Ein Ausfall bei einem Softwareanbieter ist ein Vorfall im eigenen Prozess des Anbieters. Bei einer Bank, einem Versicherer oder einem Zahlungsinstitut, das eine kritische oder wichtige Funktion auf dieser Software betreibt, ist derselbe Ausfall etwas anderes: ein Kandidat für einen schwerwiegenden IKT-bezogenen Vorfall nach Artikel 19 der Verordnung (EU) 2022/2554, DORA, mit einer Meldung an die Aufsicht innerhalb von vier Stunden nach der Einstufung, einem Zwischenbericht innerhalb von 72 Stunden und einem Abschlussbericht mit Ursachen innerhalb eines Monats. Die Einstufungskriterien stammen aus Artikel 18, die Schwellenwerte aus der Delegierten Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024, in Kraft seit dem 15. Juli 2024, und Inhalt und Fristen der Berichte aus der Delegierten Verordnung (EU) 2025/301 der Kommission vom 23. Oktober 2024, in Kraft seit dem 12. März 2025, mit dem Meldebogen in der Durchführungsverordnung (EU) 2025/302 vom selben Tag. Dieser Artikel liest die drei Rechtsakte am 12. September 2026 aus dem Amtsblatt auf CELLAR, aus Sicht des Anbieters: welche Ihrer Ausfälle die Schwellen überschreiten, welche Fristen dann bei Ihrem Kunden laufen und welche Fakten in seinem Bericht nur Sie liefern können. Er ist keine Rechtsberatung.

Warum die Frist des Kunden Ihre Frist ist

Artikel 17 DORA verlangt vom Finanzunternehmen einen Prozess für das Management IKT-bezogener Vorfälle, der Vorfälle nach Priorität, Schwere und Kritikalität der betroffenen Dienste einstuft, und Artikel 19 Absatz 1 verlangt, schwerwiegende Vorfälle der zuständigen Behörde zu melden. Nichts in DORA verlangt vom Anbieter, irgendjemandem irgendetwas zu melden; die Pflicht des Anbieters ist vertraglich, und sie ist Buchstabe f von Artikel 30 Absatz 2: die Verpflichtung, dem Finanzunternehmen ohne zusätzliche Kosten oder zu vorab festgelegten Kosten Unterstützung zu leisten, wenn ein IKT-Vorfall im Zusammenhang mit der Dienstleistung eintritt. Da die Berichte des Unternehmens Fakten über den Vorfall enthalten müssen, die in den Protokollen des Anbieters liegen, ist diese Unterstützungsklausel in der Praxis eine Pflicht, diese Fakten innerhalb der Fristen des Unternehmens zu liefern. Die Klausel-Checkliste führt die Klausel; dieser Artikel ist, was es kostet, sie einzuhalten.

Die sechs Kriterien und die Schwellen, die einen Vorfall schwerwiegend machen

Artikel 18 Absatz 1 DORA nennt sechs Kriterien: betroffene Kunden, Finanzgegenparteien und Transaktionen, einschließlich Reputationsauswirkungen; Dauer und Ausfallzeit des Dienstes; geografische Ausbreitung; Datenverluste; Kritikalität der betroffenen Dienste; und wirtschaftliche Auswirkungen. Die Delegierte Verordnung macht aus jedem einen Wesentlichkeitsschwellenwert, und Artikel 8 Absatz 1 macht einen Vorfall schwerwiegend, wenn er kritische Dienste im Sinne von Artikel 6 betroffen hat und entweder der Schwellenwert für Datenverluste nach Artikel 9 Absatz 5 Buchstabe b erreicht ist oder zwei oder mehr der übrigen Schwellenwerte erreicht sind.

