DORA Incident-Reporting: wie läuft das in der Praxis?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was ist ein „schwerwiegender" Vorfall?

Art. 3 Nr. 8 DORA definiert einen IKT-bezogenen Vorfall als einzelnes, vom Finanzunternehmen nicht geplantes Ereignis oder eine Reihe solcher verknüpfter Ereignisse, die die Sicherheit der Netz- und Informationssysteme beeinträchtigen und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die erbrachten Dienste haben.

Für die Einstufung als schwerwiegend nennt die Delegierte Verordnung (EU) 2024/1772 sieben Klassifizierungskriterien:

1. Kunden, finanzielle Gegenparteien und Transaktionen
2. Reputationsschaden
3. Dauer und Ausfallzeit des Dienstes
4. Geografische Ausbreitung
5. Verluste von Daten
6. Kritikalität der betroffenen Dienste
7. Wirtschaftliche Auswirkungen

Für sechs dieser Kriterien legt Art. 9 Abs. 1 bis 6 der Verordnung Wesentlichkeitsschwellen fest; die Kritikalität der betroffenen Dienste ist keine Schwelle, sondern Eingangsvoraussetzung. Die Entscheidungsregel steht in Art. 8 Abs. 1: Ein Vorfall ist schwerwiegend, wenn kritische Dienste beeinträchtigt sind und zusätzlich eine von zwei Bedingungen erfüllt ist:

• Es liegt ein erfolgreicher böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme vor, der zu Datenverlusten führen kann (Art. 9 Abs. 5 lit. b), oder
• zwei oder mehr der übrigen Wesentlichkeitsschwellen sind erreicht.

Außerdem gelten wiederkehrende Vorfälle zusammen als schwerwiegend, wenn sie innerhalb von sechs Monaten mindestens zweimal mit derselben offensichtlichen Ursache aufgetreten sind und gemeinsam die Kriterien erfüllen. Das ist monatlich zu prüfen. Für Kleinstunternehmen und für Finanzunternehmen mit vereinfachtem IKT-Risikomanagementrahmen nach Art. 16 Abs. 1 DORA gilt diese Regel nicht (Art. 8 Abs. 2).

Die drei Meldungen im Detail

Erstmeldung

• Frist: so früh wie möglich, in jedem Fall binnen 4 Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntniserlangung (Art. 5 Abs. 1 lit. a DelVO 2025/301).
• Späte Einstufung: Wird ein Vorfall erst nach mehr als 24 Stunden als schwerwiegend eingestuft, ist die Erstmeldung binnen 4 Stunden nach der Einstufung fällig (Art. 5 Abs. 2).
• Empfänger: in Deutschland die BaFin über die MVP-Plattform.

Zwischenmeldung

• Frist: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich am Status nichts geändert hat.
• Aktualisierungen: unverzüglich bei Änderungen, in jedem Fall sobald der reguläre Geschäftsbetrieb wieder aufgenommen wurde (Art. 5 Abs. 1 lit. b).

Abschlussmeldung

• Frist: spätestens einen Monat nach der Zwischenmeldung bzw. nach der letzten aktualisierten Zwischenmeldung (Art. 5 Abs. 1 lit. c).
• Inhalt: unter anderem die Ursachenanalyse und die ergriffenen Abhilfemaßnahmen, nach den Formularen der Durchführungsverordnung (EU) 2025/302.

Wer meldet an wen?

1. Finanzunternehmen → zuständige Behörde (in Deutschland: BaFin).
2. BaFin → nach Art. 19 Abs. 6 DORA zeitnah an die zuständige europäische Aufsichtsbehörde (EBA, ESMA oder EIOPA), bei bestimmten Instituten an die EZB und an die nach NIS2 zuständigen Stellen.

Parallel können weitere Meldepflichten bestehen:

• DSGVO Art. 33: Meldung einer Verletzung des Schutzes personenbezogener Daten an die zuständige Datenschutzaufsicht möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
• Strafverfolgungsbehörden: bei Straftaten wie Erpressung oder Computersabotage, als Anzeige.

Eine einheitliche EU-Meldeplattform gibt es nicht. Art. 21 DORA verpflichtet die europäischen Aufsichtsbehörden lediglich, die Machbarkeit einer solchen Zentralisierung in einem gemeinsamen Bericht zu bewerten.

