Die Europäischen Aufsichtsbehörden konkretisieren die praktische Anwendung der DORA-Meldeanforderungen für schwerwiegende IKT-bezogene Vorfälle.
Am 16. September 2026 haben die Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA – gemeinsam „ESAs“) neue „DORA Incident Reporting – Operational Instructions“ veröffentlicht. Das Dokument ergänzt den bestehenden regulatorischen Rahmen für die Meldung schwerwiegender IKT-bezogener Vorfälle um praktische Hinweise zur Anwendung der Meldeformulare und soll insbesondere eine einheitlichere Meldepraxis und eine höhere Qualität der gemeldeten Daten fördern.
Inhaltsverzeichnis
Die neuen Operational Instructions ändern die materiellen Meldepflichten nach DORA nicht. Für Finanzunternehmen sind sie gleichwohl von erheblicher praktischer Bedeutung: Sie zeigen, an welchen Stellen die Aufsichtsbehörden seit Beginn des DORA Incident Reporting unterschiedliche oder fehleranfällige Meldepraktiken beobachten und welche Vorgehensweise sie künftig erwarten.
Der regulatorische Rahmen
Die zentrale Meldepflicht ergibt sich aus Art. 19 DORA. Danach haben Finanzunternehmen schwerwiegende IKT-bezogene Vorfälle an die jeweils zuständige Behörde zu melden. Die Meldung erfolgt in mehreren Stufen – durch eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung.
Die Einzelheiten zu Inhalt und Fristen der Meldungen werden durch die Delegierte Verordnung (EU) 2025/301 bestimmt. Danach ist die Erstmeldung grundsätzlich innerhalb von vier Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens innerhalb von 24 Stunden nach Kenntniserlangung vom Vorfall abzugeben. Die Zwischenmeldung folgt grundsätzlich spätestens 72 Stunden nach der Erstmeldung, die Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung beziehungsweise der letzten aktualisierten Zwischenmeldung.
Die Durchführungsverordnung (EU) 2025/302 enthält die hierfür zu verwendenden Standardformulare, Templates und Verfahrensvorgaben.
Die nun veröffentlichten Operational Instructions setzen auf dieser bestehenden Regelungsstruktur auf. Sie schaffen also kein weiteres formelles Level-2-Regelwerk, sondern adressieren die praktische Handhabung des bereits geltenden Meldeverfahrens.
Erkennbare aufsichtliche Erwartung
Juristisch ist die Einordnung der Operational Instructions bemerkenswert. Die ESAs stellen ausdrücklich klar, dass die Hinweise lediglich auf einer „best efforts“-Basis durch die Mitarbeiter der ESAs bereitgestellt werden. Sie sollen weder eine rechtliche Auslegung noch eine offizielle Position der ESAs darstellen. Zugleich wurden die Hinweise jedoch mit den zuständigen nationalen Behörden abgestimmt und sollen auf Grundlage der weiteren Erfahrungen mit dem DORA Incident Reporting fortlaufend aktualisiert werden.
Den Operational Instructions kommt damit keine mit DORA oder den hierzu erlassenen delegierten und Durchführungsrechtsakten vergleichbare normative Bindungswirkung zu.
Für die Praxis wäre es gleichwohl zu kurz gegriffen, sie als bloß unverbindliche Arbeitshilfe einzuordnen. Das Dokument beschreibt vielmehr sehr konkret, welche Handhabung die Aufsichtsbehörden im Rahmen des bestehenden Rechtsrahmens für sachgerecht halten. Finanzunternehmen sollten daher davon ausgehen, dass sich diese Erwartungen auch in der laufenden Aufsichtspraxis niederschlagen werden.
Schwerpunkt: konsistente und belastbare Meldedaten
Inhaltlich enthalten die Operational Instructions insgesamt 14 Hinweise zur praktischen Befüllung der DORA-Meldungen. Dabei geht es weniger um neue materiell-rechtliche Anforderungen als um die Konsistenz und Qualität der übermittelten Daten.
So weisen die ESAs beispielsweise darauf hin, dass die zur eindeutigen Identifikation eines Vorfalls verwendeten Angaben über den gesamten Meldezyklus hinweg unverändert bleiben müssen. Änderungen zwischen Erst-, Zwischen- und Abschlussmeldung können andernfalls dazu führen, dass ein Vorfall technisch mehrfach erfasst wird.
