Schwerwiegende IKT-Vorfälle nach DORA einstufen und fristgerecht melden

Die DORA-Meldepflicht nach Kapitel III der Verordnung (Art. 17 bis 23) gilt für Finanzunternehmen im Vollrahmen und im vereinfachten Rahmen nach Art. 16 gleichermaßen. Für die KWG-Gruppe, also Factoring- und Finanzierungsleasinginstitute, Bürgschaftsbanken und die übrigen Institute nach § 1a Abs. 2a KWG, gilt sie nach § 65a Abs. 3 Satz 2 KWG schon seit 17.01.2025, obwohl der übrige DORA-Rahmen für sie erst ab 01.01.2027 anzuwenden ist. Diese Seite zeigt Klassifizierung, Fristen, Meldeweg und eine Übung.

Was ist ein schwerwiegender IKT-bezogener Vorfall?

Ein Vorfall ist schwerwiegend, wenn er Dienste beeinträchtigt, die nach Art. 6 der Delegierten Verordnung (EU) 2024/1772 kritisch sind, und zusätzlich bestimmte Wesentlichkeitsschwellen erreicht. Die Prüfung hat zwei Stufen (Art. 8 Abs. 1):

1. Kritikalität der betroffenen Dienste (Art. 6): Der Vorfall beeinträchtigt (a) IKT-Dienste oder Systeme, die kritische oder wichtige Funktionen unterstützen, (b) zulassungs- oder registrierungspflichtige oder beaufsichtigte Finanzdienstleistungen, oder (c) er ist ein erfolgreicher, böswilliger und unbefugter Zugriff auf die Netzwerk- und Informationssysteme. Der Wortlaut nennt keine Mindestzahl. Die BaFin geht in ihren FAQ von Kritikalität aus, wenn zwei dieser drei Kriterien erfüllt sind. Das ist ihre Lesart, im RTS steht es so nicht.
2. Schwellen (Art. 9): Entweder ist die Schwelle des Art. 9 Abs. 5 lit. b erreicht (erfolgreicher, böswilliger und unbefugter Zugriff, der zu Datenverlusten führen kann), oder es sind zwei oder mehr der übrigen Schwellen erreicht.

Wo Zahlen nicht sicher bestimmbar sind, verlangt die Verordnung Schätzungen. Für die erste Stufe brauchen Sie eine aktuelle Liste Ihrer kritischen oder wichtigen Funktionen, sonst lässt sich Art. 6 lit. a nicht prüfen.

Wiederholte Vorfälle: Nach Art. 8 Abs. 2 gelten einzeln nicht schwerwiegende Vorfälle zusammen als schwerwiegend, wenn sie in sechs Monaten mindestens zweimal mit derselben offensichtlichen Ursache auftreten und zusammen die Kriterien erfüllen. Das ist monatlich zu prüfen. Die Regel gilt nicht für Kleinstunternehmen und die in Art. 16 Abs. 1 DORA genannten Finanzunternehmen. Ob die KWG-Gruppe dazugehört, ist in den Quellen nicht geklärt. Wir empfehlen, wiederholte Vorfälle trotzdem monatlich auszuwerten.

Welche Fristen gelten für die DORA-Meldepflicht?

Die Fristen stehen in Art. 5 der Delegierten Verordnung (EU) 2025/301:

Dazu kommen vier Regeln, die in der Praxis oft fehlen:

• Frist nicht haltbar: Wer eine Frist nicht einhalten kann, teilt das der BaFin unverzüglich, spätestens innerhalb der Frist, mit Gründen mit (Art. 5 Abs. 3).
• Zusammenlegen: Mehrere Meldestufen dürfen zusammen übermittelt werden, wenn die Fristen eingehalten sind und Betrieb oder Ursachenanalyse abgeschlossen sind (Durchführungsverordnung (EU) 2025/302 Art. 2).
• Rückstufung: Stellt sich ein gemeldeter Vorfall als nicht schwerwiegend heraus, teilen Sie die Neueinstufung der BaFin mit (Art. 5 der Durchführungsverordnung).
• Kunden: Berührt ein schwerwiegender Vorfall die finanziellen Interessen von Kunden, sind diese unverzüglich zu unterrichten (Art. 19 Abs. 3 DORA).

