Wissen
Die Vorfallmeldung nach DORA ist bewusst die Pflicht mit dem größten Zeitdruck in der gesamten Verordnung. Bei einem schwerwiegenden IKT-bezogenen Vorfall muss ein Finanzunternehmen eine Erstmeldung an seine nationale zuständige Behörde (NCA) einreichen, und zwar so früh wie möglich, in jedem Fall aber innerhalb von 4 Stunden nach der Einstufung des Vorfalls als schwerwiegend - und spätestens 24 Stunden nach dem Zeitpunkt, zu dem es von dem Vorfall Kenntnis erlangt hat. Diese Fristen stehen in der Delegierten Verordnung (EU) 2025/301 der Kommission, die Artikel 19 Absatz 4 von DORA ergänzt.
Das erzeugt ein brutal kleines Zeitfenster. Doch bevor die Uhr überhaupt läuft, steht eine schwierigere Frage im Raum: Ist dieser Vorfall überhaupt “schwerwiegend”?
Artikel 18 von DORA, ergänzt durch die gemeinsamen technischen Regulierungsstandards der ESAs zur Einstufung IKT-bezogener Vorfälle (Delegierte Verordnung (EU) 2024/1772 der Kommission), etabliert einen strukturierten Schwellentest über mehrere Kriterien. Die Einstufung ist eine definierte Bewertung anhand von sieben Kriterien, jedes mit Wesentlichkeitsschwellen, die darüber entscheiden, ob ein Vorfall die Linie zum “schwerwiegend” überschreitet, sowie einer präzisen Kombinationsregel, die sie zusammenbindet.
Fehler haben in beide Richtungen Folgen. Zu wenig melden, und Sie riskieren aufsichtliche Nachfragen, Behebungsanordnungen und Reputationsschäden. Zu viel melden, und Sie ertränken Ihre NCA in Rauschen und verbrennen knappe Ressourcen mitten in einem laufenden Vorfall. Dieser Leitfaden liefert Ihnen die genauen Kriterien, Schwellen, Fristen und die Entscheidungslogik - direkt aus der Verordnung -, damit die Einstufung jedes Mal sitzt.
📈
RTS 2024/1772, Artikel 1 bis 7
Die 7 Einstufungskriterien für schwerwiegende Vorfälle
Artikel 18 Absatz 1 von DORA legt die Kriterien fest, nach denen Finanzunternehmen IKT-bezogene Vorfälle einstufen, und die Artikel 1 bis 7 des RTS (Delegierte Verordnung (EU) 2024/1772) machen daraus sieben benannte Kriterien, wobei Artikel 9 für jedes die Wesentlichkeitsschwellen fixiert. Lesen Sie zuerst die Kriterien und dann die Kombinationsregel, die über “schwerwiegend” entscheidet. Für einen Schwellentest ist dieser gut konstruiert. Das Eingangstor hält Belangloses draußen, die Zwei-Schwellen-Regel verhindert, dass eine einzelne laute Kennzahl Sie in eine Meldung zieht, und beides ist objektiv genug, um es in einem Aufsichtsgespräch zu vertreten. Die Schwäche ist, dass fast jeder Eingangswert von Daten abhängt, die Sie erheben müssen, während der Vorfall noch läuft.
DORA Artikel 18 Absatz 1
“Finanzunternehmen stufen IKT-bezogene Vorfälle ein und bestimmen deren Auswirkungen anhand folgender Kriterien: a) Zahl und/oder Relevanz der betroffenen Kunden oder Gegenparteien im Finanzbereich und gegebenenfalls Betrag oder Zahl der betroffenen Transaktionen [...] sowie ob der IKT-bezogene Vorfall Reputationsauswirkungen verursacht hat; b) Dauer des IKT-bezogenen Vorfalls einschließlich der Ausfallzeit der Dienstleistung; c) geografische Ausbreitung [...]; d) mit dem IKT-bezogenen Vorfall verbundene Datenverluste in Bezug auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten; e) Kritikalität der betroffenen Dienstleistungen [...]; f) wirtschaftliche Auswirkungen, insbesondere direkte und indirekte Kosten und Verluste [...].”