Kritische Dienste, Artikel 6, heißt: Der Vorfall betrifft IKT-Dienste oder Systeme, die eine kritische oder wichtige Funktion des Unternehmens unterstützen, oder Finanzdienstleistungen, die zulassungspflichtig sind oder beaufsichtigt werden, oder er stellt einen erfolgreichen, böswilligen und unbefugten Zugriff auf die Systeme des Unternehmens dar. Ein Anbieter, dessen Produkt eine kritische oder wichtige Funktion unterstützt, passiert dieses Tor per Definition.

Die Schwellenwerte von Artikel 9 sind: bei Kunden, Gegenparteien und Transaktionen mehr als 10 Prozent der Kunden, die den betroffenen Dienst nutzen, oder mehr als 100 000 Kunden, oder mehr als 30 Prozent der Finanzgegenparteien, oder mehr als 10 Prozent der durchschnittlichen täglichen Zahl oder des Werts der Transaktionen, oder ein Kunde, den das Unternehmen als relevant eingestuft hat; bei Reputationsauswirkungen Medienberichte, wiederholte Beschwerden, wahrscheinliche Unfähigkeit, regulatorische Anforderungen zu erfüllen, oder wahrscheinlicher Verlust von Kunden mit wesentlicher Auswirkung; bei Dauer und Ausfallzeit eine Dauer von mehr als 24 Stunden oder eine Ausfallzeit von mehr als zwei Stunden bei IKT-Diensten, die kritische oder wichtige Funktionen unterstützen; bei geografischer Ausbreitung eine Auswirkung in zwei oder mehr Mitgliedstaaten; bei Datenverlusten jede Auswirkung auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit, die die Geschäftsziele oder die Einhaltung regulatorischer Anforderungen des Unternehmens beeinträchtigt, oder jeder erfolgreiche böswillige unbefugte Zugriff, der zu Datenverlusten führen kann; und bei wirtschaftlichen Auswirkungen Kosten und Verluste, die 100 000 Euro übersteigen oder wahrscheinlich übersteigen werden.

Aus Sicht des Anbieters gelesen sind zwei davon Ihre. Ein zweistündiger Ausfall eines Produkts, das eine kritische oder wichtige Funktion unterstützt, erreicht die Ausfallzeitschwelle allein; ein Vorfall, der von Eintritt bis Behebung länger als 24 Stunden dauert, erreicht die Dauerschwelle, und Artikel 3 lässt die Dauer ab dem Eintritt laufen, oder ab dem Protokolleintrag, der den Eintritt zeigt, nicht ab der Entdeckung. Kommt ein weiterer Schwellenwert hinzu, ein zweiter Mitgliedstaat unter den Kunden des Kunden oder eine Auswirkung auf die Datenintegrität, ist der Vorfall schwerwiegend. Artikel 8 Absatz 2 fügt hinzu, dass wiederkehrende Vorfälle mit derselben Ursache, mindestens zweimal innerhalb von sechs Monaten, zusammen zählen, sodass ein instabiles Release, das drei Kunden jeden Monat für vierzig Minuten ausfallen lässt, in Summe ein schwerwiegender Vorfall werden kann.

Die drei Berichte und ihre Fristen

Artikel 19 Absatz 4 DORA sieht drei Einreichungen vor, und Artikel 5 der Delegierten Verordnung (EU) 2025/301 setzt ihre Fristen: die Erstmeldung so früh wie möglich und in jedem Fall innerhalb von vier Stunden nach der Einstufung des Vorfalls als schwerwiegend, und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Unternehmen Kenntnis davon erlangt hat; den Zwischenbericht spätestens innerhalb von 72 Stunden nach der Erstmeldung, auch wenn sich nichts geändert hat, mit einem aktualisierten Zwischenbericht, wenn der reguläre Betrieb wiederhergestellt ist; und den Abschlussbericht spätestens einen Monat nach dem Zwischenbericht oder seiner letzten Aktualisierung. Stuft das Unternehmen den Vorfall erst später als 24 Stunden nach Kenntnisnahme als schwerwiegend ein, laufen die vier Stunden ab der Einstufung. Ein Unternehmen, das eine Frist nicht einhalten kann, informiert die Behörde vor Fristablauf und erklärt warum. Eine Frist, die auf ein Wochenende oder einen Feiertag fällt, verschiebt sich auf den Mittag des nächsten Werktags, außer für Kreditinstitute, zentrale Gegenparteien, Handelsplätze und Unternehmen, die nach NIS2 wesentlich oder wichtig sind, für die sich die Erst- und Zwischenfristen nicht verschieben.

