DORA Art. 19: Schwerwiegende IKT-Vorfälle melden

Was Art. 19 DORA verlangt

Art. 19 Abs. 1 DORA verpflichtet Finanzunternehmen, schwerwiegende IKT-bezogene Vorfälle der nach Art. 46 zuständigen Behörde zu melden. Das ist keine freiwillige Kür, sondern eine gesetzliche Pflicht mit fester Struktur: Erstmeldung, ggf. Zwischenmeldungen und eine Abschlussmeldung (Art. 19 Abs. 4). Für bedeutende Kreditinstitute gilt ein besonderer Meldeweg über die gemäß Art. 4 der Richtlinie 2013/36/EU benannte nationale Behörde, die die Meldung unverzüglich an die EZB weiterleitet.

Wichtig für die Praxis: Die Meldepflicht setzt nicht erst mit der endgültigen Bewertung des Vorfalls ein. Nach Art. 19 Abs. 1 Unterabsatz 4 erstellen Finanzunternehmen die Meldungen, „nach Erfassung und Analyse aller relevanten Informationen“ – die Uhr läuft also ab dem Moment, in dem genug Informationen vorliegen, um die Signifikanz und mögliche grenzüberschreitende Auswirkungen einzuschätzen. Wer wartet, bis der Vorfall vollständig aufgeklärt ist, meldet zu spät.

Der Meldeprozess: Erst-, Zwischen-, Abschlussmeldung

Art. 19 Abs. 4 unterscheidet drei Meldestufen:

• Erstmeldung (Buchstabe a): erfolgt, sobald der Vorfall als schwerwiegend eingeordnet ist.
• Zwischenmeldung (Buchstabe b): folgt, wenn sich der Status des Vorfalls erheblich ändert oder sich die Handhabung auf Basis neuer Informationen ändert – auch auf ausdrücklichen Antrag der zuständigen Behörde.
• Abschlussmeldung (Buchstabe c): erfolgt, wenn die Ursachenanalyse abgeschlossen ist und sich die tatsächlichen Auswirkungen beziffern lassen, unabhängig davon, ob Minderungsmaßnahmen bereits getroffen wurden.

Für die konkreten Fristen verweist Art. 19 Abs. 1 auf die in Art. 20 festzulegende Vorlage; die Meldungen müssen „alle Informationen“ enthalten, die die Behörde für ihre Bewertung benötigt. Praktisch bedeutet das: Sie brauchen ein Formular oder eine Vorlage, die Sie im Ernstfall schnell befüllen können – nicht erst dann entwickeln, wenn der Vorfall bereits läuft.

Die Klassifizierung, ob ein Vorfall überhaupt „schwerwiegend“ ist, hängt mit dem in Art. 17 beschriebenen Prozess zusammen: Dort werden Verfahren zur Ermittlung, Nachverfolgung, Protokollierung, Kategorisierung und Klassifizierung IKT-bezogener Vorfälle entsprechend ihrer Priorität, Schwere und der Kritikalität der betroffenen Dienste verlangt (Art. 17 Abs. 3 Buchstabe b, mit Verweis auf die Kriterien nach Art. 18 Abs. 1). Ohne diesen vorgeschalteten Klassifizierungsprozess wissen Sie im Zweifel gar nicht, ob und wann die Meldepflicht nach Art. 19 überhaupt ausgelöst wird.

Kundeninformation bei finanziellen Auswirkungen

Art. 19 Abs. 3 verlangt zusätzlich zur Behördenmeldung eine unverzügliche Information der Kunden, wenn ein schwerwiegender IKT-bezogener Vorfall Auswirkungen auf deren finanzielle Interessen hat. Zu informieren sind der Vorfall selbst und die Maßnahmen, die zur Minderung der nachteiligen Auswirkungen ergriffen wurden. Bei erheblichen Cyberbedrohungen – die nach Art. 19 Abs. 2 nur freiwillig an die Behörde gemeldet werden können – gilt gegenüber potenziell betroffenen Kunden eine abgeschwächte Pflicht: Sie sind „gegebenenfalls“ über angemessene Schutzmaßnahmen zu informieren.

Diese Doppelspur – Behörde einerseits, Kunde andererseits – wird in der Praxis häufig getrennt organisiert, ohne dass beide Meldewege zeitlich und inhaltlich synchronisiert sind. Das führt dazu, dass Kunden teils früher, teils später informiert werden als die Aufsicht, was bei Rückfragen zu Widersprüchen führen kann.

Typische Lücken in der Praxis

Drei Muster tauchen regelmäßig auf:

1. Fehlende Vorlage. Art. 19 Abs. 1 Unterabsatz 3 verlangt die Nutzung der Vorlage nach Art. 20 für Erst- und Folgemeldungen. Wird sie nicht vorbereitet, geht im Ernstfall Zeit für die inhaltliche Aufarbeitung verloren, obwohl bei technischer Unmöglichkeit zumindest eine Ersatzmeldung „auf anderem Wege“ vorgesehen ist.

2. Zuständigkeit unklar. Bei Finanzunternehmen, die der Aufsicht mehrerer nationaler Behörden unterliegen, ist nach Art. 19 Abs. 1 Unterabsatz 2 eine einzige zuständige Behörde zu benennen. Fehlt diese interne Klarheit, drohen doppelte oder widersprüchliche Meldungen.

3. Auslagerung ohne Verantwortungsübergang. Art. 19 Abs. 5 erlaubt, die Meldepflichten an einen Drittdienstleister auszulagern – die Verantwortung für die Erfüllung der Anforderungen bleibt aber vollständig beim Finanzunternehmen. Wer die Meldepflicht komplett „nach außen delegiert“, verkennt diesen Grundsatz.

Wo Sie ansetzen sollten

Ob Ihr Unternehmen die Voraussetzungen von Art. 19 in vollem Umfang erfüllt – von der Klassifizierung über die Meldevorlage bis zur Kundeninformation – lässt sich am besten strukturiert prüfen. Mit dem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einordnung, wo in Ihrem Meldeprozess Lücken bestehen könnten.