Der RTS teilt diese in sieben Kriterien auf - er macht aus den Reputationsauswirkungen ein eigenes Kriterium und behandelt die Kritikalität der Dienstleistungen als Eingangstor. Nachfolgend die maßgebliche Aufschlüsselung jedes Kriteriums mit seiner Wesentlichkeitsschwelle aus Artikel 9 des RTS:
| # | Kriterium | Wesentlichkeitsschwelle (RTS Art. 9) | Was zu messen ist |
|---|---|---|---|
| 1 | Betroffene Kunden, Gegenparteien im Finanzbereich & Transaktionen | > 10 % der Kunden, die die betroffene Dienstleistung nutzen, ODER > 100.000 Kunden; ODER > 30 % der Gegenparteien im Finanzbereich; ODER betroffene Transaktionen > 10 % der durchschnittlichen täglichen Zahl oder des durchschnittlichen täglichen Werts (Art. 9(1)) | Zählen Sie eindeutige Kunden oder Gegenparteien, die die betroffene Dienstleistung nicht erreichen oder nutzen können, und bewerten Sie die Transaktionen, die fehlgeschlagen sind, sich verzögert haben oder fehlerhaft verarbeitet wurden. Transaktionen sind Bestandteil genau dieses Kriteriums. |
| 2 | Reputationsauswirkungen | Erfüllt, wenn der Vorfall in den Medien aufgegriffen wurde, wiederholte Beschwerden von Kunden oder Gegenparteien ausgelöst hat, die Fähigkeit des Unternehmens gefährdet, regulatorische Anforderungen zu erfüllen, oder es voraussichtlich Kunden oder Gegenparteien mit wesentlicher geschäftlicher Auswirkung kostet (Art. 2, Art. 9(2)) | Ein qualitatives Kriterium. Bewerten Sie Sichtbarkeit und Auswirkungen gegenüber Kunden. Medienberichterstattung oder eine Beschwerdewelle bei kundenseitigen Dienstleistungen ist das klarste Signal. |
| 3 | Dauer & Ausfallzeit der Dienstleistung | Vorfalldauer > 24 Stunden ODER Ausfallzeit der Dienstleistung > 2 Stunden bei IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Art. 9(3)) | Zwei getrennte Uhren: die Gesamtdauer des Vorfalls (24-Stunden-Schwelle) und die Ausfallzeit von Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (2-Stunden-Schwelle). Beziehen Sie eingeschränkte Leistung mit ein. |
| 4 | Geografische Ausbreitung | Der Vorfall hat Auswirkungen in zwei oder mehr Mitgliedstaaten (Art. 9(4)) | Prüfen Sie, ob Kunden oder Geschäftstätigkeiten in mehr als einem Mitgliedstaat betroffen sind. Grenzüberschreitende Zahlungssysteme, Clearing-Prozesse und Korrespondenzbankbeziehungen verstärken dieses Kriterium. |
| 5 | Datenverluste | Jeder Verlust mit Auswirkung auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten, der Geschäftsziele oder die Einhaltung von Vorschriften beeinträchtigt; ODER ein erfolgreicher böswilliger unbefugter Zugriff auf Systeme, der zu Datenverlusten führen kann (Art. 9(5)(a) und (b)) | Berücksichtigen Sie alle vier Datendimensionen. Beachten Sie den zweiten Arm - ein erfolgreicher böswilliger unbefugter Zugriff - er ist der stärkste einzelne Auslöser des RTS (siehe die Kombinationsregel unten). Gleichen Sie mit den Meldeschwellen der DSGVO für Verletzungen des Schutzes personenbezogener Daten ab. |
| 6 | Kritikalität der betroffenen Dienstleistungen (EINGANGSTOR) | Erfüllt, wenn der Vorfall IKT-Dienstleistungen oder -Systeme betrifft, die kritische oder wichtige Funktionen unterstützen; ODER zugelassene, registrierte oder beaufsichtigte Finanzdienstleistungen betrifft; ODER einen erfolgreichen, böswilligen und unbefugten Zugriff auf Netzwerk- und Informationssysteme darstellt (Art. 6) | Dies ist das primäre Eingangstor. Ist keiner seiner drei Arme erfüllt, kann der Vorfall unabhängig von den übrigen Schwellen nicht schwerwiegend sein. Beachten Sie den dritten Arm: Ein erfolgreicher böswilliger Eindringversuch öffnet das Tor auch bei einem nicht kritischen System. |
| 7 | Wirtschaftliche Auswirkungen | Direkte und indirekte Kosten und Verluste haben 100.000 EUR überschritten oder werden sie voraussichtlich überschreiten (Art. 9(6)) | Summieren Sie direkte Kosten (Behebung, Wiederherstellung, Forensik, Strafen) und indirekte Kosten (entgangene Erlöse, Kundenentschädigungen, Opportunitätskosten). Die Schwelle liegt pauschal bei 100.000 EUR - eine Alternative als Umsatzprozentsatz gibt es nicht. Früh schätzen, später verfeinern. |
Die Kombinationsregel (RTS Artikel 8)
Ein Vorfall ist schwerwiegend, wenn er kritische Dienstleistungen betroffen hat (das Kritikalitäts-Eingangstor, Artikel 6) UND entweder: (i) die Schwelle aus Artikel 9 Absatz 5 Buchstabe b erfüllt ist - ein erfolgreicher, böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme, der zu Datenverlusten führen kann; ODER (ii) zwei oder mehr der sechs Wesentlichkeitsschwellen aus Artikel 9 Absätze 1 bis 6 erfüllt sind. Mit anderen Worten: Eine gewöhnliche Schwelle allein genügt nicht - Sie brauchen einen qualifizierenden böswilligen Eindringversuch oder mindestens zwei Schwellen. Die wirtschaftliche Auswirkung ist eine dieser sechs Schwellen und hat keine besondere Alleinwirkung. Genau dieser Teil der Regel wird am häufigsten falsch dargestellt, und meist geht es teuer aus. Ein Unternehmen, das die Geldgröße als Auslöser behandelt, meldet zu viel, und Übermelden bringt den eigenen Leuten bei, dass der Prozess nur Rauschen ist. Artikel 8 ergänzt außerdem eine Aggregationsregel: wiederkehrende Vorfälle, die einzeln nicht schwerwiegend sind, zählen als ein schwerwiegender Vorfall, wenn sie innerhalb von 6 Monaten mindestens zweimal auftreten, dieselbe augenscheinliche Grundursache haben und den Test gemeinsam erfüllen. Unternehmen bewerten das monatlich, und für Kleinstunternehmen gilt es nicht.
⏰
Artikel 19 & RTS 2025/301
Der dreistufige Meldeablauf
Artikel 19 von DORA verlangt für jeden schwerwiegenden IKT-bezogenen Vorfall eine Erstmeldung und zwei Folgeberichte an die zuständige NCA. Die genauen Fristen sind in der Delegierten Verordnung (EU) 2025/301 der Kommission, Artikel 5, festgelegt. Jede Phase hat eine strikte Uhr und definierte Inhalte.
