Cybervorfall melden: Fristen nach NIS2, DSGVO, DORA + CRA

Rechtsstand: 19. August 2026 · Änderungen anzeigen

Dieser Beitrag beantwortet die regimeübergreifende Frage, welche Meldewege ein Vorfall gleichzeitig öffnet und wie sich die Fristen zueinander verhalten. Die neue Herstellerpflicht des Art. 14 CRA mit ihren Tatbeständen, der Meldeplattform und dem Sanktionsrahmen behandelt in voller Tiefe der Beitrag zur CRA-Meldepflicht ab dem 11. September 2026. Hier steht sie als eine von vier Uhren im Vergleich.

Was Unternehmen aus dieser Rechtslage mitnehmen

Was die vier Meldeordnungen anordnen

Reichweite und Grenzen

Der Beitrag nimmt die deutsche Perspektive ein und behandelt die vier großen Querschnittsordnungen. Sektorspezifische Sondermeldewege bleiben außen vor, etwa die Meldepflichten für Telekommunikationsanbieter, für Vertrauensdiensteanbieter, für Betreiber kritischer Anlagen nach dem KRITIS-Dachgesetz und die geplante Vorfallmeldung für Medizinprodukte. Nicht behandelt werden Strafanzeige, Cyberversicherung und börsenrechtliche Ad-hoc-Publizität. Vertragliche Melde- und Informationspflichten erscheinen im Grundsatz, nicht in Klauselarbeit. Die Grundlagen der Betroffenheit nach NIS2 und die Systematik des Cybersicherheitsrechts stehen auf der Kernseite zum IT-Sicherheitsrecht.

Die Datentabelle nennt die Werte der Abbildung. Keine zwei Ordnungen teilen denselben Fristanker über alle Stufen.

Woraus sich der Befund ergibt, begründen die folgenden Abschnitte entlang der vier Rollen.

¶Wer mehrere Rollen erfüllt, bedient mehrere Meldewege

Jede der vier Ordnungen knüpft an eine andere Eigenschaft desselben Unternehmens an. Das BSIG fragt, ob das Unternehmen eine besonders wichtige oder wichtige Einrichtung ist. Die DSGVO fragt, ob es als Verantwortlicher personenbezogene Daten verarbeitet. Die DORA fragt, ob es zu den Finanzunternehmen ihres Anwendungsbereichs zählt. Der CRA fragt, ob es Hersteller eines Produkts mit digitalen Elementen auf dem Unionsmarkt ist.^[1]

Verschieden ist auch das Bezugsobjekt der Meldung. Gemeldet wird nach dem BSIG die Störung der eigenen Dienste, nach der DSGVO die Verletzung des Schutzes personenbezogener Daten, nach der DORA der IKT-bezogene Vorfall im Finanzbetrieb und nach dem CRA das Geschehen im Produkt. Ein Ransomware-Angriff mit Datenabfluss und betroffenem eigenem Produkt kann alle vier Tatbestände zugleich erfüllen.

Zurück zum Inhalt

¶Die Einrichtung meldet dreimal an die gemeinsame Meldestelle

Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an eine gemeinsame Meldestelle, die das BSI zusammen mit dem BBK betreibt.^[2] Erheblich ist ein Sicherheitsvorfall nach § 2 Nr. 11 BSIG in zwei Fallgruppen. Er hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann sie verursachen. Oder er hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen. Für elf Arten von Anbietern digitaler Infrastruktur und digitaler Dienste konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Schwellen.^[8]

Amtliche Auslegung Kenntniserlangung ist nach der Lesart des BSI der Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit Kenntnis von dem erheblichen Sicherheitsvorfall erlangt.^[11] Fachdebatte Die Kommentarliteratur folgt diesem Ausgangspunkt, sobald irgendeine Mitarbeiterin oder ein Mitarbeiter im Rahmen der dienstlichen Tätigkeit von dem erheblichen Sicherheitsvorfall erfährt. Interne Weiterleitungs-, Prüfungs- und Eskalationsverzögerungen werden der Einrichtung zugerechnet und verschieben den Fristbeginn nicht.^[16]

Amtliche Auslegung Als Meldeweg dient das Portal des BSI. Nach § 32 Abs. 1 Satz 2 BSIG greift die Verpflichtung frühestens ab Einrichtung des Meldewegs, und dieser Weg steht seit Januar 2026 bereit.^[11] Betreiber kritischer Anlagen übermitteln nach § 32 Abs. 3 BSIG zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung. Ob ein Unternehmen überhaupt zu den Einrichtungen zählt, lässt sich mit dem NIS2-Check zur Selbsteinordnung vorprüfen. Wer die Betroffenheit bejaht und die Registrierung versäumt hat, findet die Folgen im Beitrag zur versäumten NIS2-Registrierung.

Zurück zum Inhalt

¶Nach Bekanntwerden der Datenpanne laufen 72 Stunden

Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde. Die Pflicht entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Wird die 72-Stunden-Marke überschritten, verlangt Art. 33 Abs. 1 Satz 2 DSGVO eine Begründung der Verzögerung.^[3]

Amtliche Auslegung Der Europäische Datenschutzausschuss lässt die Frist erst laufen, wenn der Verantwortliche mit hinreichender Sicherheit vom Eintritt der Verletzung ausgehen kann. Eine kurze Prüfphase zur Feststellung des Ereignisses verschiebt den Fristbeginn, das gezielte Hinauszögern nicht.^[10] Wird ein Auftragsverarbeiter getroffen, meldet dieser nach Art. 33 Abs. 2 DSGVO unverzüglich dem Verantwortlichen, dessen 72 Stunden dann mit der eigenen Kenntnis beginnen.

Neben die Behördenmeldung tritt bei voraussichtlich hohem Risiko die unverzügliche Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO, ohne feste Stundenfrist. Unabhängig von jeder Meldepflicht ist jede Verletzung nach Art. 33 Abs. 5 DSGVO zu dokumentieren. Vertiefte Grundlagen zur Datenpanne stehen auf der Kernseite zum Datenschutzrecht. Läuft der Vorfall gerade, führt die Leistungsseite Soforthilfe bei der Datenpanne durch Erstbewertung und Meldung.

Zurück zum Inhalt

¶Der DORA-Takt beginnt mit der Einstufung als schwerwiegend

Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle der nach Art. 46 DORA zuständigen Behörde. In Deutschland nimmt die BaFin als Melde-Hub sämtliche Vorfallsmeldungen entgegen und leitet sie nach Art. 19 Abs. 6 DORA weiter, bei bedeutenden Instituten unverzüglich an die EZB.^[13] Ob ein Vorfall schwerwiegend ist, entscheidet eine eigene Klassifizierung nach den Kriterien und Schwellenwerten der Delegierten Verordnung (EU) 2024/1772.^[6]

Die Fristen setzt Art. 5 Abs. 1 der Delegierten Verordnung (EU) 2025/301. Die Erstmeldung ist so früh wie möglich abzugeben, in jedem Fall binnen vier Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis vom Vorfall. Die Zwischenmeldung folgt spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch ohne Statusänderung, aktualisierte Zwischenmeldungen folgen unverzüglich und jedenfalls mit Wiederaufnahme des Regelbetriebs, was Art. 5 Abs. 1 lit. b der Verordnung so anordnet. Die Abschlussmeldung ist spätestens einen Monat nach Übermittlung der letzten Zwischenmeldung fällig. Stuft das Unternehmen den Vorfall erst nach Ablauf der 24 Stunden als schwerwiegend ein, läuft nach Art. 5 Abs. 2 der Verordnung gleichwohl eine Vier-Stunden-Frist ab dieser späteren Einstufung. Wer eine Meldefrist nicht halten kann, teilt dies der Behörde nach Art. 5 Abs. 3 mit den Gründen mit, spätestens innerhalb der jeweiligen Frist.^[5]

Fällt ein Fristende auf ein Wochenende oder einen Feiertag, darf die Erst-, Zwischen- oder Abschlussmeldung nach Art. 5 Abs. 4 der Delegierten Verordnung bis 12 Uhr des nächsten Arbeitstags übermittelt werden. Für Erst- und Zwischenmeldung gilt diese Erleichterung nach Abs. 5 nicht bei Kreditinstituten, zentralen Gegenparteien, Handelsplatzbetreibern und Finanzunternehmen, die zugleich wesentliche oder wichtige Einrichtungen im Sinne der NIS2-Richtlinie sind. Deren Abschlussmeldung nimmt die Ausnahme nach dem Wortlaut nicht aus, und die Aufsicht kann den Aufschub nach Abs. 6 weiteren bedeutenden Instituten für Erst- und Zwischenmeldung entziehen. Daneben stellt Art. 19 Abs. 2 DORA die Meldung erheblicher Cyberbedrohungen frei.

Zurück zum Inhalt

¶Ab dem 11. September melden Hersteller an CSIRT und ENISA

Art. 14 CRA gilt nach Art. 71 Abs. 2 CRA ab dem 11. September 2026 und damit 15 Monate vor den meisten übrigen Pflichten, die am 11. Dezember 2027 anwendbar werden, während einzelne institutionelle Vorschriften bereits seit dem 11. Juni 2026 gelten.^[1] Meldepflichtig sind zwei Tatbestände. Die aktiv ausgenutzte Schwachstelle ist nach Art. 3 Nr. 42 CRA eine Schwachstelle, zu der verlässliche Nachweise für die Ausnutzung durch einen böswilligen Akteur ohne Zustimmung des Systemeigners vorliegen. Der schwerwiegende Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit ist in Art. 14 Abs. 5 CRA eigenständig umschrieben.

Beide Wege laufen in drei Stufen über die einheitliche Meldeplattform: Der Hersteller reicht eine einzige Meldung ein, die das als Koordinator benannte CSIRT seiner Hauptniederlassung erreicht und, vorbehaltlich besonders außergewöhnlicher Umstände, zugleich der ENISA zur Verfügung gestellt wird.^[19] Die Stufen sind Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden, jeweils ab Kenntniserlangung. Beim Abschluss trennen sich die Anker. Bei der Schwachstelle ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig, beim Sicherheitsvorfall einen Monat nach Übermittlung der 72-Stunden-Meldung. Nutzer sind nach Art. 14 Abs. 8 CRA gesondert zu informieren.

Amtliche Auslegung Nach den FAQ der Kommission begründet Art. 14 CRA keine eigene Überwachungspflicht, die Produktbeobachtung folgt aus Anhang I Teil II Nr. 3 CRA, und die Meldepflicht knüpft allein an die tatsächliche Kenntniserlangung an, gleich auf welchem Weg sie eintritt.^[15] Für Bestandsprodukte besteht kein Schongang: Art. 69 Abs. 3 CRA erstreckt die Meldepflichten auf alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Nach Art. 24 Abs. 3 CRA treffen die Meldepflichten des Art. 14 in angepasstem Umfang auch Verwalter quelloffener Software, soweit sie an der Entwicklung von Produkten mit digitalen Elementen beteiligt sind.^[1][19] Die Kommission hat am 27. Juli 2026 zudem eine unverbindliche Leitlinie zur Anwendung der Verordnung veröffentlicht, die auch die Meldepflichten behandelt.^[18] Tatbestände, Meldeplattform und Sanktionsrahmen im Einzelnen stehen im eingangs genannten Beitrag zur CRA-Meldepflicht.

Zurück zum Inhalt

¶Nicht die Frist trennt die Uhren, sondern der Auslöser

Auf den ersten Blick ähneln sich die Ordnungen, denn dreimal tauchen 24 und 72 Stunden auf. Der Unterschied liegt eine Ebene früher, beim meldepflichtigen Ereignis und beim Anker der Frist. Das BSIG verlangt einen erheblichen Sicherheitsvorfall im Sinne einer Betriebs- oder Drittbeeinträchtigung. Die DSGVO verlangt eine Verletzung des Schutzes personenbezogener Daten mit voraussichtlichem Risiko für Betroffene. Die DORA verlangt einen IKT-bezogenen Vorfall, den das Unternehmen selbst als schwerwiegend klassifiziert hat. Der CRA verlangt belegte aktive Ausnutzung oder einen produktbezogenen schwerwiegenden Vorfall.

Derselbe technische Sachverhalt kann deshalb eine Schwelle reißen und eine andere verfehlen. Ein erheblicher Ausfall ohne Datenabfluss kann die BSIG-Uhr starten, während die DSGVO-Uhr mangels Datenschutzverletzung stehen bleibt. Ein abgeflossener Kundendatensatz ohne Betriebsstörung kann die DSGVO-Uhr starten, sofern die Verletzung voraussichtlich ein Risiko für die Betroffenen begründet. Häufig läuft dann keine weitere Uhr. Die folgende Tabelle stellt die vier Ordnungen über alle Merkmale nebeneinander.

Aus der Tabelle folgt der praktische Kern: Wer im Vorfallsprozess nur Stundenzahlen hinterlegt, verwechselt die Anker. Die vier Fragen je Ereignis lauten, welche Rolle betroffen ist, welche Schwelle gerissen wurde, ab wann gerechnet wird und an wen die erste Meldung geht.

Zurück zum Inhalt

¶Auch die DSGVO-Meldung stoppt die übrigen Uhren nicht

Erfüllt ein Ereignis mehrere Tatbestände, bestehen die Meldepflichten nebeneinander. Keine der vier Ordnungen enthält eine Regel, nach der die Meldung an eine Behörde die Meldung an eine andere ersetzt. Die abgesetzte Datenpannen-Meldung wahrt also weder die 24-Stunden-Frist des BSIG noch die Vier-Stunden-Frist der DORA, und umgekehrt.

Begrenzt ist allein die Sanktionsseite im Verhältnis von Datenschutz- und Sicherheitsrecht. Verhängt die Datenschutzaufsicht für ein Verhalten eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO, darf für dasselbe Verhalten keine weitere Geldbuße nach dem BSIG verhängt werden, wie § 65 Abs. 11 BSIG anordnet.^[2] Die Meldepflichten selbst bleiben davon unberührt. Welche Uhren ein konkretes Ereignis startet, zeigt die Prüfreihe.

Zurück zum Inhalt

¶Ihren Vorrang regelt Artikel 1 der DORA

Amtliche Auslegung Für Finanzunternehmen ist die DORA nach ihrem Art. 1 Abs. 2 ein sektorspezifischer Rechtsakt der Union im Sinne des Art. 4 der NIS2-Richtlinie. BSI und BaFin folgern daraus übereinstimmend einen Anwendungsvorrang: Die DORA verdrängt die Vorgaben des BSIG zum Cybersicherheitsrisikomanagement und zum Meldewesen für erhebliche Sicherheitsvorfälle, solange und soweit ihre Regeln mindestens gleichwertig sind.^[12]

Ein Finanzunternehmen meldet den Vorfall deshalb der BaFin nach dem DORA-Takt und nicht zusätzlich der gemeinsamen Meldestelle. Der Vorrang reicht aber nur so weit wie sein Gegenstand. Die DSGVO-Meldung, die Nutzer- und Kundeninformation und ab dem 11. September 2026 eine etwaige eigene Herstellerrolle bleiben unberührt.^[14]

Zurück zum Inhalt

¶Der Dienstleister schuldet dem Kunden die schnelle Meldung

Die Auslagerung des IT-Betriebs verlagert keine der vier Meldepflichten. Nach dem BSIG bleibt die auslagernde Einrichtung Adressatin, weshalb die Kommentarliteratur empfiehlt, Dienstleister vertraglich zur unverzüglichen Meldung an den Auftraggeber und zur Unterstützung bei Bewertung und Meldung zu verpflichten, in der bekannten Back-to-back-Logik der Auftragsverarbeitung.^[16] Die DSGVO regelt dieses Innenverhältnis selbst: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, und erst dessen eigenes Bekanntwerden startet die 72 Stunden.

Amtliche Auslegung Eine automatische Zurechnung der Kenntnis des Auftragsverarbeiters findet nach den Leitlinien des Europäischen Datenschutzausschusses nicht statt.^[10] Ausdrücklich geregelt ist die Auslagerung des Meldevorgangs nur in Art. 19 Abs. 5 DORA, und auch dort bleibt die volle Verantwortung für die fristgerechte Meldung beim Finanzunternehmen.^[4] Auch sonst kann ein ermächtigter Dienstleister die Meldung stellvertretend abgeben, das BSI lässt das ausdrücklich zu und belässt die Verantwortung für Vorfall und Inhalt bei der Einrichtung.^[11] Für die DSGVO lassen die Leitlinien des EDSA die Meldung durch den ordnungsgemäß bevollmächtigten Auftragsverarbeiter im Namen des Verantwortlichen ausdrücklich zu.^[10] Für die CRA-Meldeplattform sieht die ENISA die Einreichung durch benannte Vertreter des Herstellers vor.^[19] Eine ordnungsgemäß bevollmächtigte Übermittlung erfüllt danach die Meldepflicht des Vertretenen. Adressatenstellung, Einstufungsentscheidung und die Verantwortung für Inhalt und Frist gehen dabei nicht über.

Im Konzern gilt dieselbe Trennung je Rechtsträger. Für das BSIG beginnt die Frist mit der Kenntnis irgendeines Mitarbeiters der betroffenen Einrichtung, und eine gebündelte Sammelmeldung mehrerer Konzerneinheiten ist möglich, wenn alle betroffenen Einheiten benannt und konzerninterne Kontaktstellen angegeben sind. Die eigenständige Verantwortung jeder meldepflichtigen Einheit bleibt dabei bestehen.^[16] Konzerninterne Weiterleitungswege sind damit Teil der Meldeorganisation, nicht ihr Ersatz.

Zurück zum Inhalt

¶Wann neben der Behörde die Nutzerinformation fällig wird

Alle vier Ordnungen können neben der Behördenmeldung eine Information an Private auslösen. Die DSGVO verlangt bei voraussichtlich hohem Risiko die unverzügliche Benachrichtigung der betroffenen Personen.^[3] Die DORA verpflichtet Finanzunternehmen, Kunden unverzüglich zu unterrichten, sobald ein schwerwiegender Vorfall deren finanzielle Interessen berührt, und bei erheblichen Cyberbedrohungen gegebenenfalls über angemessene Schutzmaßnahmen zu informieren.^[4] Der CRA verlangt vom Hersteller ab dem 11. September 2026 die Information der betroffenen und erforderlichenfalls aller Nutzer, bei Bedarf mit Abhilfehinweisen.^[1] Das BSIG kennt behördlich angeordnete und unmittelbare Informationspflichten: Das BSI kann der Einrichtung nach § 35 Abs. 1 BSIG aufgeben, die Empfänger ihrer Dienste unverzüglich über den erheblichen Sicherheitsvorfall zu unterrichten. Einrichtungen der in § 35 Abs. 2 BSIG genannten Sektoren, darunter digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste, unterrichten potenziell betroffene Empfänger nach Maßgabe der Vorschrift von sich aus über die erhebliche Cyberbedrohung und mögliche Abhilfemaßnahmen.^[2]

Daneben bestehen vertragliche Meldewege, die keine Behördenmeldung ersetzen. Wer als Anbieter in SLA, Auftragsverarbeitungsvertrag oder NIS2-Lieferkettenklausel eine Vorfallsmeldung binnen weniger Stunden zugesagt hat, schuldet sie unabhängig davon, ob eine eigene gesetzliche Pflicht besteht. Für die Kunden ist diese Vertragsmeldung häufig der Startschuss der eigenen gesetzlichen Uhren. Deshalb gehören vertragliche Meldezusagen in dieselbe Fristenübersicht wie die Behördenmeldungen.

Zurück zum Inhalt

¶Schnelligkeit geht bei der Frühwarnung vor Vollständigkeit

Keine der vier Ordnungen erlaubt es, mit der ersten Meldung auf das Ende der Forensik zu warten. Die Stufenmodelle sind gerade dafür gebaut, dass die erste Meldung auf dem Kenntnisstand des Meldezeitpunkts beruht. Das BSIG verlangt in der Frühwarnung nur die Verdachtsangaben zu böswilliger Ursache und grenzüberschreitender Wirkung, die 72-Stunden-Meldung bestätigt oder aktualisiert diese Angaben.^[2]

Fachdebatte Für das BSIG gilt der aus dem bisherigen Recht bekannte Grundsatz fort, dass Schnelligkeit vor Vollständigkeit geht und vorläufige Angaben die Pflicht erfüllen, sofern sie dem verfügbaren Kenntnisstand entsprechen und später ergänzt oder korrigiert werden.^[16] Amtliche Auslegung Das BSI formuliert denselben Grundsatz ausdrücklich, Schnelligkeit geht vor Vollständigkeit, und Nachmeldungen wie Korrekturen sind vorgesehen.^[11] Die DSGVO sagt dasselbe im Normtext: Nach Art. 33 Abs. 4 dürfen Informationen ohne unangemessene weitere Verzögerung schrittweise nachgereicht werden, und eine Meldung nach Ablauf der 72 Stunden braucht eine Begründung.

Auch die DORA rechnet mit Unsicherheit, denn die Erstmeldung enthält zunächst Grunddaten. Erfolgt die Einstufung erst nach Ablauf von 24 Stunden seit Kenntnis, läuft nach Art. 5 Abs. 2 DelVO (EU) 2025/301 eine Vier-Stunden-Frist ab dieser späteren Einstufung, und eine Begründung ist nach Abs. 3 nur nötig, wenn eine Meldefrist nicht gehalten werden kann. Der CRA verlangt in der Frühwarnung nur die Grundinformationen und lässt Einzelheiten den späteren Stufen.^[5] Falsch verstandene Gründlichkeit ist damit das größte Fristrisiko im Vorfall.

