DORA Meldepflicht: IKT-Vorfälle regelkonform melden

Für als schwerwiegend eingestufte IKT-Vorfälle gilt eine gestaffelte Meldepflicht: eine Erstmeldung innerhalb weniger Stunden nach Feststellung, eine Zwischenmeldung mit aktualisiertem Kenntnisstand, und eine Abschlussmeldung nach vollständiger Analyse. Die genauen Fristen sind in den technischen Regulierungsstandards festgelegt und sollten dort im Detail geprüft werden, da sie sich von anderen Meldepflichten unterscheiden können.

Die Einstufung erfolgt anhand definierter Schwellenwerte, etwa Anzahl betroffener Kunden, Dauer der Beeinträchtigung, wirtschaftlicher Schaden oder geografische Ausbreitung. Diese Kriterien sind in den technischen Regulierungsstandards konkretisiert; ein Vorfall, der unterhalb dieser Schwellen bleibt, unterliegt nicht der DORA-Meldepflicht, sollte aber dennoch intern dokumentiert werden.

Die Erstmeldung enthält typischerweise Zeitpunkt der Feststellung, eine erste Einschätzung der betroffenen Systeme und Kunden, sowie bereits ergriffene Sofortmaßnahmen. Da die Erstmeldung unter Zeitdruck erstellt wird, ist es normal, dass sie noch nicht alle Details enthält, dafür sind die nachfolgenden Zwischen- und Abschlussmeldungen vorgesehen.

Die Erstmeldung informiert die Aufsicht schnellstmöglich über das Auftreten eines Vorfalls, die Zwischenmeldung liefert einen aktualisierten Kenntnisstand, sobald sich das Bild klärt, und die Abschlussmeldung dokumentiert die vollständige Ursachenanalyse mit Root Cause und ergriffenen Maßnahmen. Jede Meldestufe hat eigene inhaltliche Anforderungen und Fristen.

Hilfreich sind Systeme, die Vorfalldaten aus Monitoring-Tools automatisch in ein meldefähiges Format überführen und den Bearbeitungsstatus jeder Meldestufe nachverfolgen, statt jede Meldung manuell neu zusammenzustellen. Bei der Auswahl lohnt sich zu prüfen, ob das System die konkreten Meldeformate der zuständigen Aufsichtsbehörde direkt unterstützt.

Die Meldung erfolgt an die zuständige nationale Aufsichtsbehörde, in Deutschland in der Regel die BaFin, gegebenenfalls ergänzt um sektorspezifische Meldewege. Bei grenzüberschreitend tätigen Unternehmen kann die Meldepflicht in mehreren Mitgliedstaaten gleichzeitig greifen, das sollte vorab mit den jeweiligen nationalen Behörden geklärt werden, statt es erst im tatsächlichen Vorfall herauszufinden.