Delegierte Verordnung (EU) 2025/301 der Kommission, Artikel 5
Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von 4 Stunden nach der Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem Vorfall erlangt hat. Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung. Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung (oder der letzten aktualisierten Zwischenmeldung).
| Meldung | Frist | Erforderlicher Inhalt |
|---|---|---|
| Erstmeldung | 4 Stunden nach der Einstufung (max. 24 h nach Kenntnisnahme) | Identifikation des Unternehmens; Datum und Uhrzeit von Erkennung und Einstufung; Art und Typ des Vorfalls; erste Einschätzung der betroffenen Dienstleistungen, Kunden und Gegenparteien; ob der Vorfall wiederkehrend ist; vorläufige Auswirkungsbewertung; unmittelbar ergriffene Maßnahmen; Kontaktdaten. |
| Zwischenmeldung | 72 Stunden nach der Erstmeldung | Aktualisierte Bewertung anhand der Kriterien und Schwellen; Stand von Eindämmung und Wiederherstellung; vorläufige Grundursache; aktualisierte Auswirkungen auf Kunden und Gegenparteien; geografische Ausbreitung; geschätzte wirtschaftliche Auswirkung; betroffene Transaktionen (Zahl und Wert); weitere ausgelöste Meldepflichten; aktualisierter Behebungszeitplan. Eine aktualisierte Zwischenmeldung ist fällig, sobald der Regelbetrieb wiederhergestellt ist. |
| Abschlussmeldung | 1 Monat nach der Zwischenmeldung | Bestätigte Ursachenanalyse; vollständig quantifizierte Auswirkungsbewertung; wirtschaftliche Gesamtkosten (direkt und indirekt); Lehren und Korrekturmaßnahmen; Änderungen am IKT-Risikomanagementrahmen; ob der Vorfall Mängel bei Drittdienstleistern offengelegt hat; Bestätigung der Kundenkommunikation; Prüfpfad der ergriffenen Maßnahmen. |
Das Problem der “doppelten Uhr”
Die Erstmeldung trägt zwei überlappende Fristen: 4 Stunden ab der Einstufung und 24 Stunden ab der Kenntnisnahme des Vorfalls. Das gibt Ihnen eine harte Obergrenze von rund 20 Stunden, um zu einer Einstufungsentscheidung zu kommen, bevor der absolute Rückfallpunkt greift. Behandeln Sie die Einstufung als eigene, zeitlich begrenzte Aufgabe. Diese Obergrenze ist großzügiger, als die Schlagzeile nahelegt, und dennoch das Falsche, um darum herum zu planen. Stufen Sie früh auf Basis unvollständiger Informationen ein und korrigieren Sie später, denn die erste Meldung ist als vorläufig gedacht, und das Warten zum Schutz ihrer Genauigkeit ist genau der Weg, auf dem Unternehmen am Ende spät und ungenau melden.
Freiwillige Meldungen
Artikel 19 Absatz 2 erlaubt Finanzunternehmen, ihrer NCA erhebliche Cyberbedrohungen freiwillig zu melden, die noch nicht zu einem schwerwiegenden Vorfall geführt haben. Das ist optional, zeigt aber ein reifes Risikomanagement und kann bei Beinahe-Vorfällen nützlich sein, die den Test für erhebliche Bedrohungen erfüllen (siehe die FAQ unten).
Was passiert, wenn Sie die Frist verpassen
Nach Artikel 50 von DORA können zuständige Behörden bei Verstößen Verwaltungssanktionen und Abhilfemaßnahmen verhängen, die der Schwere und Auswirkung des Verstoßes angemessen sind, und in schweren Fällen das Versäumnis öffentlich bekannt machen. Über die Sanktion hinaus zieht der Vermerk als verspäteter oder ausgebliebener Melder eine engere aufsichtliche Beobachtung nach sich - ein Preis, der das Bußgeld oft übersteigt.
🌳
Entscheidungsrahmen
Entscheidungsbaum für die Einstufung
Wenn ein IKT-bezogener Vorfall eintritt, nutzen Sie diesen strukturierten Durchlauf, um zu einer Einstufungsentscheidung zu kommen. Die Reihenfolge zählt: Zuerst wird das Kritikalitäts-Eingangstor bewertet, anschließend werden die Wesentlichkeitsschwellen parallel geprüft, um die Einstufungszeit zu minimieren.
Schritt 1 - Eingangstor: Kritikalität der Dienstleistungen (Artikel 6)
Ist mindestens einer der drei Arme des Eingangstors erfüllt? (a) Der Vorfall betrifft IKT-Dienstleistungen oder -Systeme, die eine kritische oder wichtige Funktion in Ihrer Business-Impact-Analyse und Ihrem Informationsregister unterstützen; (b) er betrifft Finanzdienstleistungen, die eine Zulassung, Registrierung oder Beaufsichtigung erfordern; (c) er stellt einen erfolgreichen böswilligen unbefugten Zugriff auf Ihre Systeme dar. Lautet die Antwort dreimal NEIN → der Vorfall ist nicht schwerwiegend. Protokollieren und bearbeiten Sie ihn, eine Meldepflicht gegenüber der NCA besteht nicht. Fast der gesamte Aufwand an diesem Eingangstor fällt vor einem Vorfall an, nämlich bei der Entscheidung, welche Dienstleistungen kritische oder wichtige Funktionen unterstützen. Erledigen Sie diese Arbeit, solange nichts brennt, dann wird das Eingangstor zu einem Nachschlagevorgang; lassen Sie sie liegen, verhandeln Sie Ihre eigene Business-Impact-Analyse mit laufender Uhr neu. Lautet die Antwort irgendwo JA → weiter zu Schritt 2.
