DORA-Manager

Die Verordnung · Kapitel III: Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle

Artikel 23

Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel III, Artikel 23 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

Die Anforderungen in diesem Kapitel gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, auch schwerwiegender Art, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 23 ist ein Satz, und er erweitert das ganze Kapitel: Die Anforderungen gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister oder E-Geld-Institute betreffen.

Damit ist eine Frage beantwortet, die in diesen Häusern regelmäßig aufkommt: Es gibt nicht zwei getrennte Vorfallwelten.

In der Praxis

Ein Prozess, nicht zwei

Wer bisher zahlungsbezogene Vorfälle nach der Zahlungsdiensterichtlinie und IKT-Vorfälle getrennt behandelt hat, sollte beides zusammenführen: dieselbe Erfassung, dieselbe Klassifizierung, dieselbe Rufkette.

Getrennte Prozesse erzeugen zwei Risiken gleichzeitig: Ein Vorfall wird in der einen Welt erfasst und in der anderen nicht, und die Fristen laufen unterschiedlich. Beides fällt erst im Ernstfall auf.

Die Definitionen stehen in Artikel 3

Nummer 9 definiert den zahlungsbezogenen Betriebs- oder Sicherheitsvorfall, Nummer 11 den schwerwiegenden. Wer die Hausdefinition schreibt, sollte beide zitieren statt zu paraphrasieren; die Abgrenzung ist enger, als sie beim ersten Lesen wirkt.

Konkretisiert durch

  • Delegierte Verordnung (EU) 2024/1772, gesamter Rechtsakt. Die Klassifizierung, die auch für schwerwiegende zahlungsbezogene Betriebs- oder Sicherheitsvorfälle gilt. Amtlicher Text (CELEX 32024R1772)
  • Delegierte Verordnung (EU) 2025/301, Artikel 5. Die Fristen für die Erst-, Zwischen- und Abschlussmeldung. Amtlicher Text (CELEX 32025R0301)

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was die Aufsicht dazu sagt

1 Antwort aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinWelche Meldeformate werden mit der IKT-Vorfallsmeldung nach DORA abgelöst?

Die Meldung nach Artikel 96 Absatz 1 der Zahlungsdiensterichtlinie (PSD2), die Meldung nach § 54 Absatz 1 ZAG (das Rundschreiben 03/2022 (BA) wurde zum 17. Januar 2025 aufgehoben) und, soweit nach DORA gemeldet wird, die Meldung nach NIS-2. Die Meldepflichten der Datenschutz-Grundverordnung bleiben davon unberührt.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Ein einheitlicher Vorfallprozess, der IKT-bezogene und zahlungsbezogene Vorfälle umfasst
  • Die Hausdefinition des zahlungsbezogenen Betriebs- oder Sicherheitsvorfalls mit Bezug auf Artikel 3 Nummer 9 und 11

Häufige Fragen zu Artikel 23

Gilt DORA auch für Zahlungsvorfälle?

Ja. Nach Artikel 23 DORA gelten die Anforderungen des Kapitels III auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, auch schwerwiegender Art, wenn sie Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister oder E-Geld-Institute betreffen.

Weiter

Stand: 28. September 2026