Woraus sich die Fristen ergeben
Der Rechner wendet Artikel 5 der Delegierten Verordnung (EU) 2025/301 an. Die Meldepflicht selbst steht in Artikel 19 DORA.
- Erstmeldung: „so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat“ (Absatz 1 Buchstabe a). Beide Grenzen gelten nebeneinander; maßgeblich ist die frühere.
- Späte Einstufung: Wird der Vorfall erst später als 24 Stunden nach Kenntnis als schwerwiegend eingestuft, gilt die Frist von vier Stunden ab der Einstufung (Absatz 2). Die 24-Stunden-Grenze ist dann verstrichen und wird nicht rückwirkend zur Fristüberschreitung.
- Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich nichts geändert hat. Aktualisierte Zwischenmeldungen unverzüglich, in jedem Fall sobald der reguläre Geschäftsbetrieb wieder aufgenommen wurde (Absatz 1 Buchstabe b).
- Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung (Absatz 1 Buchstabe c).
- Wochenende und Feiertag: Fällt eine Frist darauf, kann bis 12.00 Uhr des darauffolgenden Arbeitstages übermittelt werden (Absatz 4). Nicht für Erst- und Zwischenmeldung von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und nach NIS2 als wesentlich oder wichtig eingestuften Finanzunternehmen (Absatz 5). Die Aufsicht kann das auch für weitere bedeutende Häuser anordnen (Absatz 6). Das weiß nur Ihr Haus, der Rechner kann es nicht wissen.
- Wenn eine Frist nicht zu halten ist: Das ist der Behörde unverzüglich mitzuteilen, spätestens innerhalb der Frist, mit Gründen (Absatz 3). Schweigen ist die schlechteste aller Möglichkeiten.
Welche Feiertage der Rechner kennt Die bundesweiten gesetzlichen Feiertage: Neujahr, Karfreitag, Ostermontag, Tag der Arbeit, Christi Himmelfahrt, Pfingstmontag, Tag der Deutschen Einheit sowie erster und zweiter Weihnachtsfeiertag. Die beweglichen werden aus dem Osterdatum berechnet und stimmen damit für jedes Jahr.
Landesfeiertage sind nicht enthalten: Artikel 5 Absatz 4 stellt auf einen Feiertag „im Mitgliedstaat“ ab. Ob ein Landesfeiertag für Sie zählt, ist eine Frage an Ihre Aufsicht; im Zweifel melden Sie früher.
Was dieser Rechner nicht leistet Er rechnet Fristen aus, er trifft keine Entscheidung. Ob ein Vorfall schwerwiegend ist, richtet sich nach der Delegierten Verordnung (EU) 2024/1772 und bleibt Ihre Bewertung. Ob eine Anordnung nach Absatz 6 vorliegt, weiß nur Ihr Haus. Und maßgeblich ist immer der amtliche Wortlaut, nicht diese Seite.
Häufige Fragen
Ab wann läuft die 24-Stunden-Frist, ab dem Vorfall oder ab der Kenntnis?
Ab der Kenntnis. Artikel 5 Absatz 1 Buchstabe a der Delegierten Verordnung (EU) 2025/301 stellt auf „den Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat“ ab, nicht auf den Eintritt. Bei ausgelagertem Betrieb heißt das: Sie erlangen Kenntnis, wenn der Dienstleister Sie unterrichtet. Deshalb gehört dessen Meldefrist in den Vertrag.
Muss die Zwischenmeldung auch dann kommen, wenn sich nichts geändert hat?
Ja. Artikel 5 Absatz 1 Buchstabe b der Delegierten Verordnung (EU) 2025/301 sagt das ausdrücklich: „auch wenn sich […] der Status oder die Handhabung des Vorfalls nicht geändert hat“.
Was ist mit aktualisierten Zwischenmeldungen?
Sie sind unverzüglich zu übermitteln, in jedem Fall sobald der reguläre Geschäftsbetrieb wieder aufgenommen wurde. Die Monatsfrist für die Abschlussmeldung läuft dann ab der letzten Zwischenmeldung; tragen Sie diese oben unter „bereits übermittelt“ ein.
Stand: 28. September 2026 · Rechtsgrundlage: Delegierte Verordnung (EU) 2025/301, amtlicher Text bei EUR-Lex