Schritt 2 - Die sechs Wesentlichkeitsschwellen parallel bewerten
Bestimmen Sie für jede der sechs Schwellen aus Artikel 9 Absätze 1 bis 6, ob sie erfüllt ist:
Kunden / Transaktionen: >10 % oder >100.000 Kunden, >30 % Gegenparteien oder >10 % der täglichen Transaktionen?
Reputation: Medienberichte, wiederholte Beschwerden oder Kundenverlust?
Dauer: >24 h Dauer oder >2 h Ausfallzeit bei kritischen/wichtigen Funktionen?
Geografie: zwei oder mehr Mitgliedstaaten?
Datenverluste: nachteilige Datenauswirkung oder böswilliger Zugriff, der Datenverlust verursachen kann (9(5)(b))?
Wirtschaftlich: Kosten und Verluste > 100.000 EUR?
Schritt 3 - Die Kombinationsregel anwenden (Artikel 8)
Ist das Eingangstor erfüllt, stufen Sie als SCHWERWIEGEND ein, wenn entweder die Schwelle aus Artikel 9 Absatz 5 Buchstabe b erfüllt ist (ein erfolgreicher böswilliger unbefugter Zugriff, der zu Datenverlusten führen kann), ODER zwei oder mehr der sechs Schwellen aus Schritt 2 erfüllt sind. Ist nur eine gewöhnliche Schwelle erfüllt und liegt kein qualifizierender böswilliger Zugriff vor → nicht schwerwiegend (aber weiter beobachten). Sobald Sie als schwerwiegend einstufen, startet die 4-Stunden-Uhr für die NCA-Meldung jetzt.
Schritt 4 - Laufende Neubewertung
Vorfälle entwickeln sich. Ein in Stunde 1 geringfügiger Vorfall kann in Stunde 3 eine zweite Schwelle überschreiten, wenn sich die Auswirkung ausbreitet. Bewerten Sie die Einstufung über den gesamten Lebenszyklus des Vorfalls neu. Wird ein Vorfall von nicht schwerwiegend zu schwerwiegend hochgestuft, läuft die 4-Stunden-Uhr ab dem Moment der Neueinstufung - der absolute 24-Stunden-Rückfallpunkt bemisst sich aber weiterhin ab dem Zeitpunkt, zu dem Sie erstmals Kenntnis von dem Vorfall erlangt haben.
📑
Vorfalltaxonomie
Schwerwiegende vs. nicht schwerwiegende Vorfälle vs. Cyberbedrohungen
DORA unterscheidet schwerwiegende IKT-bezogene Vorfälle (verpflichtende NCA-Meldung) von sonstigen, nicht schwerwiegenden Vorfällen (intern protokollieren und bearbeiten) und erlaubt daneben die freiwillige Meldung erheblicher Cyberbedrohungen. Wer die Grenzen versteht, vermeidet sowohl Übermeldung als auch gefährliche Untereinstufung.
| Dimension | Schwerwiegender Vorfall | Nicht schwerwiegender Vorfall | Erhebliche Cyberbedrohung |
|---|---|---|---|
| Auslöser | Eingangstor erfüllt + [9(5)(b) ODER zwei oder mehr Schwellen] | Eingangstor nicht erfüllt oder Kombinationsregel nicht erfüllt | Eine Bedrohung, die sich zu einem schwerwiegenden Vorfall entwickeln könnte (Art. 10) - es ist kein Vorfall eingetreten |
| NCA-Meldung | Ja, verpflichtend | Nein (Protokollierung nach Art. 17) | Freiwillig (Art. 19(2)) |
| Meldefristen | 4 h / 72 h / 1 Monat | Nur internes SLA | Keine feste regulatorische Uhr |
| Leitungsorgan | Eskalation nach dem IKT-Vorfallprozess (Art. 17) | Operatives Team oder Risikoteam | Eskalation im Risikomanagement |
| Kundeninformation | Erforderlich, wenn finanzielle Interessen von Kunden betroffen sind (Art. 19(3)) | In der Regel nicht erforderlich | Nicht anwendbar |
| Ursachenanalyse | Verpflichtend, in der Abschlussmeldung | Nach dem Prozess aus Art. 17 erwartet | Bedrohungsanalyse |
| Dokumentation | Vollständiger Prüfpfad für die aufsichtliche Durchsicht | Interne Aufzeichnungen, aufsichtlicher Zugriff | Interne Aufzeichnungen |
Warum nicht schwerwiegende Vorfälle trotzdem zählen
Auch wenn nicht schwerwiegende Vorfälle keine NCA-Meldung auslösen, müssen sie nach Ihrem Prozess für das Management IKT-bezogener Vorfälle (Artikel 17) erfasst und bearbeitet werden. Aufseher sehen sich bei Prüfungen Ihr vollständiges Vorfallregister an, und ein Muster von Vorfällen, die als nicht schwerwiegend erfasst wurden, obwohl sie als schwerwiegend hätten eingestuft werden müssen, führt sofort zu Nachfragen. Bauen Sie für jeden Vorfall eine belastbare, zeitgestempelte Einstufungsbegründung auf, unabhängig vom Ergebnis.
