DORA-Meldefristen konkret: 4, 24 und 72 Stunden und die Abschlussmeldung

Problem in der Praxis

Vor Erlass der Rechtsakte kursierten die Fristwerte in Präsentationen und Sekundärquellen in unterschiedlichen Varianten. Viele Meldeprozesse wurden auf dieser unsicheren Basis entworfen und nie gegen den erlassenen Stand nachgezogen. Das zweite Problem ist die Kopplung der Fristen: Die 4 Stunden laufen ab der Einstufung als schwerwiegend, nicht ab dem technischen Beginn des Vorfalls. Damit wird die Klassifizierung selbst zum zeitkritischen Schritt, denn zwischen Kenntnisnahme und spätester Erstmeldung liegen im Regelfall maximal 24 Stunden; nur wenn die Einstufung als schwerwiegend erst später als 24 Stunden nach Kenntnisnahme erfolgt, verschiebt Art. 5 Abs. 2 der VO (EU) 2025/301 die Erstmeldefrist auf 4 Stunden ab Einstufung.

Drittens unterschätzen viele Häuser die Zwischen- und Abschlussstufe. Die Zwischenmeldung ist 72 Stunden nach der Erstmeldung fällig, also oft mitten in der laufenden Bewältigung. Die Abschlussmeldung 1 Monat nach der Zwischenmeldung (bei mehreren aktualisierten Zwischenmeldungen ab der letzten) verlangt belastbare Aussagen zu Ursachen, Auswirkungen und Abhilfemaßnahmen, die ohne saubere Vorfalldokumentation nicht rechtzeitig entstehen.

Die Einstufung selbst folgt der Delegierten Verordnung (EU) 2024/1772 (RTS zur Klassifizierung, Art. 18 Abs. 4 DORA). Sie trägt die Wesentlichkeitsschwellen, unter anderem eine Vorfalldauer von mehr als 24 Stunden, einen Ausfall kritischer Funktionen von mehr als 2 Stunden, Kosten oder Verluste über 100.000 EUR sowie eine Betroffenheit von mehr als 10 Prozent der Kunden oder mehr als 100.000 Kunden. Die vollständigen Kriterien und ihre Kombinationslogik stehen im Rechtsakt und sind dort zu prüfen.

CISO-Einordnung

Der CISO sollte den Meldeprozess als Choreografie mit vier Zeitankern denken:

• Kenntnisnahme: startet die regelmäßige 24-Stunden-Grenze für die Erstmeldung (Ausnahme bei späterer Einstufung nach Art. 5 Abs. 2 der VO (EU) 2025/301: dann 4 Stunden ab Einstufung). Der Zeitpunkt muss dokumentiert und eindeutig definiert sein.
• Einstufung als schwerwiegend: startet die 4-Stunden-Frist für die Erstmeldung. Die Klassifizierung nach VO (EU) 2024/1772 muss deshalb als schneller, reproduzierbarer Schritt organisiert sein, nicht als Gremienentscheidung.
• Erstmeldung: startet die 72-Stunden-Frist für die Zwischenmeldung.
• Zwischenmeldung: startet die 1-Monats-Frist für die Abschlussmeldung.

Fällt die Frist für die Erst- oder Zwischenmeldung auf ein Wochenende oder einen Feiertag, ist die Meldung nach Art. 5 der VO (EU) 2025/301 grundsätzlich bis 12:00 Uhr des folgenden Arbeitstags einzureichen; diese Erleichterung gilt allerdings nicht für die Erst- und Zwischenmeldungen bestimmter Institute sowie für nach NIS2 wesentliche oder wichtige Einrichtungen. Inhaltlich sind die drei Stufen unterschiedlich tief: Die Erstmeldung ist bewusst eine Meldung auf unvollständiger Faktenbasis, die Zwischenmeldung aktualisiert Lage und Auswirkungen, die Abschlussmeldung trägt Ursachenanalyse und Abhilfe. Die zu verwendenden Formulare und Datenfelder ergeben sich aus der Durchführungsverordnung (EU) 2025/302; sie sollten vorab in das eigene Vorfallmanagement-Tooling übersetzt sein, damit Meldungen aus vorhandenen Daten befüllt werden und nicht in der Krise recherchiert werden müssen.

In Deutschland laufen die Meldungen über den nationalen Meldeweg bei BaFin und Deutscher Bundesbank.

Umsetzungsperspektive

• Fristenlogik implementieren: Die vier Zeitanker (Kenntnisnahme, Einstufung, Erstmeldung, Zwischenmeldung) als Pflichtfelder mit Zeitstempel im Vorfallmanagement führen und die Folgefristen automatisch berechnen.
• Klassifizierung beschleunigen: ein vorab abgestimmtes Bewertungsschema auf Basis der VO (EU) 2024/1772, das eine Einstufung binnen kurzer Zeit erlaubt, mit klarer Entscheidungsrolle und 24/7-Vertretung.
• Meldeformate vorbereiten: die Templates der VO (EU) 2025/302 als interne Feldliste abbilden und je Feld die Datenquelle benennen.
• Eskalation üben: Tabletop-Übungen mit Zeitnahme gegen die realen Fristen, inklusive Nacht- und Wochenendszenario.
• Konsistenz sichern: Prüfen, ob derselbe Vorfall parallel unter DSGVO oder anderen Regimen meldepflichtig ist, und die Darstellungen synchron halten.

