Wer betroffen ist

Die drei Regelwerke greifen ineinander und unterscheiden sich vor allem im Geltungsbereich:

  • DSGVO: jede Organisation, die personenbezogene Daten verarbeitet.
  • NIS2: Unternehmen in 18 Sektoren, in der Regel ab mittlerer Größe, von Energie und Gesundheit bis zu digitalen Diensten. In Deutschland gilt NIS2 über das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025. Das BSI beaufsichtigt damit rund 29.500 Einrichtungen statt bisher etwa 4.500. Bis Ende Juni 2026 hatten sich 17.729 davon registriert.
  • DORA: Finanzunternehmen wie Banken, Versicherer und Zahlungsdienstleister. DORA gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Staaten.
gilt für alleDSGVO Art. 32

Angemessene technische Maßnahmen zum Schutz personenbezogener Daten, inklusive regelmäßiger Überprüfung der Wirksamkeit.

Frist 17.10.2024 · 18 SektorenNIS2

Risikomanagement, Meldepflichten und Leitungsverantwortung für kritische und wichtige Einrichtungen.

ab 17.01.2025 · FinanzsektorDORA

Digitale operationale Resilienz, inklusive regelmäßiger Tests der IKT-Systeme, zu denen APIs zentral gehören.

Von innen nach außen: DSGVO trifft jede Organisation mit personenbezogenen Daten, NIS2 zusätzlich 18 kritische Sektoren, DORA den Finanzsektor.

NIS2: Was für APIs gilt

NIS2 verlangt Risikomanagement-Maßnahmen nach Artikel 21. Mehrere davon betreffen APIs direkt:

  • Sicherheit bei Entwicklung und Wartung, einschließlich Schwachstellenmanagement: Schwachstellen in APIs müssen gefunden und behoben werden, nicht erst nach einem Vorfall.
  • Verfahren zur Bewertung der Wirksamkeit: Es reicht nicht, Maßnahmen zu haben. Sie müssen nachweislich wirken, etwa durch regelmäßige Tests.
  • Sicherheit der Lieferkette: Dazu gehören auch APIs von Dienstleistern und Drittanbietern, die in eigene Abläufe eingebunden sind (siehe Unsafe Consumption of APIs).
  • Zugriffskontrolle und Multi-Faktor-Authentifizierung: Bei APIs heißt das saubere Authentifizierung und Autorisierung, also genau dort, wo BOLA und BFLA entstehen.

Erhebliche Sicherheitsvorfälle sind meldepflichtig: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.

Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen. Sie kann für Verstöße haftbar gemacht werden. Die Richtlinie sieht Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen vor. Für wichtige Einrichtungen sind es bis zu 7 Mio. Euro oder 1,4 %, jeweils der höhere Betrag.

DORA: Was für APIs gilt

DORA verlangt von Finanzunternehmen ein Programm zum Testen der digitalen operationalen Resilienz (Art. 24). Für APIs ist dabei entscheidend:

  • Mindestens jährliche Tests aller IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen (Art. 24 Abs. 6). APIs, über die Zahlungen, Konten oder Kundendaten laufen, gehören in der Regel dazu.
  • Ausdrücklich genannte Testarten: von Schwachstellenscans über Quellcode-Reviews und End-to-End-Tests bis zu Penetrationstests (Art. 25).
  • TLPT: Bestimmte Finanzunternehmen müssen zusätzlich mindestens alle drei Jahre bedrohungsgeleitete Penetrationstests durchführen (Art. 26).
  • Drittanbieter-APIs: Sie fallen unter das IKT-Drittparteirisiko. Abhängigkeiten müssen erfasst, bewertet und vertraglich abgesichert sein (Art. 28 ff.).

Wie bei NIS2 gilt: Schwerwiegende IKT-Vorfälle sind meldepflichtig.

DSGVO: Was für APIs gilt

Die DSGVO gilt für jede API, über die personenbezogene Daten laufen. Artikel 32 verlangt geeignete technische und organisatorische Maßnahmen und ausdrücklich ein Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit. Wird eine Datenschutzverletzung bekannt, etwa weil eine API fremde Kundendaten ausgeliefert hat, muss sie in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33).

Die DSGVO ahndet Verstöße gegen die Sicherheit der Verarbeitung (Art. 32) nach der unteren Bußgeldstufe mit bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Schwerere Verstöße reichen bis 20 Mio. Euro oder 4%.

Was Prüfer als Nachweis erwarten

Alle drei Regelwerke verlangen nicht nur Maßnahmen, sondern den Nachweis, dass sie wirken. Für APIs heißt das in der Praxis:

  • Ein aktuelles API-Inventar: welche Schnittstellen es gibt, auch alte Versionen und Schatten-APIs, und wem sie gehören.
  • Testumfang und Häufigkeit: welche APIs wann und womit getestet wurden. Bei DORA ist das für kritische Funktionen mindestens jährlich.
  • Befunde mit Beleg: welcher Endpunkt, welche Prüfung, welches Ergebnis. Ein Score ohne Beleg reicht im Audit nicht.
  • Behebung und Retest: wie mit jedem Befund umgegangen wurde und ob die Lücke nachweislich geschlossen ist.
  • Zuordnung zur Anforderung: welcher Befund welche Pflicht berührt, etwa NIS2 Art. 21 oder DORA Art. 25.
Kern

Prüfer wollen keinen Score, sondern den Beweis: welcher Endpunkt, welche Prüfung, welches Ergebnis, welcher Umgang damit.

Vom Befund zum Nachweis

Genau hier setzt der nachvollziehbare Befund an: Jeder Fund von Venedy bringt sein Protokoll mit, wer was entschieden hat und warum. Aus demselben Protokoll entsteht der Compliance-Nachweis, je Befund nach DORA und NIS2 eingeordnet. Der Beweis fällt als Nebenprodukt der Prüfung an, nicht als separate Fleißarbeit. So arbeitet Venedy

Häufige Fragen

Bin ich von NIS2 betroffen?

Das hängt von Sektor und Unternehmensgröße ab. Das BSI bietet dafür eine Betroffenheitsprüfung an. Betroffene Unternehmen müssen sich beim BSI registrieren.

Reicht ein jährlicher Pentest für DORA?

Für Systeme, die kritische oder wichtige Funktionen unterstützen, schreibt DORA mindestens jährliche Tests vor (Art. 24 Abs. 6). Das ist die Untergrenze. APIs ändern sich mit jedem Release, und neue Endpunkte bringen neue Berechtigungspfade. Wer nur einmal im Jahr testet, prüft deshalb oft einen Stand, den es so nicht mehr gibt.

Ist ein API-Datenleck meldepflichtig?

Häufig ja. Gelangen personenbezogene Daten an Unbefugte, greift die DSGVO-Meldepflicht innerhalb von 72 Stunden, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Für NIS2-Einrichtungen kann ein solcher Vorfall zusätzlich ein erheblicher Sicherheitsvorfall mit eigenen Fristen sein. Im Finanzsektor gelten die Meldepflichten nach DORA.

Quellen

Weiterlesen
SouveränitätSouveränität im Sicherheitskontext RisikenOWASP API Security Top 10