🏛️
Regulatorische Mechanik
NCA-Meldung: wer, wohin und wie
Meldeadressat ist Ihre Heimat-NCA, also die zuständige Behörde, die das Finanzunternehmen zugelassen oder registriert hat. Für Banken ist das typischerweise die nationale Bankenaufsicht (etwa die BaFin in Deutschland, die ACPR in Frankreich, die DNB in den Niederlanden oder die Central Bank of Ireland). Für Zahlungsinstitute ist es die zuständige Aufsicht für Zahlungsdienste. Bei grenzüberschreitenden Gruppen koordiniert die Heimat-NCA des Mutterunternehmens mit den Aufsichtsbehörden der Aufnahmestaaten.
Meldeformat
Die Meldevorlagen sind durch die technischen Durchführungsstandards vorgegeben (Durchführungsverordnung (EU) 2025/302 der Kommission). Jede Phase - Erst-, Zwischen- und Abschlussmeldung - nutzt ein standardisiertes, strukturiertes Formular, ergänzt um Freitextpassagen zu den strukturierten Daten. Die Einreichung erfolgt über den von der NCA vorgesehenen Meldeweg.
Klare Verantwortung
Benennen Sie eine Person, die befugt ist, zu eskalieren, einzustufen und Meldungen einzureichen, ohne auf Gremienbeschlüsse zu warten, und bestimmen Sie vorab Vertretungen für eine Abdeckung rund um die Uhr. Unter einer 4-Stunden-Uhr ist eine unklare Zuständigkeit die mit Abstand häufigste Ursache für eine verpasste Frist. Diese Person zu benennen ist ein kurzes Gespräch, und die meisten Unternehmen schieben es monatelang auf, weil es nach einer Governance-Frage aussieht. Schreiben Sie den Namen und die Vertretungen ins Runbook und prüfen Sie dann, ob die Vertretungen wissen, dass sie Vertretungen sind.
Grenzüberschreitende Koordination
Bei Vorfällen, die für andere Mitgliedstaaten relevant sind, teilt die Heimat-NCA die Meldung mit den betroffenen NCAs der Aufnahmestaaten und den ESAs (EBA, EIOPA, ESMA), wie in den Artikeln 11 und 12 des RTS geregelt. Sie melden an eine NCA, diese koordiniert den Rest. Weisen Sie die grenzüberschreitende Dimension in Ihrer Meldung aus.
Parallele Meldepflichten
Ein schwerwiegender IKT-Vorfall kann weitere Regime auslösen: DSGVO (Artikel 33, Meldung binnen 72 Stunden), NIS2 (wenn das Unternehmen eine wesentliche oder wichtige Einrichtung ist) und PSD2 (für Zahlungsdienstleister). Jedes hat eigene Fristen und Adressaten. Bilden Sie alle parallelen Pflichten in Ihrem Vorfallreaktionsprozess ab.
Praxistipp: Meldungen vorbereiten
Füllen Sie die Vorlage für die Erstmeldung vorab mit statischen Unternehmensdaten (Kennungen, NCA-Referenz, Zulassungsangaben, Namen der Hauptansprechpartner, Standardbeschreibungen der Dienstleistungen), damit Ihr Team während eines laufenden Vorfalls nur noch die vorfallspezifischen Felder ausfüllt. So bleibt das enge Zeitfenster für Eindämmung und Bewertung frei statt für Formularausfüllen.
⚠️
Fallstricke
6 häufige Einstufungsfehler
Das sind die Einstufungsfehler, über die ein Vorfallteam unter Zeitdruck am ehesten stolpert - und warum jeder von ihnen zählt.
Fehler 1: Auf vollständige Auswirkungsdaten warten, bevor eingestuft wird
Teams verzögern die Einstufung, bis sie belastbare Kundenzahlen, Wirtschaftszahlen oder eine bestätigte Grundursache haben. Die Erstmeldung erlaubt ausdrücklich vorläufige Daten - sie verlangt eine vernünftige Einschätzung und keine Gewissheit. Wer auf perfekte Zahlen wartet, verbrennt sein 4-Stunden-Fenster und riskiert, den absoluten 24-Stunden-Rückfallpunkt zu reißen. Stufen Sie auf Basis der besten verfügbaren Informationen ein und verfeinern Sie in der Zwischen- und Abschlussmeldung.
Fehler 2: “IKT-Vorfall” mit “Cybersicherheitsvorfall” verwechseln
Der Anwendungsbereich von DORA ist breiter als Cyber. Artikel 3 Nummer 8 definiert einen “IKT-bezogenen Vorfall” als ein vom Unternehmen nicht geplantes Einzelereignis oder eine Reihe verbundener Ereignisse, das die Sicherheit von Netzwerk- und Informationssystemen beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die erbrachten Dienstleistungen hat. Dazu gehören Hardwareausfälle, Softwarefehler, Konfigurationsfehler, Ausfälle von Cloud-Anbietern und Kapazitätserschöpfung, also weit mehr als Ransomware und Datenabflüsse. Viele Unternehmen führen Infrastrukturvorfälle nie durch den Einstufungsprozess. Das ist die Fehlinterpretation, um die man sich sorgen sollte, denn sie ist lautlos. Nichts warnt Sie vor einer Einstufung, die Sie nie vorgenommen haben, und ein Kapazitätsausfall, der eine Zahlungswarteschlange einen Nachmittag lang lahmgelegt hat, liest sich für eine Aufsichtsbehörde genau wie eine Verletzung, die Sie nicht melden wollten.
