Was ist ein schwerwiegender IKT-bezogener Vorfall?
Ein schwerwiegender IKT-bezogener Vorfall ist ein IKT-Vorfall mit umfassenden nachteiligen Auswirkungen auf Netzwerk- und Informationssysteme, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen.
Das ist die Legaldefinition aus Artikel 3 Nummer 10 DORA. Von ihr zu trennen sind die konkreten Einstufungsregeln, anhand derer Finanzunternehmen bestimmen müssen, ob ein Vorfall für die Meldung nach Artikel 19 Absatz 1 DORA als schwerwiegend gilt.
Der Normwortlaut
„schwerwiegender IKT-bezogener Vorfall“ einen IKT-Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informationssysteme hat, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen;
Ein Vorfall wird für die Zwecke von Artikel 19 Absatz 1 der Verordnung (EU) 2022/2554 als schwerwiegender Vorfall angesehen, wenn die in Artikel 6 genannten kritischen Dienste beeinträchtigt und eine der folgenden beiden Bedingungen erfüllt ist: a) Die in Artikel 9 Absatz 5 Buchstabe b genannte Wesentlichkeitsschwelle ist erreicht; b) zwei oder mehr der in Artikel 9 Absätze 1 bis 6 genannten anderen Wesentlichkeitsschwellen sind erreicht.
Wiederholte Vorfälle, die nach Absatz 1 einzeln betrachtet keine schwerwiegenden Vorfälle sind, werden zusammengenommen als schwerwiegender Vorfall betrachtet, wenn sie alle folgenden Bedingungen erfüllen: a) Sie sind innerhalb von sechs Monaten mindestens zwei Mal aufgetreten; b) sie haben dieselbe offensichtliche Ursache im Sinne von Artikel 20 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554; c) sie erfüllen zusammengenommen die in Absatz 1 festgelegten Kriterien für die Betrachtung als schwerwiegender Vorfall. Die Finanzunternehmen bewerten das Vorliegen wiederholter Vorfälle monatlich.
Absatz 2 gilt nicht für Kleinstunternehmen und Finanzunternehmen, die dem vereinfachten IKT-Risikomanagementrahmen nach Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 unterliegen.
Für wen ist die Einstufung relevant?
Adressaten der Klassifizierungs- und Meldepflichten aus Artikel 18 Absatz 1 und Artikel 19 Absatz 1 DORA sind die Finanzunternehmen im Sinne von Artikel 2 Absätze 1 und 2. Dabei bleiben die Ausnahmen und mitgliedstaatlichen Optionen aus Artikel 2 Absätze 3 und 4 maßgeblich. IKT-Drittdienstleister können zwar teilweise in den DORA-Geltungsbereich fallen, sind aber nicht selbst Adressaten dieser beiden Pflichten.
Wann gilt ein Vorfall für die Meldung als schwerwiegend?
Ein Finanzunternehmen muss einen IKT-bezogenen Vorfall nach Artikel 18 DORA sowie den Artikeln 6, 8 und 9 der Delegierten Verordnung (EU) 2024/1772 klassifizieren. Für die Schwerwiegendeinstufung müssen kritische Dienste beeinträchtigt sein. Zusätzlich muss entweder die Schwelle für böswilligen unbefugten Zugriff nach Artikel 9 Absatz 5 Buchstabe b oder müssen mindestens zwei andere Schwellen aus Artikel 9 Absätze 1 bis 6 erreicht sein. Erst ein so als schwerwiegend eingestufter Vorfall löst die Meldung nach Artikel 19 Absatz 1 DORA aus.
Welche Kriterien sind bei der Klassifizierung zu prüfen?
Die Einstufung ist keine freie Schadensbewertung. Finanzunternehmen müssen die Kriterien aus Artikel 18 Absatz 1 DORA und deren Operationalisierung in den Artikeln 2 bis 9 der Delegierten Verordnung (EU) 2024/1772 heranziehen. Dazu gehören betroffene Kunden, Gegenparteien und Transaktionen, Reputationsauswirkungen, Dauer und Ausfallzeit, geografische Ausbreitung, Verluste von Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit, die Kritikalität der betroffenen Dienste sowie wirtschaftliche Auswirkungen.
Wie werden wiederholte Vorfälle behandelt?
Einzeln nicht schwerwiegende Vorfälle sind nur dann zusammenzurechnen, wenn sie innerhalb von sechs Monaten mindestens zweimal auftreten, dieselbe offensichtliche Ursache haben und gemeinsam die Voraussetzungen für einen schwerwiegenden Vorfall erfüllen. Finanzunternehmen müssen das Vorliegen solcher Wiederholungen monatlich bewerten. Diese Regel gilt weder für Kleinstunternehmen noch für Finanzunternehmen nach Artikel 16 Absatz 1 DORA.
Welche Abgrenzungen und Spezialregime gelten?
