Ab dem 17.01.2025 gilt für Finanzunternehmen

• die Pflicht zur Meldung schwerwiegender IKT bezogener Vorfälle gemäß Art. 19 Abs. 1 DORA,
• die Möglichkeit zur freiwilligen Meldung erheblicher Cyberbedrohungen gemäß Art. 19 Abs. 2 DORA und

• die Pflicht zur Vorlage des Informationsregisters mit allen vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleistern bereitgestellten IKT-Dienstleistungen gemäß Art. 28 Abs. 3 UAbs. 4 DORA.

Die Einreichung der zuvor genannten Meldungen bzw. des Informationsregisters erfolgt über das BaFin-Portal zur Melde- und Veröffentlichungsplattform (MVP-Portal).

Um über das MVP-Portal Meldungen bzw. das Informationsregister einreichen zu können, ist eine Registrierung erforderlich. Nach der Registrierung im MVP-Portal müssen die Melder grundsätzlich die Freischaltung für das spezielle DORA-Fachverfahren beantragen, die zum Start von DORA über einen gesonderten Prozess (initiale Melderfreischaltung) erfolgt. Auf diese Weise kann für die große Zahl der erwarteten Melder eine fristgerechte Freischaltung gewährleistet werden. Weitere Informationen zum Ablauf der initialen Melderfreischaltung werden den betroffenen Unternehmen per E-Mail zur Verfügung gestellt. Die BaFin benötigt für die initiale Melderfreischaltung Angaben zum Unternehmen, dem die Melder angehören, und zu den freizuschaltenden Meldern selbst.

In den Fällen, in denen die Melde- und Einreichungspflichten an einen Dienstleister ausgelagert werden, muss dieser Dienstleister ebenfalls das Freischaltungsverfahren durchlaufen und das Finanzunternehmen muss darüber hinaus Angaben zum künftig meldenden Dienstleister machen. Weitere Informationen zum Verfahren zur Auslagerung der Meldepflichten und zur Einreichung aggregierter Meldungen werden hier zur Verfügung gestellt.

Nachdem die Unternehmen der BaFin die genannten Informationen übermittelt haben, werden die Melder im Anschluss durch die BaFin für das Fachverfahren „Digital Operational Resilience Act (DORA)“ freigeschaltet. Zu beachten ist, dass eine Freischaltung nur für im MVP-Portal registrierte Melder möglich ist.

Ferner wird die BaFin im Anschluss an die initiale Melderfreischaltung einen standardmäßigen Prozess zur Freischaltung für das Fachverfahren „Digital Operational Resilience Act (DORA)“ etablieren. Informationen hierzu werden zu gegebener Zeit an dieser Stelle veröffentlicht.