Fehler 3: Dienstleistungen nicht auf kritische oder wichtige Funktionen abbilden
Das Kritikalitäts-Eingangstor (Artikel 6) hängt davon ab, ob die betroffene Dienstleistung eine kritische oder wichtige Funktion unterstützt, definiert in Artikel 3 Nummer 22 als eine Funktion, deren Störung die finanzielle Leistungsfähigkeit des Unternehmens, die Solidität oder Fortführung seiner Dienstleistungen oder die Einhaltung seiner Zulassungsbedingungen erheblich beeinträchtigen würde. Ohne eine belastbare Zuordnung von IKT-Dienstleistungen zu Funktionen, abgeleitet aus Ihrer Business-Impact-Analyse und Ihrem Informationsregister, wird die Bewertung am Eingangstor zum Raten.
Fehler 4: Ausfälle bei Dritten als “nicht unser Vorfall” behandeln
Wenn ein Cloud-Anbieter, ein Zahlungsabwickler oder ein SaaS-Anbieter einen Ausfall erleidet, der Ihre Dienstleistungen trifft, ist es Ihr IKT-bezogener Vorfall, den Sie einstufen müssen. Die Kriterien bewerten die Auswirkung auf Ihre Kunden, Ihre Dienstleistungen und Ihre Transaktionen. Eine externe Grundursache befreit Sie nicht von der Meldung - die Pflichten zum Drittparteienrisikomanagement in DORA haben genau dieses Szenario im Blick.
Fehler 5: Nicht neu einstufen, während sich Vorfälle entwickeln
Ein zunächst geringfügiger Vorfall kann schwerwiegend werden, wenn sich Folgefehler ausbreiten. Ein Datenbank-Performanceproblem um 09:00 Uhr betrifft vielleicht nur interne Systeme; um 11:00 Uhr laufen kundenseitige APIs in drei Ländern in Timeouts und schieben eine zweite Schwelle über die Linie. Teams, die einmal einstufen und nie neu bewerten, verpassen die Neueinstufung und reißen das Meldefenster. Bauen Sie Neubewertungspunkte in Ihr Playbook für jeden Vorfall ein, der die IKT-Infrastruktur betrifft.
Fehler 6: DORA-, DSGVO- und NIS2-Meldungen nicht koordinieren
Ein einziger Vorfall kann Meldepflichten nach DORA (4 h an die NCA), DSGVO (72 h an die Datenschutzbehörde) und NIS2 (24 h Frühwarnung an das CSIRT) auslösen. Jede hat andere Schwellen, Adressaten und Inhalte. Unternehmen, die das in getrennten Silos betreiben, senden zwangsläufig widersprüchliche Angaben an verschiedene Aufsichtsbehörden - ein Warnsignal, das Nachfragen provoziert. Steuern Sie alle Meldepflichten aus einem Vorfalldatensatz und einer Einstufungsbewertung.
🔍
Angewandte Einstufung
Durchgerechnete Szenarien: schwerwiegend oder nicht?
Die Theorie ist sauber, die Realität ist unordentlich. Diese vier beispielhaften Szenarien wenden das Eingangstor und die Kombinationsregel an. Jedes durchläuft den Eingangstest und die Zählung der Schwellen.
| Szenario | Kernfakten | Kriterienanalyse | Einstufung |
|---|---|---|---|
| Ausfall eines Cloud-Anbieters trifft das Online-Banking | Ausfall einer Cloud-Region, 3,5 Stunden Ausfallzeit bei Mobile- und Web-Banking, rund 45.000 Privatkunden betroffen, ein Land, Wiederherstellungs- und Behebungskosten über 100.000 EUR geschätzt | Eingangstor: Online-Banking unterstützt eine kritische Funktion. Schwelle 1: Ausfallzeit 3,5 h > 2 h. Schwelle 2: wirtschaftliche Auswirkung > 100.000 EUR. Zwei Schwellen erfüllt. | SCHWERWIEGEND |
| Ransomware im internen HR-System | Ransomware verschlüsselt das HR- und Lohnsystem, Beschäftigtendaten wahrscheinlich abgeflossen, 48 Stunden bis zur Wiederherstellung, keine kundenseitige Auswirkung | Eingangstor: Ein erfolgreicher böswilliger unbefugter Zugriff öffnet das Tor über Artikel 6 Buchstabe c, obwohl HR keine kritische Funktion ist. Einzelner Auslöser: Derselbe Zugriff erfüllt Artikel 9 Absatz 5 Buchstabe b. Eingangstor + 9(5)(b) genügt für sich allein. | SCHWERWIEGEND |
| Beeinträchtigte Zahlungsabwicklung | Kartenzahlungsabwicklung 90 Minuten lang bei 60 % Kapazität, 2,3 Mio. EUR an Kartentransaktionen verzögert - mehr als 10 % des durchschnittlichen täglichen Transaktionswerts des Abwicklers -, Kunden in DE und NL betroffen | Eingangstor: Zahlungsabwicklung ist kritisch. Dauer: 90 Min. < 2 h, nicht erfüllt. Schwelle 1: Geografie, 2 Mitgliedstaaten (Art. 9(4)). Schwelle 2: betroffene Transaktionen überschreiten 10 % des durchschnittlichen täglichen Transaktionswerts (Art. 9(1)). Zwei Schwellen erfüllt. | SCHWERWIEGEND |
| DDoS-Angriff auf die Marketing-Website | Ein DDoS nimmt die Unternehmens-Marketing-Website für 4 Stunden vom Netz; keine Auswirkung auf Handels-, Bank- oder Zahlungssysteme; kein unbefugter Zugriff; nur die Marketing-Seite | Eingangstor: Die Marketing-Seite ist keine kritische oder wichtige Funktion, keine Finanzdienstleistung ist betroffen, und ein DDoS ist eine Störung statt eines erfolgreichen unbefugten Zugriffs. Keiner der drei Arme des Eingangstors ist erfüllt. | NICHT SCHWERWIEGEND |
Die Grauzone
Die meisten Streitfälle liegen dort, wo das Eingangstor klar erfüllt ist, die zweite Schwelle aber grenzwertig bleibt. Es gibt keine regulatorische Anweisung, “im Zweifel zu melden”, doch Aufseher erwarten für jede Entscheidung eine dokumentierte, belastbare Begründung. Wo der Zwei-Schwellen-Test wirklich knapp ausfällt, neigen viele Unternehmen zur Meldung und stufen in der Zwischenmeldung herab - eine korrigierte Übermeldung schadet weit weniger als eine Untermeldung, die die NCA im Nachhinein entdeckt. Was immer Sie entscheiden, halten Sie fest, warum.