Eine erhebliche Cyberbedrohung ist kein bereits eingetretener schwerwiegender IKT-bezogener Vorfall. Ihre Meldung ist nach Artikel 19 Absatz 2 DORA freiwillig. Außerdem gilt Artikel 19 DORA nach dessen Absatz 8 nicht für die dort bezeichneten zahlungsbezogenen Betriebs- oder Sicherheitsvorfälle, soweit sie der Meldepflicht nach Artikel 96 der Richtlinie (EU) 2015/2366 unterliegen.
Welche Meldefristen gelten?
Nach der Einstufung als schwerwiegend ist die Erstmeldung so früh wie möglich zu übermitteln, spätestens vier Stunden nach der Einstufung und grundsätzlich spätestens 24 Stunden nach Kenntnis des Vorfalls. Erfolgt die Einstufung erst nach Ablauf dieser 24 Stunden, gilt die Vierstundenfrist ab Einstufung. Die Zwischenmeldung ist spätestens 72 Stunden nach der Erstmeldung fällig; die Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung.
Ist eine fristgerechte Übermittlung nicht möglich, muss das Finanzunternehmen die zuständige Behörde unverzüglich und noch innerhalb der jeweiligen Meldefrist über die Verzögerungsgründe informieren. Fällt eine Frist auf ein Wochenende oder einen Feiertag, ist grundsätzlich eine Verschiebung bis 12:00 Uhr des nächsten Arbeitstags möglich. Für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen sowie anderen Finanzunternehmen, die als wesentliche oder wichtige Einrichtungen nach NIS2 eingestuft sind, gilt diese Verschiebung nicht.
Häufige Fehlannahmen
- Jede Störung eines kritischen Dienstes sei automatisch schwerwiegend. Zusätzlich muss eine der vorgeschriebenen Schwellenkombinationen erreicht sein.
- Eine erhebliche Cyberbedrohung sei bereits ein schwerwiegender Vorfall. Sie ist ein eigener Tatbestand und nur freiwillig meldbar.
- Mehrere ähnliche Vorfälle seien stets zusammenzurechnen. Dafür müssen sämtliche Voraussetzungen des Artikels 8 Absatz 2 erfüllt sein; zudem bestehen adressatenbezogene Ausnahmen.
- Die Erstmeldung sei immer erst nach 24 Stunden fällig. Sie muss so früh wie möglich erfolgen; zusätzlich gelten die Vierstundenfrist nach Einstufung und grundsätzlich die 24-Stunden-Grenze ab Kenntnis.
- IKT-Drittdienstleister müssten selbst nach Artikel 18 und 19 klassifizieren und melden. Diese Pflichten richten sich an Finanzunternehmen.
Was die Geschäftsleitung tun sollte
Die folgenden Punkte sind Praxisempfehlungen. Sie geben die Verantwortung aus Artikel 5 sowie die Prozesspflicht aus Artikel 17 DORA nicht als zusätzliche Einzelpflichten aus.
- Einen dokumentierten Prozess für Erkennung, Klassifizierung, Eskalation, Meldung und Nachbereitung sicherstellen.
- Verantwortlichkeiten, Vertretungen und Eskalationswege so festlegen, dass die kurzen Meldefristen eingehalten werden können.
- Die Schwellenprüfung und die monatliche Prüfung wiederholter Vorfälle nachvollziehbar dokumentieren lassen.
- Sich regelmäßig Nachweise zur Funktionsfähigkeit des Vorfallprozesses, zu Fristeinhaltung und zu festgestellten Lücken berichten lassen.
- Spezialregime und adressatenbezogene Ausnahmen in Arbeitsanweisungen abbilden.
Das Leitungsorgan muss den IKT-Risikomanagementrahmen definieren, billigen und überwachen; das Finanzunternehmen muss den Vorfallprozess einrichten, aufrechterhalten und umsetzen. Daraus folgt jedoch nicht, dass das Leitungsorgan jede einzelne Meldung persönlich bearbeiten muss.
Für die Geschäftsleitung
Die DORA-Klassifizierung betrifft Finanzunternehmen innerhalb des gesetzlichen Anwendungsbereichs und verlangt eine regelgebundene Entscheidung anhand kritischer Dienste und vorgegebener Schwellen. Entscheidend sind belastbare Eskalations- und Meldewege sowie der Nachweis, wann ein Vorfall erkannt, eingestuft, erneut bewertet und gemeldet wurde. Die operative Bearbeitung kann organisiert werden; die Verantwortung des Leitungsorgans für Definition, Billigung und Überwachung des IKT-Risikomanagementrahmens bleibt bestehen.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 2, Artikel 3 Nummer 10, Artikel 5 und Artikel 17 bis 19.
- Delegierte Verordnung (EU) 2024/1772, insbesondere Artikel 2 bis 10.
- Delegierte Verordnung (EU) 2025/301, Artikel 5.
