Meldung von IKT-Vorfällen und Cyber-Bedrohungen unter DORA (Circular CSSF 25/893)

Die CSSF-Rundschreiben 25/893 und 26/915 regeln die Meldung schwerwiegender IKT-bezogener Vorfälle und erheblicher Cyber-Bedrohungen gemäß der Verordnung über die digitale operationale Resilienz (DORA). Das Rundschreiben 25/893 wurde am 28. Mai 2025 veröffentlicht und am 27. August 2026 aktualisiert.

Diese Rundschreiben sind für Finanzunternehmen relevant, die unter die DORA-Verordnung fallen. Sie legen fest, wie und wann schwerwiegende IKT-Vorfälle und Cyber-Bedrohungen an die CSSF zu melden sind, um die operationale Resilienz im Finanzsektor zu gewährleisten. Das Rundschreiben 26/915 präzisiert zudem die Anwendbarkeit von DORA auf Drittlandzweigstellen in Luxemburg.

Das Rundschreiben CSSF 21/787 zur Anwendung der EBA-Leitlinien (EBA/GL/2021/03) über die Meldung schwerwiegender Vorfälle gemäß PSD2 wurde durch das Rundschreiben CSSF 25/893 aufgehoben.