Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Dieser Artikel richtet sich an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Er steht hier, weil man ihn kennen muss, um die Artikel davor und danach zu verstehen.
Verordnung (EU) 2022/2554 · Kapitel III, Artikel 22 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Unbeschadet der technischen Informationen, Empfehlungen oder Abhilfe- und Folgemaßnahmen, die im Einklang mit dem nationalen Recht gegebenenfalls vom CSIRT gemäß Richtlinie (EU) 2022/2555 bereitgestellt werden können, bestätigt die zuständige Behörde nach Eingang der Erstmeldung und jeder Meldung nach Artikel 19 Absatz 4 den Eingang und kann, wenn möglich, dem Finanzunternehmen zeitnah sachdienliche und angemessene Rückmeldungen oder allgemein gehaltene Orientierungshilfen übermitteln, insbesondere durch Zurverfügungstellung relevanter anonymisierter Informationen und Erkenntnisse zu ähnlichen Bedrohungen, sowie auf Ebene des Unternehmens angewandte Abhilfemaßnahmen und Möglichkeiten zur Minimierung und Minderung nachteiliger Auswirkungen auf den gesamten Finanzsektor erörtern. Unbeschadet der aufsichtlichen Rückmeldung bleiben Finanzunternehmen in vollem Umfang für die Handhabung und die Folgen der gemäß Artikel 19 Absatz 1 gemeldeten IKT-bezogenen Vorfälle verantwortlich.
(2) Die ESA berichten jährlich über den Gemeinsamen Ausschuss in anonymisierter und aggregierter Form über schwerwiegende IKT-bezogene Vorfälle, deren Einzelheiten von den zuständigen Behörden gemäß Artikel 19 Absatz 6 übermittelt werden, und geben dabei mindestens die Zahl schwerwiegender IKT-bezogener Vorfälle, ihre Art und ihre Auswirkungen auf die Geschäftstätigkeit von Finanzunternehmen oder Kunden sowie die ergriffenen Abhilfemaßnahmen und die Kosten an.
Die ESA geben Warnungen heraus und erstellen allgemein gehaltene Statistiken, um die Bewertungen von Bedrohungen und Schwachstellen im IKT-Bereich zu unterstützen.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 22 richtet sich an die Behörden, nicht an Ihr Haus. Er sagt, was nach einer Meldung zurückkommt: eine Eingangsbestätigung und, wenn möglich, Rückmeldungen oder allgemein gehaltene Orientierungshilfen.
Absatz 2 verpflichtet die Aufsichtsbehörden, jährlich anonymisiert und aggregiert über schwerwiegende Vorfälle zu berichten und Warnungen herauszugeben.
In der Praxis
„Kann, wenn möglich“: planen Sie nicht mit einer Antwort
Die Eingangsbestätigung ist verbindlich. Alles Weitere steht unter Vorbehalt. Ein Haus, das seine Abschlussmeldung von einer Rückmeldung der Aufsicht abhängig macht, wartet unter Umständen vergebens und reißt dabei die Monatsfrist.
Die Eingangsbestätigung selbst ist dagegen ein Aktenstück, das Sie brauchen: Sie ist der einfachste Nachweis, dass und wann gemeldet wurde.
Der jährliche Bericht ist frei verfügbares Vergleichsmaterial
Zahl, Art, Auswirkungen, Abhilfemaßnahmen und Kosten schwerwiegender Vorfälle, anonymisiert und aggregiert. Für die eigene Risikoanalyse und für die Vorlage im Leitungsorgan ist das eine der wenigen belastbaren Außenquellen, und sie kostet nichts.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Die Eingangsbestätigungen zu allen abgegebenen Meldungen, in der eigenen Vorfallakte
Häufige Fragen zu Artikel 22
Bekommt man nach einer DORA-Vorfallmeldung eine Antwort der Aufsicht?
Nach Artikel 22 Absatz 1 DORA bestätigt die zuständige Behörde den Eingang der Erstmeldung und jeder weiteren Meldung. Darüber hinaus kann sie, wenn möglich, zeitnah sachdienliche und angemessene Rückmeldungen oder allgemein gehaltene Orientierungshilfen übermitteln; eine Pflicht dazu besteht nicht.
Weiter
Stand: 28. September 2026