Kurzdefinition: Artikel 19 DORA verpflichtet Finanzunternehmen, schwerwiegende IKT-bezogene Vorfälle der zuständigen Behörde zu melden. Die Meldung erfolgt gestuft: eine Erstmeldung, eine Zwischenmeldung bei erheblicher Statusänderung und eine Abschlussmeldung nach Abschluss der Ursachenanalyse. Erhebliche Cyberbedrohungen können freiwillig gemeldet werden. In Deutschland ist die BaFin die zentrale Meldestelle. [N-DORA-19]
Der Normwortlaut
Art. 19 Abs. 1 DORA bestimmt: „Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle.“ Nach Art. 19 Abs. 4 DORA legen sie „innerhalb der in Artikel 20 Absatz 1 Buchstabe a Ziffer ii festzulegenden Fristen“ eine Erstmeldung, eine Zwischenmeldung „sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat“ und eine Abschlussmeldung vor, „wenn die Ursachenanalyse abgeschlossen ist“. [N-DORA-19]
Welche Vorfälle sind zu melden?
Schwerwiegende IKT-bezogene Vorfälle. Art. 19 DORA knüpft die Meldepflicht an die Einstufung eines IKT-Vorfalls als schwerwiegend. Erhebliche Cyberbedrohungen sind dagegen nur freiwillig zu melden (Art. 19 Abs. 2 DORA). [N-DORA-19]
In welchen Stufen ist zu melden?
In drei. Nach Art. 19 Abs. 4 DORA sind eine Erstmeldung, eine Zwischenmeldung bei erheblicher Statusänderung und eine Abschlussmeldung nach Abschluss der Ursachenanalyse vorzulegen. Die konkreten Fristen dieser Stufen legen die technischen Regulierungsstandards zu Artikel 20 DORA fest. [N-DORA-19]
An wen ist zu melden?
An die zuständige Behörde. Art. 19 Abs. 1 DORA verweist auf die nach Artikel 46 zuständige Behörde; unterliegt ein Finanzunternehmen mehreren Behörden, benennt der Mitgliedstaat eine einzige einschlägige Behörde. In Deutschland fungiert die BaFin als zentraler Melde-Hub. [N-DORA-19]
Müssen Kunden informiert werden?
Ja, bei finanziellen Auswirkungen. Nach Art. 19 Abs. 3 DORA unterrichten Finanzunternehmen ihre Kunden unverzüglich, sobald ein schwerwiegender IKT-bezogener Vorfall Auswirkungen auf deren finanzielle Interessen hat, über den Vorfall und die ergriffenen Gegenmaßnahmen. [N-DORA-19]
Kann die Meldung ausgelagert werden?
Ja, mit fortbestehender Verantwortung. Nach Art. 19 Abs. 5 DORA dürfen Finanzunternehmen die Meldepflichten an einen Drittdienstleister auslagern, bleiben aber in vollem Umfang für die Erfüllung der Meldeanforderungen verantwortlich. [N-DORA-19]
Häufige Fehlannahmen
- „Jeder IT-Vorfall ist an die Aufsicht zu melden.“ Nein. Art. 19 DORA knüpft die Pflichtmeldung an schwerwiegende IKT-bezogene Vorfälle. [N-DORA-19]
- „Eine einzige Meldung genügt.“ Nein. Vorgesehen sind Erst-, Zwischen- und Abschlussmeldung. [N-DORA-19]
- „Die Fristen stehen in Art. 19 DORA.“ Nicht die konkreten Stundenfristen. Diese legen die technischen Regulierungsstandards zu Artikel 20 DORA fest. [N-DORA-19]
- „Erhebliche Cyberbedrohungen sind zwingend zu melden.“ Nein. Ihre Meldung ist nach Art. 19 Abs. 2 DORA freiwillig. [N-DORA-19]
- „Kunden müssen nie informiert werden.“ Doch. Bei Auswirkungen auf ihre finanziellen Interessen sind sie nach Art. 19 Abs. 3 DORA unverzüglich zu unterrichten. [N-DORA-19]
- „Die Auslagerung der Meldung verlagert die Verantwortung.“ Nein. Das Finanzunternehmen bleibt voll verantwortlich (Art. 19 Abs. 5 DORA). [N-DORA-19]
Was die Geschäftsleitung tun sollte
- Einstufung regeln. Kriterien und Prozess zur Einstufung schwerwiegender IKT-Vorfälle festlegen.
- Meldewege vorbereiten. Die zuständige Behörde (in DE die BaFin) und die drei Meldestufen in die Incident-Prozesse einbauen.
- Fristen kennen. Die durch die technischen Standards gesetzten Fristen operativ hinterlegen.
- Kundeninformation einplanen. Prozesse für die Kundeninformation bei finanziellen Auswirkungen bereithalten.
Für die Geschäftsleitung
Die DORA-Vorfallmeldung ist ein enger, dreistufiger Prozess mit knappen Fristen. Für die Leitung zählt die Vorbereitung: klare Einstufungskriterien, eingerichtete Meldewege zur BaFin und ein Plan für die Kundeninformation. Wer den Prozess erst im Ernstfall aufsetzt, verliert genau die Zeit, die DORA besonders knapp bemisst.
Quellen
- [N-DORA-19] Art. 19 DORA (Verordnung (EU) 2022/2554, Meldung schwerwiegender IKT-bezogener Vorfälle), Abs. 1 bis 5. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