Zurück zum Inhalt

¶Die Meldung ist erstattet, die Aufsicht übernimmt

Mit der Meldung beginnt der behördliche Teil des Verfahrens. Das BSI kann Zwischenmeldungen anfordern, stellt die Meldungen den zuständigen Aufsichtsbehörden des Bundes zur Verfügung und kann der Einrichtung nach § 36 BSIG Unterstützung bei der Behebung anbieten. Die BaFin verlangt Zwischen- und Abschlussmeldung im festen Takt. Das CSIRT kann nach Art. 14 Abs. 6 CRA einen Zwischenbericht anfordern.

Rechtsprechung Für die DSGVO hat der Gerichtshof auf Vorlage des Verwaltungsgerichts Wiesbaden in einem Sparkassenfall entschieden, dass eine betroffene Person auch bei festgestelltem Verstoß keinen Anspruch auf eine bestimmte Abhilfemaßnahme oder Geldbuße hat. Die Aufsichtsbehörde prüft, welche Maßnahme zur Behebung des Verstoßes und zur wirksamen Durchsetzung der DSGVO erforderlich ist. Absehen darf sie ausnahmsweise, etwa wenn der Verantwortliche bereits wirksam abgeholfen hat.^[9]

Die Sanktionsrahmen für Meldeverstöße sind eigenständig. Nach § 65 Abs. 2 Nr. 4 und 5 BSIG ist die nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erstattete Meldung eine Ordnungswidrigkeit, mit Geldbußen bis 10 Mio. Euro für besonders wichtige und bis 7 Mio. Euro für wichtige Einrichtungen, ab 500 Mio. Euro Gesamtumsatz bis zu 2 beziehungsweise 1,4 Prozent.^[2] Verstöße gegen Art. 33 DSGVO erfasst Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes. Bei der DORA setzt die Aufsicht national durch, mit Maßnahmen und Bußgeldtatbeständen des deutschen Aufsichtsrechts. Für den CRA nennt Art. 64 Abs. 2 CRA bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Eigene Auslegung Nach der hier und im Beitrag zur CRA-Meldepflicht vertretenen Auslegung wird diese Sanktionsebene erst mit der übrigen Verordnung am 11. Dezember 2027 anwendbar, die Pflicht selbst gilt ab dem 11. September 2026.^[1]

Für die Nachweisführung zählt neben dem Inhalt der Absendezeitpunkt jeder Stufe. Die DSGVO verlangt in Art. 33 Abs. 5 die Dokumentation jeder Verletzung samt Fakten, Auswirkungen und Abhilfe, unabhängig von der Meldepflicht im Einzelfall.^[3] Eine mit Art. 33 Abs. 5 DSGVO vergleichbare Dokumentationspflicht für den Meldevorgang kennt das BSIG nicht, das BSI stellt das ausdrücklich klar.^[11] Die DORA verpflichtet Finanzunternehmen dagegen nach Art. 17 Abs. 2, alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen zu erfassen und ihre Ursachen zu ermitteln, zu dokumentieren und anzugehen.^[4] Unabhängig davon bleibt die Dokumentation von Kenntnis-, Einstufungs-, Freigabe- und Absendezeit dringende Beweisvorsorge, denn die Aufsicht misst die Rechtzeitigkeit an diesen Zeitpunkten.

Umsetzungsplan: Meldefähigkeit vor dem 11. September 2026

1. Rollen feststellenJe Gesellschaft klären, ob sie Einrichtung, Verantwortlicher, Finanzunternehmen oder Hersteller ist, mit Datum und Begründung in der Belegakte.
2. Auslöser und Anker hinterlegenJe Rolle den Meldeauslöser, die Schwelle und den Fristanker in den Incident-Prozess schreiben, mit den vier Startpunkten aus Abbildung 2.
3. Meldewege einrichtenZugänge zum BSI-Portal, zum Meldeweg der Datenschutzaufsicht, zum BaFin-Verfahren und ab September zur CRA-Meldeplattform vorab anlegen und testen.
4. Eskalation auf Stunden taktenErreichbarkeit rund um die Uhr, Vertretung, Entscheidungsbefugnis für die Einstufung und die Freigabe der Meldung festlegen.
5. Dienstleister und Konzern verpflichtenMeldefristen der Dienstleister an den Auftraggeber vertraglich unter die kürzeste eigene Behördenfrist legen, Kontaktstellen je Konzerneinheit benennen.
6. Kunden- und Nutzerinformation vorbereitenTextvorlagen für Betroffene, Finanzkunden und Produktnutzer vorbereiten, vertragliche Meldezusagen inventarisieren.
7. Übung fahrenEinen Vorfall mit Mehrfachqualifikation durchspielen und die Zeiten je Stufe messen, vor dem 11. September 2026.

