Das KRITIS-Dachgesetz gilt nach § 4 für Betreiber kritischer Anlagen in zehn Sektoren, darunter das Finanzwesen. Betreiber stellen ihre Maßnahmen in einem Resilienzplan dar. Nach § 20 sind Geschäftsleitungen verpflichtet, die Resilienzmaßnahmen umzusetzen; verletzen sie diese Pflicht, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden.
Das BSI-Gesetz zählt Betreiber kritischer Anlagen zu den besonders wichtigen Einrichtungen (§ 28). Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 nehmen beide Gesetze von den dort genannten Vorschriften aus.