Gilt die Wochenendregel auch für Factoring und Leasing?

Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf die Meldung grundsätzlich bis 12.00 Uhr des nächsten Arbeitstags übermittelt werden (Art. 5 Abs. 4). Für Erst- und Zwischenmeldungen gilt das aber nicht bei Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und Finanzunternehmen, die nach NIS2 wesentliche oder wichtige Einrichtungen sind (Abs. 5). Die Behörde kann die Erleichterung zudem für bedeutende oder systemrelevante Finanzunternehmen ausschließen (Abs. 6). Für die Abschlussmeldung bleibt die Wochenendregel auch in diesen Fällen bestehen.

Für die KWG-Gruppe ist die Frage offen. § 1a Abs. 2a KWG lässt diese Institute die Level-2-Rechtsakte anwenden, „als wären diese Institute CRR-Kreditinstitute“, und für Erst- und Zwischenmeldungen von Kreditinstituten ist die Erleichterung ausgeschlossen. Eine Aussage der BaFin dazu haben wir nicht gefunden. Wir sagen die Wochenenderleichterung für Factoring-, Leasing- und andere Institute der KWG-Gruppe deshalb nicht zu und empfehlen, Erst- und Zwischenmeldung auch am Wochenende und an Feiertagen fristgerecht abgeben zu können.

Wie und wo wird gemeldet?

In Deutschland melden Sie über die Melde- und Veröffentlichungsplattform (MVP) der BaFin. Das ist der sichere elektronische Kanal im Sinne von Art. 4 der Durchführungsverordnung (EU) 2025/302. Das Formular hat vier Abschnitte: allgemeine Angaben (Felder 1.1 bis 1.15), Erstmeldung (2.1 bis 2.10), Zwischenmeldung (3.1 bis 3.35) und Abschlussmeldung (4.1 bis 4.16). Die BaFin erläutert jedes Feld in ihren Ausfüllhinweisen (Stand 15.05.2026). Vorab zu klären: Zeitangaben stehen im Formular in UTC, und jede Meldung enthält den LEI-Code sowie die Kontaktdaten der Personen, die mit der BaFin über den Vorfall kommunizieren.

Dienstleister: IKT-Drittdienstleister sind nach DORA selbst nicht meldepflichtig (eigene Meldepflichten etwa nach NIS2 oder TKG können bestehen, siehe NIS2-Readiness). Löst ein Vorfall bei Ihrem Dienstleister bei Ihnen einen schwerwiegenden Vorfall aus, melden Sie. Die Meldung selbst dürfen Sie an einen Dienstleister auslagern, die Verantwortung bleibt aber bei Ihnen (Art. 19 Abs. 5 DORA). Die BaFin ist spätestens vor der ersten Meldung mit Name, Kontaktdaten und Kennung des Dritten zu unterrichten. Damit Sie rechtzeitig von Vorfällen beim Dienstleister erfahren, gehört die Unterstützung bei IKT-Vorfällen in den Vertrag (Art. 30 Abs. 2 DORA, für die KWG-Gruppe ab 01.01.2027).

Was ist mit erheblichen Cyberbedrohungen?

Erhebliche Cyberbedrohungen dürfen Sie der BaFin freiwillig melden (Art. 19 Abs. 2 DORA), eine Pflicht besteht nicht. Erheblich ist eine Bedrohung nach Art. 10 der Delegierten Verordnung (EU) 2024/1772, wenn sie kritische oder wichtige Funktionen, andere Finanzunternehmen, Dienstleister oder Kunden beeinträchtigen könnte, eine hohe Eintrittswahrscheinlichkeit hat und bei Eintritt die Kritikalität der Dienste oder die Schwelle für Kunden und Transaktionen oder für die geografische Ausbreitung erfüllen könnte. Den Inhalt der Meldung regelt Art. 6 der Delegierten Verordnung (EU) 2025/301.