Typische Fehler

1. Der Meldeprozess basiert auf alten Entwurfsständen oder Sekundärquellen statt auf den Verordnungen (EU) 2025/301 und 2025/302.
2. Die 4-Stunden-Frist wird ab Vorfallbeginn statt ab Einstufung gerechnet, oder die 24-Stunden-Grenze ab Kenntnisnahme wird übersehen.
3. Die Klassifizierungsentscheidung ist als Gremienprozess organisiert und verbraucht die verfügbare Zeit vor der Erstmeldung.
4. Die Zwischenmeldung nach 72 Stunden wird nicht eingeplant und kollidiert mit der laufenden Incident-Bewältigung.
5. Die Abschlussmeldung wird als Formalie behandelt; Ursachenanalyse und Abhilfemaßnahmen sind nach einem Monat nicht belastbar dokumentiert.
6. Zeitstempel für Kenntnisnahme und Einstufung werden nicht sauber erfasst, sodass die Fristeinhaltung im Nachhinein nicht belegbar ist.

Risiken und Trade-offs

Der zentrale Trade-off ist Geschwindigkeit gegen Genauigkeit. Die Erstmeldung binnen 4 Stunden nach Einstufung erzwingt Aussagen auf unvollständiger Basis. Das ist regulatorisch gewollt; das Risiko liegt darin, sich in späteren Stufen in Widersprüche zur Erstmeldung zu verstricken. Disziplinierte Versionierung der Faktenlage ist wichtiger als eine perfekte Erstmeldung.

Ein zweiter Trade-off liegt in der Klassifizierungsschärfe. Wer die Schwellen der VO (EU) 2024/1772 intern sehr konservativ auslegt, stuft mehr Vorfälle als schwerwiegend ein und startet öfter die Meldekaskade; wer zu eng auslegt, riskiert Untermeldung. Die interne Bewertungslogik sollte die Schwellen des Rechtsakts nachvollziehbar abbilden und Grenzfälle dokumentieren.

Drittens kostet die Fristeinhaltung Organisation, nicht nur Technik: 24/7-Erreichbarkeit der Entscheidungsrolle, Vertretungsregeln und geübte Abläufe sind der eigentliche Engpass, nicht das Meldeformular.

Entscheidungspunkte

• Wie ist der Zeitpunkt der Kenntnisnahme definiert, und wer stellt ihn verbindlich fest?
• Wer trifft die Einstufungsentscheidung nach VO (EU) 2024/1772, in welcher Zielzeit, und wie ist die 24/7-Vertretung geregelt?
• Wie werden die Folgefristen (4h, 24h, 72h, 1 Monat) technisch überwacht und eskaliert?
• Aus welchen Systemen werden die Meldefelder der VO (EU) 2025/302 befüllt, und wo bestehen Datenlücken?
• Wie wird die Konsistenz zwischen DORA-Meldung und parallelen Meldepflichten (etwa DSGVO) sichergestellt?

Praktische Empfehlungen

1. Ziehen Sie den bestehenden Meldeprozess formell auf die Verordnungen (EU) 2025/301 und 2025/302 nach und dokumentieren Sie den Abgleich.
2. Verankern Sie die vier Zeitanker mit Zeitstempeln im Vorfallmanagement und lassen Sie Fristen automatisch berechnen und eskalieren.
3. Organisieren Sie die Klassifizierung als schnellen Regelprozess mit benannter Entscheidungsrolle, Vertretung und dokumentierten Grenzfällen.
4. Bilden Sie die Meldetemplates als interne Feldliste mit Datenquellen ab, damit Meldungen ohne Krisenrecherche entstehen.
5. Üben Sie die komplette Kaskade (Erstmeldung, Zwischenmeldung, Abschlussmeldung) mindestens jährlich mit realer Zeitnahme.

Relevante Normreferenzen

• DORA, Verordnung (EU) 2022/2554, Kapitel III, insbesondere Art. 18 bis 20: Grundpflichten zu Klassifizierung und Meldung.
• Delegierte Verordnung (EU) 2024/1772 (CELEX 32024R1772): RTS zur Klassifizierung von Vorfällen und Wesentlichkeitsschwellen (Art. 18 Abs. 4 DORA).
• Delegierte Verordnung (EU) 2025/301 (CELEX 32025R0301): RTS zur Meldung schwerwiegender IKT-Vorfälle, trägt die Fristen 4h/24h/72h/1 Monat (Art. 20 DORA).
• Durchführungsverordnung (EU) 2025/302 (CELEX 32025R0302): ITS mit Standardformularen und Templates für die Meldungen (Art. 20 DORA).
• Verordnung (EU) 2016/679 (DSGVO): eigenständige, parallele Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten.