DORA-Manager

Die Verordnung · Kapitel III: Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle

Artikel 20

Harmonisierung von Inhalt und Vorlagen von Meldungen

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Dieser Artikel richtet sich an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Er steht hier, weil man ihn kennen muss, um die Artikel davor und danach zu verstehen.

Verordnung (EU) 2022/2554 · Kapitel III, Artikel 20 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

Die ESA erarbeiten über den Gemeinsamen Ausschuss und in Abstimmung mit der ENISA und der EZB

  • a)gemeinsame Entwürfe technischer Regulierungsstandards, um
    • i)den Inhalt von Meldungen über schwerwiegende IKT-bezogene Vorfälle festzulegen, damit den in Artikel 18 Absatz 1 aufgeführten Kriterien Rechnung getragen wird und weitere Elemente einbezogen werden, wie z. B. Einzelheiten zur Feststellung der Relevanz der Meldungen für andere Mitgliedstaaten und die Frage, ob es sich dabei um einen schwerwiegenden zahlungsbezogenen Betriebs- oder Sicherheitsvorfall handelt;
    • ii)die Fristen für die Erstmeldung und jede Meldung nach Artikel 19 Absatz 4 festzulegen;
    • iii)den Inhalt der Meldung erheblicher Cyberbedrohungen festzulegen.

    Bei der Ausarbeitung dieser Entwürfe technischer Regulierungsstandards berücksichtigen die ESA die Größe und das Gesamtrisikoprofil des Finanzunternehmens sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte, um insbesondere sicherzustellen, dass den Besonderheiten der Finanzsektoren für die Zwecke des vorliegenden Absatzes Buchstabe a Ziffer ii gegebenenfalls durch unterschiedliche Fristen Rechnung getragen wird, unbeschadet der Beibehaltung eines kohärenten Ansatzes für die Meldung IKT-bezogener Vorfälle gemäß dieser Verordnung und gemäß der Richtlinie (EU) 2022/2555. Die ESA legen — sofern zutreffend — eine Begründung vor, wenn sie von den im Rahmen jener Richtlinie verfolgten Ansätzen abweichen;

  • b)gemeinsame Entwürfe technischer Durchführungsstandards zur Festlegung von Standardformularen, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung.

Die ESA übermitteln der Kommission die in Absatz 1 Buchstabe a genannten gemeinsamen Entwürfe technischer Regulierungsstandards und die in Absatz 1 Buchstabe b genannten gemeinsamen Entwürfe technischer Durchführungsstandards bis zum 17. Juli 2024.

Der Kommission wird die Befugnis übertragen, diese Verordnung durch Annahme der in Absatz 1 Buchstabe a genannten gemeinsamen technischen Regulierungsstandards gemäß den Artikeln 10 bis 14 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 und (EU) Nr. 1095/2010 zu ergänzen.

Der Kommission wird die Befugnis übertragen, die in Absatz 1 Buchstabe b genannten gemeinsamen technischen Durchführungsstandards gemäß Artikel 15 der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010 (EU) Nr. 1095/2010 zu erlassen.

Das Amtsblatt druckt diesen Artikel ohne Absatzzahlen Artikel 20 hat vier Absätze; der Text bezieht sich selbst auf „Absatz 1 Buchstabe a“, und die beiden Rechtsakte zu den Meldungen stützen sich ausdrücklich auf Artikel 20 Absatz 3 (Delegierte Verordnung (EU) 2025/301) und Artikel 20 Absatz 4 (Durchführungsverordnung (EU) 2025/302). In der veröffentlichten deutschen Fassung fehlen die Zahlen (1) bis (4) jedoch im Druckbild. Der Wortlaut unten gibt das Amtsblatt unverändert wieder; die Absätze sind der Reihe nach: der Auftrag an die ESA mit den Buchstaben a und b, die Vorlagefrist, die Ermächtigung für die technischen Regulierungsstandards und die Ermächtigung für die Durchführungsstandards.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 20 selbst verpflichtet kein Finanzunternehmen. Er ist der Auftrag, aus dem die beiden Rechtsakte hervorgegangen sind, nach denen in der Praxis gemeldet wird.

Buchstabe a Ziffer ii ist die wichtigste Zeile der Verordnung für jeden, der einmal unter Zeitdruck gemeldet hat: Er ist die Grundlage der Meldefristen, die dann in der Delegierten Verordnung (EU) 2025/301 stehen.

In der Praxis

Warum dieser Artikel in der Akte auftauchen sollte

Wer in einer Hausrichtlinie schreibt „Meldung innerhalb von vier Stunden“, sollte die Fundstelle mitschreiben, und die ist nicht Artikel 19, sondern Artikel 5 der Delegierten Verordnung (EU) 2025/301, ergangen auf Grundlage des Artikels 20 Absatz 1 Buchstabe a Ziffer ii DORA.

Das klingt nach Formalie, ist aber der Unterschied zwischen einer Richtlinie, die bei einer Änderung des Rechtsakts nachgeführt wird, und einer, in der eine Zahl steht, deren Herkunft niemand mehr kennt.

Die Vorlagen ändern sich, die Verordnung nicht

Buchstabe b betrifft die Standardformulare. Formulare werden überarbeitet, ohne dass DORA geändert wird. Wer seinen Meldeprozess an eine bestimmte Formularversion gebunden hat, muss einen Punkt im Jahresturnus haben, an dem er prüft, ob die Vorlage noch die aktuelle ist.

Dieselbe Mechanik wie beim Informationsregister, und derselbe Fehler, wenn man sie nicht einplant.

Konkretisiert durch

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was die Aufsicht dazu sagt

4 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinGibt es Erleichterungen für eine Meldepflicht außerhalb von Geschäftszeiten oder an Wochenenden und Feiertagen?

Die Grundregel bleibt: Erstmeldung binnen vier Stunden nach der Klassifizierung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme. An Wochenenden und Feiertagen darf eine Erst-, Zwischen- oder Abschlussmeldung bis 12 Uhr des nächsten Werktags abgegeben werden, aber nur für Finanzunternehmen, die kein Kreditinstitut, keine zentrale Gegenpartei und kein Handelsplatzbetreiber sind und nicht als wesentliche oder wichtige Einrichtung nach NIS-2 eingestuft wurden.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie sind aggregierte Meldungen zu verstehen?

Ein Drittdienstleister kann eine einzige Meldung für mehrere vom selben Vorfall betroffene Finanzunternehmen einreichen, wenn diese die Meldepflicht an ihn ausgelagert haben und die Voraussetzungen der Durchführungsverordnung (EU) 2025/302 erfüllt sind.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?

Nein. Weil DORA eine europäische Verordnung ist, fehlt der nationalen Aufsicht die eigenständige Regelungskompetenz. Konkretisiert wird europäisch: über delegierte Verordnungen, technische Standards und Leitlinien.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Häufige Fragen zu Artikel 20

Wo stehen die Meldefristen für IKT-Vorfälle?

Artikel 20 Absatz 1 Buchstabe a Ziffer ii DORA beauftragt die europäischen Aufsichtsbehörden, die Fristen für die Erstmeldung und die weiteren Meldungen nach Artikel 19 Absatz 4 DORA festzulegen. Festgelegt sind sie in Artikel 5 der Delegierten Verordnung (EU) 2025/301.

Weiter

Stand: 28. September 2026