Zurück zum Inhalt

¶Sechs Sätze halten nicht stand

Zurück zum Inhalt

Offene Fragen

Die Übersicht nennt die Punkte, zu denen weder Normtext noch amtliche Auslegung noch Rechtsprechung eine belastbare Antwort geben.

Drei Szenarien bis zum 11. Dezember 2027

Zurück zum Inhalt

¶Häufige Fragen

Zurück zum Inhalt

¶Was noch nicht bekannt ist

• Wann die gesetzliche Zuweisung der CRA-CSIRT-Aufgaben verkündet wird und ob alle Meldewege der einheitlichen Meldeplattform am 11. September 2026 bereitstehen. Nach dem Regierungsentwurf soll das BSI diese Aufgaben übernehmen, als das nach Art. 12 Abs. 1 der NIS2-Richtlinie als Koordinator bestimmte CSIRT.^[20]
• Wie die Marktüberwachung die am 27. Juli 2026 veröffentlichte Leitlinie der Kommission anwendet und ob die Kommission nach Art. 26 CRA weitere Leitlinien zu den Meldetatbeständen nachlegt.^[18]
• Wie BSI und BaFin die Reichweite des DORA-Vorrangs in Grenzfällen abgrenzen, etwa bei Finanzunternehmen mit Tätigkeiten außerhalb des DORA-Anwendungsbereichs.
• Ob und wann das vom Bundesministerium des Innern vorbereitete Gesetz zur Durchführung der Cyberresilienz-Verordnung verkündet wird, das dem BSI die Marktüberwachung zuweisen und das Bußgeldverfahren regeln soll.^[17]
• Wann erste gerichtliche Entscheidungen zu den Fristankern der neuen Meldeordnungen ergehen, insbesondere zur Kenntniserlangung nach § 32 BSIG.