Vergleichen Sie die Fristen, die Sie vielleicht schon kennen. Die 24-Stunden-Frühwarnung des CRA und die 24-Stunden- und 72-Stunden-Meldungen nach NIS2 laufen ab der eigenen Kenntnisnahme des Anbieters. Die Fristen von DORA laufen beim Kunden, und die vier Stunden ab Einstufung sind die kürzeste der drei Regime.

Was jeder Bericht enthält, und welche Fakten Ihre sind

Artikel 1 der Delegierten Verordnung (EU) 2025/301 nennt die allgemeinen Angaben jeder Einreichung: Name, LEI und Art des Unternehmens, wer einreicht, Kontakte, das Mutterunternehmen, die Währung. Artikel 2 nennt, was die Erstmeldung enthält: die Vorfallreferenz des Unternehmens, Datum und Uhrzeit der Entdeckung und der Einstufung, eine Beschreibung, die Kriterien, nach denen der Vorfall als schwerwiegend eingestuft wurde, die betroffenen Mitgliedstaaten, wie er entdeckt wurde, soweit verfügbar seinen Ursprung, ob ein Geschäftsfortführungsplan aktiviert wurde, und sonstige relevante Angaben. Artikel 3 nennt den Zwischenbericht: die Referenz der Behörde, Datum und Uhrzeit des Eintritts, Datum und Uhrzeit der Wiederherstellung des regulären Betriebs, wie die Kriterien erfüllt wurden, die Art des Vorfalls, gegebenenfalls die von einem Angreifer genutzten Bedrohungen und Techniken, die betroffenen Funktionsbereiche und Geschäftsprozesse, die betroffenen Infrastrukturkomponenten, die Auswirkung auf die finanziellen Interessen der Kunden, Meldungen an andere Behörden, die ergriffenen oder geplanten vorläufigen Maßnahmen und Kompromittierungsindikatoren. Artikel 4 nennt den Abschlussbericht: die Ursachen, Datum und Uhrzeit der Behebung des Vorfalls und der Beseitigung der Ursachen, die Lösung, Angaben für Abwicklungsbehörden, direkte und indirekte Kosten und Verluste sowie finanzielle Rückflüsse, und Wiederholungen.

Von diesen liegen die Fakten, die in den Systemen des Anbieters und nirgendwo sonst liegen, hier: der Zeitpunkt des Eintritts, aus Ihren Protokollen; der Zeitpunkt der Entdeckung, aus Ihrem Monitoring; Dauer und Ausfallzeit, gemessen, wie Artikel 3 sie misst; Ursprung und Art des Vorfalls; Bedrohungen und Techniken sowie Kompromittierungsindikatoren, wenn der Vorfall ein Angriff war; die betroffenen Infrastrukturkomponenten; die vorläufigen Maßnahmen und der Zeitpunkt der Wiederherstellung; die Ursachen, der Zeitpunkt ihrer Beseitigung und die Lösung. Alles andere, betroffene Kunden, Transaktionen, Mitgliedstaaten, Kosten, Reputationsauswirkungen, zählt der Kunde, aber er zählt gegen Ihre Liste der betroffenen Mandanten und Regionen.

Was aus der Unterstützungsklausel wird

Buchstabe f von Artikel 30 Absatz 2 bepreist die Unterstützung vorab oder gar nicht, und die Berichte oben sagen, was die Unterstützung ist. Innerhalb der ersten vier Stunden des Kunden schulden Sie den Zeitpunkt der Entdeckung, eine Beschreibung, den Ursprung soweit bekannt und Ihre Einschätzung der bisherigen Ausfallzeit, denn darauf stuft der Kunde ein. Innerhalb von 72 Stunden schulden Sie den Zeitpunkt des Eintritts aus den Protokollen, die betroffenen Komponenten, die ergriffenen Maßnahmen und, wenn ein Angreifer beteiligt war, die Techniken und die Kompromittierungsindikatoren, denn der Zwischenbericht ist fällig, ob der Vorfall vorbei ist oder nicht. Innerhalb eines Monats schulden Sie die Ursachenanalyse mit Daten. Ein Anbieter mit mehreren Finanzkunden schuldet dieselben Fakten jedem von ihnen auf jeder seiner Fristen, weshalb Artikel 7 der Durchführungsverordnung (EU) 2025/302 einem Drittdienstleister, an den die Meldung ausgelagert wurde, erlaubt, einen aggregierten Bericht für mehrere Unternehmen einzureichen, aber nur, wenn der Vorfall bei diesem Dienstleister entsteht, die Unternehmen in einem Mitgliedstaat unter einer Behörde stehen, jedes ihn als schwerwiegend eingestuft hat und die Behörde die Aggregation erlaubt hat.

Was ein ISO-27001-Vorfallprozess bereits enthält

Die Rechtsakte nennen keine Norm, und das Folgende ist StandardOS' Lesart, wo ein Managementsystem nach ISO/IEC 27001:2022 die Fakten enthält, ohne Vermutung der Konformität. Die Zeitpunkte von Entdeckung, Eintritt, Wiederherstellung und Behebung sind die Vorfallaufzeichnung nach A.5.24 bis A.5.27 (Planung, Beurteilung, Reaktion, Lernen), wenn die Aufzeichnung Zeitstempel trägt, und die Maßnahmen zu Protokollierung und Überwachung, A.8.15 und A.8.16, sind, wo der Eintritt abgelesen wird. Die betroffenen Komponenten sind das Inventar der Werte, A.5.9. Ursache und Maßnahmen sind dieselbe Vorfallaufzeichnung. Die Maßnahme zur Beweissicherung, A.5.28, ist die, die Kompromittierungsindikatoren erzeugt, die der Bericht eines Kunden tragen kann. Was die Norm Ihnen nicht gibt, sind die Schwellenwerte des Kunden: Eine zweistündige Ausfallzeit einer kritischen Funktion ist in ISO 27001 keine Schweregradstufe, sie ist eine Zahl aus Artikel 9 Absatz 3 Buchstabe b, und der Vorfallprozess muss wissen, welche Kunden kritische oder wichtige Funktionen auf welchen Komponenten betreiben, um sie rechtzeitig zu melden.

Was vor der ersten Vier-Stunden-Anfrage zu tun ist

Erfassen Sie Eintritt, Entdeckung, Wiederherstellung und Behebung als Zeitstempel in der Vorfallaufzeichnung, und messen Sie die Ausfallzeit, wie Artikel 3 es tut, von der ersten teilweisen Nichtverfügbarkeit bis zur vollständigen Wiederherstellung. Führen Sie eine Liste, welche Kunden kritische oder wichtige Funktionen auf welchen Komponenten und Regionen betreiben, damit ein zweistündiger Ausfall die Unterstützungsklausel für die richtigen Kunden auslöst, ohne auf ihre Anfrage zu warten. Schreiben Sie die Unterstützungsleistungen als die obigen Fakten mit ihren Zeiten in den Vertrag und bepreisen Sie sie vorab. Bringen Sie dann die Vorfallaufzeichnung in die Sorgfaltsprüfung ein, denn der Artikel zur Anbieterrichtlinie zeigt, dass Vorfallberichte einer der fünf Berichte sind, die die Leitlinie jedes Finanzkunden verlangt, und der DORA-Hub hält die Daten der Verordnung und ihrer Rechtsakte bereit.