⚡
Plattformfähigkeit
Wie Venvera die Vorfalleinstufung unterstützt
Wenn Ihnen nur 240 Minuten bleiben, können Sie nicht die Hälfte davon damit verbringen herauszufinden, ob Sie melden müssen. Das Vorfallmodul von Venvera - ein Teil einer breiteren Compliance-Plattform für mehrere Rahmenwerke - kodiert das Eingangstor aus Artikel 6, die Wesentlichkeitsschwellen aus Artikel 9, die Kombinationsregel aus Artikel 8 und den dreiphasigen Meldeablauf in einen strukturierten Workflow, sodass die Einstufung eine geführte Bewertung wird statt einer Tabellendiskussion.
Geführte Einstufung
Sie geben die Vorfallparameter ein (betroffene Dienstleistungen, Dauer, Kundenzahl, geografische Reichweite), und das Modul bewertet das Eingangstor und die sechs Schwellen anhand der Kombinationsregel des RTS und liefert eine Einstufungsempfehlung mit der regulatorischen Begründung dahinter.
Zuordnung kritischer Funktionen
Eine vorkonfigurierte Zuordnung zwischen Ihren IKT-Dienstleistungen, Geschäftsfunktionen und Kritikalitätsbewertungen aus Ihrem Informationsregister sorgt dafür, dass das Eingangstor aus Artikel 6 automatisch danach bewertet wird, welche Dienstleistung betroffen ist.
Fristen-Countdown & Alarme
Ab dem Moment, in dem ein Vorfall erfasst wird, verfolgen Countdown-Timer das 4-Stunden-Fenster für die Erstmeldung, die 72-Stunden-Frist für die Zwischenmeldung und das Fälligkeitsdatum der Abschlussmeldung nach einem Monat, mit Eskalationsalarmen, wenn eine Frist näher rückt.
Entwurf der NCA-Meldung
Meldevorlagen im Einklang mit den technischen Durchführungsstandards (Verordnung (EU) 2025/302). Unternehmensidentifikation, Stammdaten und Dienstleistungszuordnungen sind vorbefüllt; vorfallspezifische Felder sind für schnelles Ausfüllen und den Export strukturiert.
Überwachung der Neueinstufung
Wenn Sie während eines laufenden Ereignisses Vorfallparameter aktualisieren, bewertet das Modul die Kombinationsregel neu. Überschreitet ein nicht schwerwiegender Vorfall eine zweite Schwelle, markiert es die Änderung, damit Sie das Meldefenster nicht verpassen.
Koordination über mehrere Rahmenwerke
Ein einzelner Vorfalldatensatz kann parallele Bewertungen nach DORA, DSGVO und NIS2 antreiben, bildet die Schwelle jedes Regimes ab und verfolgt jede Frist getrennt, sodass jede Aufsichtsbehörde konsistente Informationen erhält.
Prüfpfad der Einstufung
Jede Einstufungsentscheidung, jede Parameteränderung und jede Neubewertung wird mit Zeitstempel und Benutzerzuordnung protokolliert, sodass Sie auf die Frage einer Aufsichtsbehörde, warum ein Vorfall als nicht schwerwiegend eingestuft wurde, eine belastbare Dokumentation der Begründung haben.
Strukturierte Ursachenanalyse
Erfassung der Grundursache im Einklang mit der von Aufsehern erwarteten Vorfalltaxonomie, die in Ihre Abschlussmeldung und Ihren übergreifenden IKT-Risikomanagementrahmen einfließt (Artikel 6 von DORA).
Nutzen Sie das Zeitfenster für Eindämmung statt für Formulare
Der Zweck, die Regel zu kodieren, ist einfach: Aus der Einstufung wird eine geführte Bewertung von wenigen Minuten mit belastbarem Prüfpfad, sodass Ihr Team die vier Stunden auf die Eindämmung des Vorfalls und den Schutz der Kunden verwendet statt auf Schwellendiskussionen in einer Telefonkonferenz.
Die wichtigsten Punkte
- Eingangstor plus Kombinationsregel: Ein Vorfall ist nur dann schwerwiegend, wenn er kritische Dienstleistungen betrifft (Artikel 6) UND entweder ein erfolgreicher böswilliger unbefugter Zugriff (Artikel 9 Absatz 5 Buchstabe b) oder zwei oder mehr der sechs Schwellen erfüllt sind.
- Eine Schwelle genügt nicht: Eine wirtschaftliche Auswirkung über 100.000 EUR macht einen Vorfall für sich allein noch nicht schwerwiegend - sie ist eine von sechs Schwellen, und Sie brauchen zwei (oder einen qualifizierenden böswilligen Eindringversuch).
- 4-Stunden-Erstmeldung: Die Uhr startet mit der Einstufung, mit einem absoluten 24-Stunden-Rückfallpunkt ab Ihrer Kenntnisnahme, Sie haben also höchstens etwa 20 Stunden zum Einstufen.
