Artikel 19 DORA: Meldung von IKT-Vorfällen

Wen dieser Artikel betrifft

VVoller Rahmen
16Artikel 16
IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel III, Artikel 19 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

(1) Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle.

Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und Aufgaben verantwortlich ist.

Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, melden schwerwiegende IKT-bezogene Vorfälle der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde, die diese Meldung unverzüglich an die EZB weiterleitet.

Für die Zwecke von Unterabsatz 1 erstellen Finanzunternehmen nach Erfassung und Analyse aller relevanten Informationen unter Verwendung der in Artikel 20 genannten Vorlage die Erstmeldung und die Meldungen nach Absatz 4 und übermitteln diese der zuständigen Behörde. Falls es aus technischen Gründen nicht möglich ist, die Erstmeldung unter Verwendung der Vorlage zu übermitteln, teilen die Finanzunternehmen dies der zuständigen Behörde auf anderem Wege mit.

Die Erstmeldung und die Meldungen nach Absatz 4 enthalten alle Informationen, die die zuständige Behörde benötigt, um die Signifikanz des schwerwiegenden IKT-bezogenen Vorfalls zu ermitteln und mögliche grenzüberschreitende Auswirkungen zu bewerten.

Unbeschadet der Meldung gemäß Unterabsatz 1 durch das Finanzunternehmen an die jeweils zuständige Behörde können die Mitgliedstaaten zusätzlich festlegen, dass einige oder alle Finanzunternehmen die Erstmeldung und jede Meldung nach Absatz 4 auch den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden oder Computer-Notfallteams (computer security incident response teams — CSIRT) unter Verwendung der in Artikel 20 genannten Vorlage zur Verfügung stellen müssen.

(2) Finanzunternehmen können der jeweils zuständigen Behörde auf freiwilliger Basis erhebliche Cyberbedrohungen melden, wenn sie der Auffassung sind, dass die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden relevant ist. Die jeweils zuständige Behörde kann derartige Informationen anderen in Absatz 6 genannten einschlägigen Behörden zur Verfügung stellen.

Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, können erhebliche Cyberbedrohungen auf freiwilliger Basis der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde melden, die diese Meldung unverzüglich an die EZB weiterleitet.

Die Mitgliedstaaten können festlegen, dass die Finanzunternehmen, die auf freiwilliger Basis eine Meldung gemäß Unterabsatz 1 vornehmen, diese Meldung auch an die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT erstatten können.

(3) Wenn ein schwerwiegender IKT-bezogener Vorfall auftritt und Auswirkungen auf die finanziellen Interessen von Kunden hat, unterrichten die Finanzunternehmen, sobald sie hiervon Kenntnis erlangt haben, ihre Kunden unverzüglich über den schwerwiegenden IKT-bezogenen Vorfall und die Maßnahmen, die ergriffen wurden, um die nachteiligen Auswirkungen eines solchen Vorfalls zu mindern.

Im Falle einer erheblichen Cyberbedrohung unterrichten die Finanzunternehmen gegebenenfalls ihre potenziell betroffenen Kunden über angemessene Schutzmaßnahmen, die diese ergreifen könnten.

(4) Finanzunternehmen legen innerhalb der in Artikel 20 Absatz 1 Buchstabe a Ziffer ii festzulegenden Fristen der jeweils zuständigen Behörde Folgendes vor:

¶a)eine Erstmeldung;
¶b)nach der Erstmeldung gemäß Buchstabe a eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat oder sich die Handhabung des schwerwiegenden IKT-bezogenen Vorfalls auf der Grundlage neuer verfügbarer Informationen geändert hat, gegebenenfalls gefolgt von aktualisierten Meldungen, wann immer eine entsprechende Statusaktualisierung vorliegt, sowie auf ausdrücklichen Antrag der zuständigen Behörde;
¶c)eine Abschlussmeldung, wenn die Ursachenanalyse abgeschlossen ist — unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden oder nicht — und sich die tatsächlichen Auswirkungen beziffern lassen und Schätzungen ersetzen.

(5) Finanzunternehmen dürfen im Einklang mit den sektorspezifischen Rechtsvorschriften der Union und der Mitgliedstaaten die Meldepflichten nach diesem Artikel an einen Drittdienstleister auslagern. Bei einer solchen Auslagerung bleibt das Finanzunternehmen in vollem Umfang für die Erfüllung der Anforderungen für die Meldung von Vorfällen verantwortlich.