Auch Korrekturen bereits abgegebener Meldungen sollen nicht lediglich punktuell vorgenommen werden. Vielmehr soll grundsätzlich eine neue Version des zuletzt eingereichten Berichts übermittelt werden, die neben der Berichtigung auch die übrigen zu diesem Zeitpunkt aktuellen Informationen zum Vorfall enthält.
Damit wird deutlich, dass die ESAs die einzelnen Meldungen nicht isoliert betrachten. Erstmeldung, Zwischenmeldung und Abschlussmeldung bilden vielmehr einen zusammenhängenden Reporting-Lifecycle, innerhalb dessen die Informationen nachvollziehbar fortgeschrieben werden müssen.
Länger andauernde Vorfälle im Fokus
Besondere praktische Bedeutung dürfte zudem die Klarstellung zur Behandlung länger andauernder Vorfälle haben.
Die Operational Instructions gehen davon aus, dass nach der Erstmeldung und der ersten Zwischenmeldung mindestens monatlich eine weitere Zwischenmeldung übermittelt wird, solange noch keine Abschlussmeldung abgegeben werden kann. Die ESAs leiten dies aus der in der Delegierten Verordnung (EU) 2025/301 vorgesehenen Frist für die Abschlussmeldung ab.
Gerade bei komplexen Cybervorfällen kann die technische Wiederherstellung zwar bereits erfolgt sein, während Ursachenanalyse, Schadensbestimmung oder forensische Untersuchungen noch über einen längeren Zeitraum andauern. Unternehmen sollten daher sicherstellen, dass ihre internen Meldeprozesse auch solche länger laufenden Reporting-Zyklen abbilden.
Vorfälle bei IKT-Drittdienstleistern
Weitere Hinweise betreffen Vorfälle, deren Ursache bei einem IKT-Drittdienstleister oder einem anderen Finanzunternehmen liegt.
Die ESAs sehen hierfür eine stärker standardisierte Angabe des betroffenen Dienstleisters vor, insbesondere unter Verwendung des vollständigen rechtlichen Namens sowie eines geeigneten Identifikators wie LEI oder EUID.
Dieser Punkt zeigt zugleich die enge Verzahnung des DORA Incident Reporting mit dem IKT-Drittparteienrisikomanagement. Finanzunternehmen müssen im Vorfallsfall in der Lage sein, den betroffenen Dienstleister kurzfristig eindeutig zu identifizieren und die entsprechenden Stammdaten für die Meldung verfügbar zu machen.
Für Zahlungs- und E-Geld-Institute ist dies besonders relevant, da deren technische Leistungserbringung regelmäßig in erheblichem Umfang auf externe Infrastruktur-, Cloud- und Softwaredienstleister gestützt ist.
Bedeutung für die Praxis
Die Operational Instructions machen deutlich, dass sich der aufsichtsrechtliche Fokus beim DORA Incident Reporting zunehmend von der reinen Fristeneinhaltung auf die inhaltliche Konsistenz und Datenqualität der Meldungen erweitert.
Für Finanzunternehmen empfiehlt sich daher ein Abgleich der bestehenden Incident-Reporting-Prozesse mit den neuen Hinweisen. Dies betrifft insbesondere interne Melde- und Eskalationsprozesse, die Versionierung der abgegebenen Meldungen, die eindeutige Identifizierung eines Vorfalls sowie die Verfügbarkeit der für das Reporting erforderlichen Informationen über IKT-Drittdienstleister.
Eine grundlegende Neuordnung der Incident-Management-Prozesse verlangen die Operational Instructions nicht. Sie bieten aber einen guten Anlass, bestehende DORA Incident Reporting Playbooks und interne Ausfüllhilfen daraufhin zu überprüfen, ob sie die inzwischen erkennbare Verwaltungspraxis hinreichend berücksichtigen.
Fazit
Mit den neuen Operational Instructions entwickeln die ESAs das DORA Incident Reporting auf operativer Ebene weiter. Neue materielle Meldepflichten werden dadurch nicht geschaffen. Das Dokument gibt jedoch erstmals einen vergleichsweise konkreten Einblick in die Erfahrungen, die die europäischen und nationalen Aufsichtsbehörden seit Beginn der DORA-Meldepflichten mit der praktischen Umsetzung gesammelt haben.
Gerade darin liegt seine Bedeutung: Die Hinweise zeigen, an welchen Stellen aus Sicht der Aufsicht Nachschärfungsbedarf besteht und wie die bestehenden regulatorischen Vorgaben künftig möglichst einheitlich angewandt werden sollen.