Was vor dem Ernstfall stehen muss

• Bereitschaft im Incident-Response-Team, auch außerhalb der Geschäftszeiten,
• Klassifizierungsmatrix: Wer bewertet wann welche Kriterien und Schwellen?
• vorbereitete Formulare mit Stammdaten des Unternehmens,
• Zugang zur MVP-Plattform mit Konten, Rollen und Vertretung,
• Eskalationsweg: Wer informiert Vorstand, Kommunikation und Aufsicht?
• Übungen, damit der Ablauf im Ernstfall sitzt.

Häufige Fallstricke

Verzögerte Einstufung: siehe oben. Maßgeblich sind die Kriterien der DelVO 2024/1772, nicht das Bauchgefühl im Lagezentrum.

Wiederkehrende Vorfälle übersehen: Einzeln unauffällige Vorfälle mit derselben Ursache können zusammen meldepflichtig werden. Die monatliche Prüfung nach Art. 8 Abs. 2 der DelVO 2024/1772 braucht einen festen Termin.

Aktualisierung vergessen: Nach Wiederaufnahme des regulären Betriebs ist eine aktualisierte Zwischenmeldung fällig, danach läuft die Monatsfrist für die Abschlussmeldung.

Sanktionen bei verspäteter oder unterlassener Meldung

Nach Art. 50 DORA legen die Mitgliedstaaten angemessene verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen fest. Deutschland hat DORA mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) umgesetzt, die Höhe richtet sich nach dem nationalen Aufsichtsrecht. Einen EU-weiten Höchstbetrag für Finanzunternehmen gibt DORA nicht vor. Das Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes nach Art. 35 Abs. 8 DORA betrifft ausschließlich kritische IKT-Drittdienstleister.

Schnittstelle zur Forensik

Die Erstmeldung muss raus, bevor die forensische Analyse abgeschlossen ist. Bewährt hat sich:

• Forensik-Dienstleister vertraglich vorab gebunden, mit vereinbarter Reaktionszeit,
• Meldung und Beweissicherung trennen: Die Erstmeldung stützt sich auf die ersten verlässlichen Beobachtungen, nicht auf die abgeschlossene Ursachenanalyse,
• Protokolldaten lange genug aufbewahren, damit die Ursachenanalyse für die Abschlussmeldung möglich bleibt,
• eine benannte Person mit Vertretung, die Formulare ausfüllt und die MVP-Plattform bedient.

FAQ

Welche Vorfälle müssen nicht gemeldet werden?

Vorfälle, die nach der DelVO 2024/1772 nicht schwerwiegend sind, sind nicht meldepflichtig. Sie müssen aber im eigenen Vorfallmanagement nach Art. 17 DORA erfasst und klassifiziert werden, auch weil sie später als wiederkehrende Vorfälle zusammen meldepflichtig werden können.

Wer übermittelt die Meldung im Konzern?

Adressat der Meldepflicht ist das jeweilige Finanzunternehmen. Nach Art. 19 Abs. 5 DORA darf es die Meldung an einen Drittdienstleister auslagern, etwa an eine Konzerngesellschaft, bleibt aber in vollem Umfang verantwortlich.

Was, wenn sich ein Vorfall nachträglich als nicht schwerwiegend herausstellt?

Das Vorgehen bei einer Neueinstufung beschreibt die BaFin in ihren inhaltlichen Hinweisen zu DORA-Meldungen. Maßgeblich sind diese Hinweise in ihrer aktuellen Fassung.

Gibt es freiwillige Meldungen?

Ja. Nach Art. 19 Abs. 2 DORA können Finanzunternehmen erhebliche Cyberbedrohungen freiwillig melden, wenn sie diese für das Finanzsystem, die Nutzer oder die Kunden für relevant halten. Eine Pflicht dazu besteht nicht.

Wie verhält sich die DORA-Meldung zur DSGVO-Meldung?

Beide können denselben Vorfall betreffen und werden getrennt eingereicht: die DORA-Meldung an die BaFin, die DSGVO-Meldung an die zuständige Datenschutzaufsicht, für Unternehmen in der Regel die Landesdatenschutzbehörde. Die Fristen laufen unabhängig voneinander.