(6) Nach Eingang der Erstmeldung und jeder Meldung nach Absatz 4 übermittelt die zuständige Behörde auf der Grundlage der je nach Sachlage bestehenden jeweiligen Zuständigkeiten zeitnah Einzelheiten zu dem schwerwiegenden IKT-bezogenen Vorfall an die folgenden Empfänger:

¶a)die EBA, die ESMA oder die EIOPA;
¶b)die EZB, sofern es sich um Finanzunternehmen im Sinne von Artikel 2 Absatz 1 Buchstaben a, b und d handelt;
¶c)die zuständigen Behörden, die zentrale Anlaufstelle oder die CSIRT, die jeweils gemäß der Richtlinie (EU) 2022/2555 benannt oder eingerichtet werden;
¶d)die in Artikel 3 der Richtlinie 2014/59/EU genannten Abwicklungsbehörden und den Einheitlichen Abwicklungsausschuss (Single Resolution Board — SRB) in Bezug auf die in Artikel 7 Absatz 2 der Verordnung (EU) Nr. 806/2014 des Europäischen Parlaments und des Rates (37) genannten Unternehmen sowie in Bezug auf die in Artikel 7 Absatz 4 Buchstabe b und Absatz 5 der Verordnung (EU) Nr. 806/2014 genannten Unternehmen und Gruppen, wenn diese Einzelheiten Vorfälle betreffen, die ein Risiko für die Sicherstellung kritischer Funktionen im Sinne von Artikel 2 Absatz 1 Nummer 35 der Richtlinie 2014/59/EU darstellen; und
¶e)andere einschlägige Behörden nach nationalem Recht.

(7) Nach Erhalt der Informationen gemäß Absatz 6 bewerten die EBA, die ESMA oder die EIOPA und die EZB in Abstimmung mit der ENISA und in Zusammenarbeit mit der jeweils zuständigen Behörde, ob der schwerwiegende IKT-bezogene Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist. Im Anschluss an diese Bewertung benachrichtigen die EBA, die ESMA oder die EIOPA die jeweils zuständigen Behörden in anderen Mitgliedstaaten entsprechend. Die EZB unterrichtet die Mitglieder des Europäischen Systems der Zentralbanken über die für das Zahlungssystem relevanten Aspekte. Auf der Grundlage dieser Unterrichtung treffen die zuständigen Behörden gegebenenfalls alle für die unmittelbare Stabilität des Finanzsystems notwendigen Schutzvorkehrungen.

(8) Die von der ESMA gemäß Absatz 7 vorzunehmende Meldung berührt nicht die Verantwortung der zuständigen Behörde, die Einzelheiten des schwerwiegenden IKT-bezogenen Vorfalls umgehend an die einschlägige Behörde des Aufnahmemitgliedstaats weiterzuleiten, wenn ein Zentralverwahrer eine umfassende grenzüberschreitende Tätigkeit in dem Aufnahmemitgliedstaat ausübt, der schwerwiegende IKT-bezogene Vorfall wahrscheinlich schwerwiegende Folgen für die Finanzmärkte des Aufnahmemitgliedstaats hat und zwischen den zuständigen Behörden Kooperationsvereinbarungen in Bezug auf die Beaufsichtigung von Finanzunternehmen bestehen.

Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 19 ist der Artikel mit der Uhr. Schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde zu melden, und zwar in drei Stufen: Erstmeldung, Zwischenmeldung, Abschlussmeldung (Absatz 4).

Die Fristen stehen nicht hier, sondern in Artikel 5 der Delegierten Verordnung (EU) 2025/301: Erstmeldung innerhalb von vier Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung; Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung; Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.

In der Praxis

Zwei Uhren laufen gleichzeitig

Die Vier-Stunden-Frist beginnt mit der Einstufung, die 24-Stunden-Frist mit der Kenntnis. Maßgeblich ist die Frist, die zuerst abläuft. Ein Beispiel: Wer um 9 Uhr Kenntnis erlangt und um 20 Uhr einstuft, muss bis Mitternacht melden. Die Vier-Stunden-Frist aus der Einstufung endet um 24 Uhr, die 24-Stunden-Frist aus der Kenntnis erst um 9 Uhr am Folgetag.

Stufen Sie dagegen erst nach Ablauf der 24 Stunden ein, greift Absatz 2 der Delegierten Verordnung: Dann gelten vier Stunden ab der Einstufung. Das ist keine Verlängerung, sondern die Auffangregel. Eine ausdrückliche Begründungspflicht für die späte Einstufung enthält Absatz 2 nicht. Dass Sie den Zeitpunkt erklären können müssen, folgt aus dem Klassifizierungsprozess nach Artikel 18, nicht aus dieser Vorschrift.

