeitig bestätigt die Erklärung, dass die Aufsicht bzgl. der Erfüllung dieser Verpflichtungen künftig in verstärkter Koordination zwischen der ČNB und der NÚKIB-Behörde erfolgen wird, was zu mehr Rechtssicherheit für die Unternehmen sowie zu einer effektiveren Aufsicht beitragen sollte.