Incident Reporting

Notification Requirements

DORA Art. 19 and BaFin reporting ordinance: when must an ICT incident be reported? Classification, thresholds and exceptions.

DORA Art. 19 — Meldepflicht für IKT-Vorfälle

Finanzunternehmen sind verpflichtet, erhebliche und schwerwiegende IKT-Vorfälle der zuständigen Aufsichtsbehörde zu melden. Die Meldepflicht ist gestaffelt:

· Frühwarnung (Art. 19 Abs. 3): Innerhalb von 24 Stunden nach Kenntnis — erste Einschätzung, ob der Vorfall meldepflichtig ist
· Zwischenmeldung (Art. 19 Abs. 4): Innerhalb von 72 Stunden — aktualisierte Bewertung, erste Maßnahmen
· Abschlussbericht (Art. 19 Abs. 5): Innerhalb von 1 Monat — detaillierter Bericht mit Ursachenanalyse

Schwerwiegender Vorfall

· Kritische Auswirkung auf IT-Sicherheit oder Betrieb
· Erhebliche Beeinträchtigung von Kundeninteressen
· Systemrelevanz oder Finanzmarktstabilität gefährdet
· Datenverlust mit hohem Risiko für Betroffene
· Meldung innerhalb 24h verpflichtend

Erheblicher Vorfall

· Mittelbare Auswirkung auf IT-Sicherheit
· Zeitweise Beeinträchtigung von Dienstleistungen
· Personenbezogene Daten betroffen (DSGVO)
· Erhöhter Koordinierungsaufwand erforderlich
· Meldepflicht nach Einzelfallprüfung

BaFin-Anzeigeverordnung

Ergänzend zu DORA gelten die Anforderungen der BaFin-Anzeigeverordnung (§14):

· Meldung an BaFin und Deutsche Bundesbank (gemeinsame Meldeadresse)
· Elektronische Übermittlung über das Meldeportal der Bundesbank
· Formularvorgaben: Angaben zum Institut, Vorfallbeschreibung, Schweregrad
· Ausnahmen: Bagatellvorfälle ohne Kundenauswirkung

← Zurück zur Übersicht