Die Wochenendregel gilt nicht für alle

Nach Artikel 5 Absatz 4 der Delegierten Verordnung (EU) 2025/301 darf eine auf ein Wochenende oder einen Feiertag fallende Frist bis 12 Uhr des folgenden Arbeitstags erfüllt werden. Absatz 5 nimmt davon aber aus: Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und Unternehmen, die nach NIS-2 als wesentlich oder wichtig eingestuft sind, jeweils für Erst- und Zwischenmeldung.

Für eine Bank gibt es an einem Feiertag also keine Erleichterung, aber nur bei der Erst- und bei der Zwischenmeldung. Für die Abschlussmeldung gilt Absatz 4 auch für sie. Das ist die Unterscheidung, an die im Ernstfall am wenigsten gedacht wird; der Fristenrechner trifft sie deshalb.

Absatz 6 geht weiter: Die zuständige Behörde kann die Erleichterung auch anderen Finanzunternehmen entziehen, wenn sie bedeutend oder für den Finanzsektor systemrelevant sind. Das wirkt erst, nachdem sie es dem Unternehmen mitgeteilt hat, und nur für Vorfälle danach. Wer eine solche Mitteilung erhalten hat, rechnet nach einer anderen Regel als sein Wettbewerber.

Absatz 3: Kunden unterrichten ist eine eigene Pflicht

Hat der Vorfall Auswirkungen auf die finanziellen Interessen von Kunden, sind diese unverzüglich über den Vorfall und die ergriffenen Maßnahmen zu unterrichten, sobald das Haus Kenntnis erlangt hat. Diese Pflicht hängt nicht an der Meldung an die Aufsicht und wartet nicht auf sie.

Was das praktisch heißt: Es braucht einen vorbereiteten Text und einen entschiedenen Kanal, bevor der Fall eintritt. Eine Kundeninformation, die erst in der Nacht des Vorfalls abgestimmt wird, kommt zu spät oder falsch.

Absatz 5: Auslagern ja, Verantwortung nein

Die Meldepflichten dürfen an einen Drittdienstleister ausgelagert werden; das Haus bleibt in vollem Umfang verantwortlich. Für Verbundhäuser, deren Rechenzentrum die Meldung technisch erstellt, heißt das: Sie brauchen den Nachweis, dass gemeldet wurde, und die Fristenkontrolle im eigenen Haus.

Der brauchbare Prüfpunkt ist eine Empfangsbestätigung oder ein Protokollauszug je Meldung, abgelegt in Ihrer eigenen Akte, nicht nur in der des Dienstleisters.

Was vor dem ersten Vorfall fertig sein muss

Der Zugang zum Meldeweg der Aufsicht, eingerichtet und mindestens einmal benutzt. Die Vorlage nach Artikel 20 in der aktuellen Fassung. Die Rufkette. Der Kundentext. Und eine Liste der Angaben, die die Erstmeldung braucht, damit niemand um zwei Uhr nachts anfängt, das Formular zu lesen.

Absatz 1 hält für den Notfall fest: Ist die Übermittlung mit der Vorlage technisch nicht möglich, teilen Sie das der Behörde auf anderem Wege mit. Ein technisches Problem entschuldigt also die Form, nicht das Schweigen.

Konkretisiert durch

Delegierte Verordnung (EU) 2025/301, Artikel 5. Die Fristen für Erst-, Zwischen- und Abschlussmeldung einschließlich der Wochenend- und Feiertagsregel. Amtlicher Text (CELEX 32025R0301)
Durchführungsverordnung (EU) 2025/302, gesamter Rechtsakt. Die Standardformulare, Vorlagen und Verfahren für die Meldung. Amtlicher Text (CELEX 32025R0302)
Delegierte Verordnung (EU) 2024/1772, gesamter Rechtsakt. Die Schwellen, ab denen ein Vorfall schwerwiegend und damit meldepflichtig ist. Amtlicher Text (CELEX 32024R1772)

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was die Aufsicht dazu sagt

19 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinAn wen sind die Meldungen eines IKT-bezogenen Vorfalls zu erstatten?

An die BaFin. Sie ist zentraler Melde-Hub für alle von ihr beaufsichtigten Finanzunternehmen und zusätzlich für bedeutende Institute unter EZB-Aufsicht mit Sitz in Deutschland.

Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen