Ist dieser Vorfall nach DORA schwerwiegend?
Drei Fragen beantworten, und Sie bekommen die Einstufung mit Rechtsgrundlage sowie die genauen Zeitpunkte für Erst-, Zwischen- und Abschlussmeldung. Ihre Eingaben verlassen Ihren Browser nicht.
Vom Ausfall eines Dienstleisters erfahren, bevor es Ihre Kunden tun
Laden Sie Ihre IKT-Dienstleisterliste hoch. Wir ermitteln Hosting, DNS und CDN jedes Anbieters, prüfen die kritischen Endpunkte alle fünf Minuten und legen bei einem Ausfall sofort eine Vorfallakte an: mit Zeitstempeln, Kriterien und einem Meldungsentwurf.
So funktioniert die Einstufung
Ein IKT-bezogener Vorfall ist schwerwiegend, wenn er kritische Dienste betrifft und entweder ein erfolgreicher, böswilliger, unbefugter Zugriff zu Datenverlust führen kann oder die Schwellenwerte von mindestens zwei weiteren Kriterien erreicht sind (Art. 8 der Delegierten Verordnung (EU) 2024/1772).
Kritische Dienste sind betroffen, wenn der Vorfall IKT-Dienste berührt, die kritische oder wichtige Funktionen unterstützen, Finanzdienstleistungen mit Zulassungs-, Registrierungs- oder Aufsichtspflicht, oder wenn ein erfolgreicher, böswilliger, unbefugter Zugriff stattgefunden hat (Art. 6).
Die sechs Kriterien und ihre Schwellenwerte stehen in Art. 9: Kunden, finanzielle Gegenparteien und Transaktionen (mehr als 10 % der Kunden, mehr als 100.000 Kunden, mehr als 30 % der Gegenparteien, mehr als 10 % der täglichen Transaktionen nach Anzahl oder Wert, oder ein relevanter Kunde), Reputation, Dauer (mehr als 24 Stunden oder mehr als 2 Stunden Ausfallzeit bei kritischen oder wichtigen Funktionen), zwei oder mehr Mitgliedstaaten, Datenverluste und wirtschaftliche Auswirkungen über 100.000 €.
Meldefristen
- Erstmeldung
- Innerhalb von 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis. Erfolgt die Einstufung später, 4 Stunden nach der Einstufung.
- Zwischenmeldung
- Innerhalb von 72 Stunden nach der Erstmeldung. Sobald der Regelbetrieb wiederhergestellt ist, unverzüglich aktualisieren.
- Abschlussmeldung
- Innerhalb von 1 Monat nach der letzten aktualisierten Zwischenmeldung.
Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf bis 12 Uhr des nächsten Arbeitstags gemeldet werden. Das gilt nicht für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und wesentlichen oder wichtigen Einrichtungen nach NIS2 (Art. 5 der Delegierten Verordnung (EU) 2025/301).
Fragen
Was ist ein schwerwiegender IKT-bezogener Vorfall nach DORA?
Einer, der kritische Dienste betrifft und entweder einen erfolgreichen, böswilligen, unbefugten Zugriff mit möglichem Datenverlust umfasst oder die Schwellenwerte von mindestens zwei der sechs Kriterien in Art. 9 der Delegierten Verordnung (EU) 2024/1772 erreicht.
Wann muss die Erstmeldung erfolgen?
Innerhalb von 4 Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis. Erfolgt die Einstufung später als 24 Stunden nach Kenntnis, laufen die 4 Stunden ab der Einstufung.
Darf ich schätzen?
Ja. Solange die tatsächlichen Zahlen fehlen, erlaubt die Verordnung Schätzungen auf Basis anderer verfügbarer Daten. Bewerten Sie neu, sobald die Zahlen feststehen.
Was gilt für wiederkehrende Vorfälle?
Vorfälle, die einzeln nicht schwerwiegend sind, aber dieselbe offensichtliche Ursache haben, mindestens zweimal in 6 Monaten auftreten und zusammen die Kriterien erfüllen, gelten als ein schwerwiegender Vorfall (Art. 8 Abs. 2).
Wohin melden österreichische Finanzunternehmen?
An die FMA, über deren Incoming Platform, mit den Meldevorlagen der Europäischen Aufsichtsbehörden.