- Dreiphasige Meldung: Erstmeldung (4 h), Zwischenmeldung (72 h), Abschlussmeldung (1 Monat), mit Fristen aus der Delegierten Verordnung (EU) 2025/301.
- Ausfälle bei Dritten zählen: Wenn Ihr Anbieter ausfällt und Ihre Kunden betroffen sind, ist es Ihr Vorfall, den Sie einstufen und melden müssen.
- Jede Entscheidung dokumentieren: Halten Sie die Einstufungsbegründung für jeden Vorfall fest, schwerwiegend oder nicht - Ihr Vorfallregister wird von Aufsehern geprüft.
Häufig gestellte Fragen
Was macht einen IKT-bezogenen Vorfall nach DORA “schwerwiegend”?
Nach Artikel 8 des Einstufungs-RTS (Delegierte Verordnung (EU) 2024/1772) ist ein Vorfall schwerwiegend, wenn er kritische Dienstleistungen betroffen hat (das Kritikalitäts-Eingangstor aus Artikel 6) und entweder die Schwelle aus Artikel 9 Absatz 5 Buchstabe b erfüllt ist - ein erfolgreicher, böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme, der zu Datenverlusten führen kann - oder zwei oder mehr der sechs Wesentlichkeitsschwellen aus Artikel 9 Absätze 1 bis 6 erfüllt sind. Das Eingangstor allein genügt nicht, und keine einzelne gewöhnliche Schwelle reicht für sich aus.
Wie sieht der DORA-Meldeablauf für Vorfälle aus?
Drei Phasen, mit Fristen aus der Delegierten Verordnung (EU) 2025/301, Artikel 5. Die Erstmeldung ist so früh wie möglich und innerhalb von 4 Stunden nach der Einstufung des Vorfalls als schwerwiegend fällig, spätestens jedoch 24 Stunden nach der Kenntnisnahme. Die Zwischenmeldung ist innerhalb von 72 Stunden nach der Erstmeldung fällig. Die Abschlussmeldung ist spätestens einen Monat nach der Zwischenmeldung fällig.
Ist die Zahl von 100.000 EUR wirtschaftlicher Auswirkung ein eigenständiger Auslöser?
Nein. Die Schwelle für wirtschaftliche Auswirkungen in Artikel 9 Absatz 6 ist erfüllt, wenn direkte und indirekte Kosten und Verluste 100.000 EUR überschreiten oder voraussichtlich überschreiten werden - sie ist aber nur eine von sechs Wesentlichkeitsschwellen. Für sich allein, bei erfülltem Eingangstor, ergibt sie eine einzelne Schwelle, und das genügt nicht. Sie brauchen eine zweite Schwelle oder einen qualifizierenden böswilligen unbefugten Zugriff nach Artikel 9 Absatz 5 Buchstabe b. Eine Alternative als Umsatzprozentsatz zur Zahl von 100.000 EUR gibt es nicht.
Zählen Ausfälle bei Drittdienstleistern als unser Vorfall?
Ja. Wenn ein Cloud-Anbieter, ein Zahlungsabwickler oder ein anderer IKT-Dritter einen Ausfall erleidet, der Ihre Dienstleistungen, Kunden oder Transaktionen betrifft, ist es Ihr IKT-bezogener Vorfall, den Sie einstufen und, sofern er den Test erfüllt, melden müssen. Die Einstufungskriterien messen die Auswirkung auf Ihren Betrieb; eine externe Grundursache hebt die Pflicht nicht auf.
Was ist eine “erhebliche Cyberbedrohung” und muss sie gemeldet werden?
Nach Artikel 10 des RTS ist eine Cyberbedrohung erheblich, wenn zusammengenommen gilt: Sie könnte, falls sie sich verwirklicht, kritische oder wichtige Funktionen des Unternehmens (oder anderer Unternehmen, Anbieter, Kunden oder Gegenparteien) beeinträchtigen; sie hat eine hohe Eintrittswahrscheinlichkeit, beurteilt anhand von Schwachstellen, Fähigkeiten und Absichten der Bedrohungsakteure sowie ihrer Beharrlichkeit; und sie könnte, falls sie sich verwirklicht, die Kritikalitäts- und Wesentlichkeitsschwellen für einen schwerwiegenden Vorfall erreichen. Die Meldung einer erheblichen Cyberbedrohung ist nach Artikel 19 Absatz 2 von DORA freiwillig.
Primärquellen
Dieser Leitfaden stützt sich auf die Verordnung und ihre technischen Standards: Verordnung (EU) 2022/2554 (DORA, einschließlich der Artikel 18, 19 und 50); Delegierte Verordnung (EU) 2024/1772 der Kommission (RTS zur Einstufung schwerwiegender IKT-bezogener Vorfälle und erheblicher Cyberbedrohungen, einschließlich der Artikel 1 bis 10); Delegierte Verordnung (EU) 2025/301 der Kommission (RTS zu Inhalt und Fristen der Vorfallmeldungen, Artikel 5); sowie die DORA-Seiten der Europäischen Bankenaufsichtsbehörde zu den Meldestandards der ESAs. Prüfen Sie stets den aktuellen Text, bevor Sie sich auf eine bestimmte Zahl oder Frist verlassen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechts- oder Aufsichtsberatung dar. Finanzunternehmen sollten ihre Rechtsberatung und die zuständigen Behörden zu unternehmensspezifischen Fragen der DORA-Vorfalleinstufung und -meldung hinzuziehen. Zuletzt geprüft: Juli 2026.