Zurück zum Inhalt

¶Begriffe

Zurück zum Inhalt

¶Quellen

1. Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act), ABl. L, 2024/2847 vom 20.11.2024, deutsche Sprachfassung in der berichtigten Fassung. Geprüft sind die Berichtigungen vom 5. Dezember 2024, vom 2. Juli 2025 zu Art. 13 Abs. 8 und Art. 64 Abs. 10 sowie vom 17. Oktober 2025 zum Listeneintrag nach Art. 67 der Verordnung. Geändert ist sie durch die Verordnung (EU) 2025/327. Geprüft ist ferner die Berichtigung vom 6. August 2026, ABl. L, 2026/90667, zu Art. 7 Abs. 2 lit. b, Art. 13 Abs. 15, Art. 17 Abs. 1, Art. 55 Abs. 4 und Anhang VIII, abgerufen am 19.8.2026. Die in diesem Beitrag herangezogenen Vorschriften ändert sie nicht. EUR-Lex, abgerufen am 13.8.2026. Herangezogen sind Art. 3 Nr. 14 und 42, Art. 14, Art. 24 Abs. 3, Art. 64, Art. 69 und Art. 71.
2. §§ 2, 32, 35, 36, 65 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG) vom 2. Dezember 2025, BGBl. 2025 I Nr. 301, zuletzt geändert durch Artikel 8 Absatz 1 des Gesetzes vom 23. Juli 2026, BGBl. 2026 I Nr. 226, gesetze-im-internet.de, abgerufen am 13.8.2026.
3. Art. 33, 34 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), dejure.org, abgerufen am 13.8.2026.
4. Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA), ABl. L 333 vom 27.12.2022, EUR-Lex, abgerufen am 13.8.2026. Herangezogen sind Art. 1, 17, 19 und 46.
5. Delegierte Verordnung (EU) 2025/301 der Kommission zur Ergänzung der Verordnung (EU) 2022/2554 durch technische Regulierungsstandards für Inhalt und Fristen der Meldungen schwerwiegender IKT-bezogener Vorfälle, ABl. L, 2025/301 vom 20.2.2025, deutsche Sprachfassung im Volltext, EUR-Lex, abgerufen am 13.8.2026. Herangezogen ist Art. 5.
6. Delegierte Verordnung (EU) 2024/1772 der Kommission zur Ergänzung der Verordnung (EU) 2022/2554 durch technische Regulierungsstandards für die Klassifizierung IKT-bezogener Vorfälle und Cyberbedrohungen, ABl. L, 2024/1772 vom 25.6.2024, EUR-Lex, abgerufen am 13.8.2026.
7. Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, EUR-Lex, abgerufen am 13.8.2026. Herangezogen sind Art. 4 und 23.
8. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 hinsichtlich der Fälle, in denen ein Sicherheitsvorfall als erheblich gilt, ABl. L, 2024/2690 vom 18.10.2024, EUR-Lex, abgerufen am 13.8.2026.
9. Gerichtshof der Europäischen Union, Urteil vom 26. September 2024, C-768/21, ECLI:EU:C:2024:785, ergangen auf Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden vom 10. Dezember 2021 nach Art. 267 AEUV, Volltext in deutscher Verfahrenssprache, EUR-Lex, abgerufen am 13.8.2026. Herangezogen sind der Tenor und die Rn. 41 bis 48.
10. Europäischer Datenschutzausschuss, Leitlinien 9/2022 über die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0 vom 28. März 2023, deutsche Sprachfassung, edpb.europa.eu, abgerufen am 13.8.2026.
11. Bundesamt für Sicherheit in der Informationstechnik, NIS-2-Infopaket Meldepflicht, bsi.bund.de, abgerufen am 13.8.2026.
12. Bundesamt für Sicherheit in der Informationstechnik, NIS-2-Infopaket zum Verhältnis von NIS-2 und DORA, bsi.bund.de, abgerufen am 13.8.2026.
13. Bundesanstalt für Finanzdienstleistungsaufsicht, Meldung schwerwiegender IKT-bezogener Vorfälle und erheblicher Cyberbedrohungen nach DORA, bafin.de, abgerufen am 13.8.2026.
14. Bundesanstalt für Finanzdienstleistungsaufsicht, Fragen und Antworten zur DORA, Frage zum Verhältnis von DORA und NIS-2-Umsetzung, bafin.de, abgerufen am 13.8.2026.
15. Wiebe/Daelen, FAQ der EU-Kommission zum Cyber Resilience Act – Orientierungshilfe für die Praxis?, RDi 2026, 251, abgerufen über beck-online am 13.8.2026. Herangezogen sind die Rn. 34 bis 38 zu den Meldepflichten.
16. Füllsack, in: Schuster/Grützmacher, IT-Recht Kommentar, 2. Auflage, Stand 4/2026, § 32 BSIG, abgerufen über beck-online am 13.8.2026. Herangezogen sind die Rz. 10 bis 13, 20 bis 23 und 28 bis 31.
17. Bundesministerium des Innern, Gesetzgebungsverfahren zum Gesetz zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), Entwurfsstand, bmi.bund.de, abgerufen am 13.8.2026.
18. Europäische Kommission, Leitlinie zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 vom 27. Juli 2026, unverbindlich, Mitteilung und Anhang, digital-strategy.ec.europa.eu, abgerufen am 13.8.2026.
19. ENISA, Single Reporting Platform, Frequently Asked Questions, Stand 3. August 2026, enisa.europa.eu, abgerufen am 13.8.2026. Herangezogen sind die Fragen 1, 4, 5, 8, 13 und 20 sowie die Anleitung zu den Schnittstellenfunktionen für benannte Vertreter, Stand 14. August 2026, enisa.europa.eu, abgerufen am 19.8.2026.
20. Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847, BT-Drs. 21/6134 vom 26. Mai 2026, § 5 Abs. 3 Satz 2 Nr. 6 BSIG-E mit Begründung, dserver.bundestag.de, abgerufen am 13.8.2026.

Zur Quellenlage

Weiterlesen

• Die CRA-Meldepflicht ab dem 11. September 2026 im Einzelnen
• Folgen der versäumten NIS2-Registrierung
• Soforthilfe bei der Datenpanne

Rechtsstand: 19. August 2026. Dieser Beitrag gibt den Stand zum genannten Datum wieder. Die Meldepflichten nach BSIG, DSGVO und DORA gelten bereits, die Herstellermeldung nach Art. 14 CRA wird am 11. September 2026 anwendbar.