Beispiel: Klassifizierungsbogen für einen Vorfall beim Softwareanbieter

Fiktives Beispiel, kein Kunde. Die Muster-Leasing GmbH ist ein Finanzierungsleasinginstitut mit 2.400 Leasingnehmern, davon nutzen 1.900 das Kundenportal. Vertragsverwaltung und Kundenportal laufen als Software-as-a-Service bei einem Anbieter in Deutschland und unterstützen kritische oder wichtige Funktionen. Am Freitag, 13.11.2026, fallen beide Dienste um 18:30 Uhr aus, die IT-Bereitschaft erfährt um 18:40 Uhr davon. Um 20:15 Uhr meldet der Anbieter einen Angriff mit Verschlüsselung, um 22:30 Uhr bestätigt er einen unbefugten Zugriff, ein Datenabfluss ist nicht ausgeschlossen. Der Bogen des Vorfallverantwortlichen:

Die Fristen in diesem Beispiel sind unsere eigene Rechnung nach dem Wortlaut. Die Einstufung war um 20:30 Uhr möglich, als die zweite Schwelle erreicht war. Mit ihr zu warten, bis weitere Kriterien vorliegen, verschiebt die Frist nicht: Die Erstmeldung ist so früh wie möglich abzugeben (Art. 5 Abs. 1 lit. a der Delegierten Verordnung (EU) 2025/301). Der Anbieter ist nach DORA selbst nicht meldepflichtig, die Meldung gibt das Institut ab.

Datenschutz: Geht es wie hier um personenbezogene Daten, prüft das Institut parallel die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO (unverzüglich, möglichst binnen 72 Stunden) und, bei voraussichtlich hohem Risiko für die Betroffenen, deren Benachrichtigung nach Art. 34 DSGVO. Diese Pflichten ersetzt die DORA-Meldung nicht.

Übungsdrehbuch: Meldeübung in zwei Stunden

Eine Meldeübung schreibt DORA nicht ausdrücklich vor. Den Vorfallprozess verlangt DORA ohnehin (Art. 17, im Art.-16-Rahmen zusätzlich Art. 16 Abs. 1 lit. d), Tests der Geschäftsfortführungspläne und der Kontrollen Art. 16 Abs. 1 lit. g. Die Meldeübung ist unsere Empfehlung, um beides zusammen zu prüfen. Das Drehbuch ist eine Empfehlung von Blackfort Technology für ein Planspiel am Tisch, mit dem Vorfall aus dem Beispiel an einem simulierten Freitagabend.

Rollen: Übungsleitung (spielt Anbieter, Presse, Kunden ein), Vorfallverantwortlicher, Vertretung, Geschäftsleitung, IT-Bereitschaft, Dienstleistersteuerung, Kommunikation, Datenschutz. Vorbereitung: Funktionsliste, Bogen als Vorlage, LEI-Code und Kontaktdaten, MVP-Formularfelder als Offline-Kopie. An die BaFin wird nichts übermittelt.

Das Protokoll mit Maßnahmen, Verantwortlichen und Terminen ist der Nachweis der Übung. Wir empfehlen, sie nach größeren Änderungen und mindestens einmal im Jahr zu wiederholen.

Drei typische Lücken

Wie wir unterstützen

Für Institute der KWG-Gruppe gehören die Prüfung des Meldeablaufs und eine Meldeübung zum Umstiegspaket von der BAIT auf Art. 16. Wer zuerst prüfen lassen will, ob der bestehende Meldeprozess den Anforderungen entspricht, beginnt mit der DORA-Gap-Analyse. Was der vereinfachte Rahmen neben dem Meldewesen verlangt, steht auf der Seite Art. 16 DORA.