Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Verordnung (EU) 2022/2554 · Kapitel II, Artikel 14 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 verfügen Finanzunternehmen über Kommunikationspläne, die je nach Sachlage eine verantwortungsbewusste Offenlegung zumindest von schwerwiegenden IKT-bezogenen Vorfällen oder Schwachstellen gegenüber Kunden und anderen Finanzunternehmen sowie der Öffentlichkeit ermöglichen.
(2) Als Teil des IKT-Risikomanagementrahmens setzen Finanzunternehmen Kommunikationsstrategien für interne Mitarbeiter und externe Interessenträger um. Bei Kommunikationsleitlinien für Mitarbeiter wird berücksichtigt, dass zwischen dem Personal, das am IKT-Risikomanagement, insbesondere im Bereich Reaktion und Wiederherstellung, beteiligt ist, und dem zu informierendem Personal unterschieden werden muss.
(3) Mindestens eine Person im Finanzunternehmen ist mit der Umsetzung der Kommunikationsstrategie für IKT-bezogene Vorfälle beauftragt und nimmt zu diesem Zweck die entsprechende Aufgabe gegenüber der Öffentlichkeit und den Medien wahr.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 14 verlangt Kommunikationspläne für die verantwortungsbewusste Offenlegung von schwerwiegenden Vorfällen und Schwachstellen, Kommunikationsstrategien nach innen und außen sowie mindestens eine Person, die die Kommunikationsstrategie umsetzt und gegenüber Öffentlichkeit und Medien auftritt.
Es ist der kürzeste Artikel des Kapitels und einer der am leichtesten zu erfüllenden, wenn man ihn kennt.
In der Praxis
Absatz 3 ist ein Einzeiler, der oft fehlt
Mindestens eine Person im Finanzunternehmen ist mit der Umsetzung der Kommunikationsstrategie für IKT-bezogene Vorfälle beauftragt und nimmt die entsprechende Aufgabe gegenüber Öffentlichkeit und Medien wahr.
Das ist eine Benennung, keine Stelle. Ein Satz im Notfallhandbuch mit Name, Vertretung und Erreichbarkeit erfüllt die Anforderung. Fehlt er, ist es eine Feststellung, die für eine halbe Stunde Arbeit vermeidbar gewesen wäre.
Die Kommunikation nach innen wird unterschätzt
Absatz 2 verlangt, bei den Kommunikationsleitlinien für Mitarbeiter zu berücksichtigen, dass zwischen dem Personal, das mit dem IKT-Risikomanagement befasst ist, und dem übrigen Personal zu unterscheiden ist.
Im Ernstfall ist die erste Frage, die niemand geregelt hat: Was sagt die Filiale dem Kunden am Schalter, während die Systeme stehen? Ein halber Seite Sprachregelung, vorher abgestimmt, ist im Vorfall mehr wert als das dickste Konzept.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Kommunikationsplan für IKT-bezogene Vorfälle
- Kommunikationsstrategie für interne und externe Adressaten
- Benennung der verantwortlichen Person mit Vertretung und Erreichbarkeit
Häufige Fragen zu Artikel 14
Muss ein Institut einen Pressesprecher für IKT-Vorfälle benennen?
Artikel 14 Absatz 3 DORA verlangt, dass mindestens eine Person mit der Umsetzung der Kommunikationsstrategie für IKT-bezogene Vorfälle beauftragt ist und diese Aufgabe gegenüber Öffentlichkeit und Medien wahrnimmt. Eine eigene Stelle ist dafür nicht erforderlich, eine dokumentierte Benennung schon.
Stand: 28. September 2026