DORA: Operationelle Anweisungen zur Meldung von IKT-Vorfällen

Dieses Dokument der ESMA enthält operationelle Anweisungen für die zuständigen Behörden zur Meldung schwerwiegender IKT-bezogener Vorfälle gemäß der DORA-Verordnung. Ziel ist es, die Datenqualität zu verbessern und die Konsistenz der Meldungen über verschiedene Jurisdiktionen hinweg zu fördern. Die Anweisungen basieren auf den Implementing Technical Standards (ITS) 2025/302 und den Regulatory Technical Standards (RTS) 2025/301 und 2024/1772, die die Meldeformulare, Verfahren, Inhalte, Fristen und Klassifizierungskriterien für IKT-Vorfälle festlegen.

Die Anweisungen behandeln spezifische Aspekte wie die Verwendung der englischen Sprache für Meldungen an die ESAs, die einheitliche Angabe monetärer Felder in Tausendereinheiten und die korrekte Nutzung von Freitextfeldern. Weiterhin wird die Notwendigkeit der Einreichung von Abschlussberichten, die Vorgehensweise bei Korrekturmeldungen und die konsistente Verwendung eindeutiger Identifikatoren für Vorfälle betont. Auch die Kriterien für die Klassifizierung von Vorfällen als schwerwiegend und die geografische Verbreitung werden präzisiert.

Finanzunternehmen, die unter DORA fallen, müssen nach der Erkennung eines als schwerwiegend eingestuften IKT-Vorfalls Informationen über den Vorfall an ihre zuständige Behörde melden. Diese Behörden wiederum benachrichtigen die ESAs unter Verwendung vordefinierter englischer Vorlagen. Die Anweisungen sollen regelmäßig aktualisiert werden, um Erfahrungen aus der Praxis zu berücksichtigen.