IKT-Vorfälle: Klassifizierung, Meldung und Kosten (RTS/ITS zu Art. 18–20 DORA)

5 Updates0 in den letzten 30 TagenStand 20.02.2025seit 25.06.2024

20.02.2025

Delegierte VO EU-Amtsblatt

Del. VO (EU) 2025/301

RTS zu Inhalt und Fristen der Meldung schwerwiegender IKT-Vorfälle (Art. 20 lit. a DORA)

Legt Inhalt und Fristen der dreistufigen Meldung fest: Erstmeldung innerhalb von 4 Stunden nach Klassifizierung (spätestens 24 Stunden nach Kenntnis), Zwischenmeldung nach 72 Stunden, Abschlussmeldung nach einem Monat. Regelt außerdem den Inhalt der freiwilligen Meldung erheblicher Cyberbedrohungen.

Anwendung ab 12.03.2025

Original öffnen: eur-lex.europa.eu ↗

20.02.2025

Durchführungs-VO EU-Amtsblatt

DVO (EU) 2025/302

ITS mit Standardformularen und Vorlagen für die Meldung schwerwiegender IKT-Vorfälle (Art. 20 lit. b DORA)

Enthält die verbindlichen Meldeformulare, Datenfelder und Verfahren für Erst-, Zwischen- und Abschlussmeldung sowie für die freiwillige Meldung von Cyberbedrohungen. In Deutschland erfolgt die Meldung über das BaFin-Portal MVP.

Anwendung ab 12.03.2025

Original öffnen: eur-lex.europa.eu ↗

17.01.2025

Final Report EIOPA

Bericht der ESAs zur Machbarkeit einer zentralen Meldestelle für schwerwiegende IKT-Vorfälle (Art. 21 DORA)

Zum Geltungsbeginn von DORA vergleichen die ESAs drei Modelle für eine stärker zentralisierte Vorfallmeldung, von einer Basisvariante bis zu einem vollständig zentralen EU-Hub. Der Bericht dient der Kommission als Grundlage für eine mögliche spätere Gesetzesinitiative; unmittelbare Pflichten entstehen nicht.

Original öffnen: eiopa.europa.eu ↗

17.07.2024

Leitlinien ESMA

JC/2024/34

Gemeinsame Leitlinien zur Schätzung der jährlichen Kosten und Verluste aus schwerwiegenden IKT-Vorfällen (Art. 11 Abs. 11 DORA)

Legen fest, wie Finanzunternehmen die Brutto- und Nettokosten schwerwiegender IKT-Vorfälle je Kalenderjahr berechnen und auf Anfrage der Aufsicht melden. Teil des zweiten ESA-Pakets vom 17.07.2024; gelten ab dem 19.05.2025.

Anwendung ab 19.05.2025

Original öffnen: esma.europa.eu ↗

25.06.2024

Delegierte VO EU-Amtsblatt

Del. VO (EU) 2024/1772

RTS zur Klassifizierung IKT-bezogener Vorfälle und Cyberbedrohungen (Art. 18 Abs. 3 DORA)

Definiert die Kriterien und Wesentlichkeitsschwellen, ab denen ein IKT-Vorfall als schwerwiegend gilt und meldepflichtig wird: betroffene Kunden und Transaktionen, Dauer, geografische Ausbreitung, Datenverluste, Kritikalität der Dienste und wirtschaftliche Auswirkungen.

Anwendung ab 15.07.2024

Original öffnen: eur-lex.europa.eu ↗