Der Vorfallbericht und das Dienstleisterregister beschreiben denselben Ausfall.

Was geschah

Die Verordnung über die digitale operationale Resilienz im Finanzsektor (Verordnung (EU) 2022/2554, DORA) gilt seit dem 17. Januar 2025 für Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierfirmen und weitere Finanzunternehmen. Schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde in drei Schritten zu melden: eine Erstmeldung innerhalb von vier Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden, nachdem das Unternehmen davon Kenntnis erlangt hat, ein Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung und ein Abschlussbericht spätestens einen Monat nach dem letzten Zwischenbericht. Die Einstufungskriterien und der Inhalt der Meldungen sind in den Delegierten Verordnungen (EU) 2024/1772 und 2025/301 der Kommission festgelegt.

Daneben führt jedes Finanzunternehmen ein Informationsregister über seine vertraglichen Vereinbarungen mit IKT-Drittdienstleistern und übermittelt es jährlich an seine Aufsicht. Für den Zyklus 2026 forderte De Nederlandsche Bank das Register bis zum 20. März 2026 an, mit dem 31. Dezember 2025 als Stichtag. In Belgien sind die Nationalbank von Belgien und die FSMA zuständig, jeweils für die von ihnen beaufsichtigten Unternehmen.

Am 18. November 2025 veröffentlichten die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) die erste Liste kritischer IKT-Drittdienstleister: 19 Anbieter von Cloud-, Rechenzentrums-, Telekommunikations-, Daten- und IT-Diensten, die nun direkt europäisch beaufsichtigt werden. Grundlage der Benennung waren die Register, die Finanzunternehmen eingereicht hatten.

Was das erste Jahr gezeigt hat

Am 3. Juni 2026 veröffentlichten die Europäischen Aufsichtsbehörden ihren ersten Jahresbericht über schwerwiegende IKT-Vorfälle. Finanzunternehmen in der EU meldeten 2025 insgesamt 3.383 schwerwiegende Vorfälle. Systemausfälle und externe Ereignisse waren die wichtigsten Ursachen; nur etwa 10 % hatten mit Cybersicherheit zu tun. Fast ein Drittel ging auf einen Fehler bei einem Dritten zurück, etwa einem IKT-Dienstleister, einem anderen Finanzunternehmen oder einem Infrastrukturanbieter, und rund ein Drittel hatte grenzüberschreitende Auswirkungen. Zwei Drittel führten zu keinen oder nur geringen Beeinträchtigungen für Kunden und Transaktionen.

Der Bericht ist offen über die Datenlage. Für rund 15 % der 2025 gemeldeten schwerwiegenden Vorfälle lag zum Stichtag 5. Februar 2026 noch kein Abschlussbericht vor, und die Behörden sehen weiterhin unterschiedliche Meldepraktiken zwischen Sektoren und Ländern. Sie sagen auch, wohin sie wollen: Vorfallmeldungen mit dem Informationsregister verknüpfen, um Vorfälle bei kritischen Dienstleistern zu erkennen und zu verstehen, wo sich IKT-Risiken bündeln.

Ein Ausfall, zwei Dokumente

In einem Finanzunternehmen wird diese Verknüpfung schon während des Vorfalls gebraucht. Fällt der Dienst eines Anbieters aus, muss das Vorfallteam wissen, welche Verträge, Funktionen und Geschäftsprozesse davon abhängen, oft innerhalb des Vier-Stunden-Fensters. Diese Information steht im Register, das meist der Einkauf, das Risikomanagement oder ein Team für Dienstleistersteuerung führt. Die Zeitleiste des Vorfalls entsteht derweil in Tickets, Chatkanälen und Telefonaten. Das sind typische Muster, keine Befunde über ein bestimmtes Institut.

• Einstufen unter Zeitdruck. Ob ein Vorfall schwerwiegend ist, hängt von betroffenen Kunden, Transaktionen, Dauer, Daten und kritischen Diensten ab. Diese Fakten kommen gleichzeitig aus mehreren Systemen.
• Der Anbieter hinter dem Ausfall. Das Register sagt, welche Funktionen ein Anbieter unterstützt. Während eines Vorfalls schlägt das jemand von Hand nach.
• Drei Meldungen, eine Geschichte. Erstmeldung, Zwischen- und Abschlussbericht müssen untereinander und mit den Fakten übereinstimmen. Wer das im Nachhinein aus dem Gedächtnis rekonstruiert, riskiert Fehler.

Was sich mit einem verbundenen Bild ändert

Der sinnvolle Schritt ist, die Zeitleiste des Vorfalls und das Register als einen Datenbestand zu behandeln. Liegen Register, die Liste kritischer oder wichtiger Funktionen und die Vorfallakte in einer Datenschicht, zeigt ein laufender Vorfall direkt, welcher Anbieter, welcher Vertrag und welche Funktion betroffen sind. Jeder Schritt der Zeitleiste behält seine Quelle: das Ticket, den Monitoring-Alarm, die Gesprächsnotiz. Die drei Meldungen stützen sich dann auf dieselbe Akte statt auf drei getrennte Rekonstruktionen.

Meridian Platform legt eine eigene Datenschicht in Ihrer Umgebung an, gespeist von Konnektoren mit reinem Lesezugriff, sodass die Quellsysteme maßgeblich bleiben. Akten und Zeitleisten in Meridian Platform sind bestehende Funktionen; die Anbindung Ihrer Ticket-, Monitoring- und Registerquellen ist eine Projektintegration. Meridian AI kann die Zeitleiste zusammenfassen und einen Meldungsentwurf mit Verweis auf jede Quelle vorbereiten; ein Mensch prüft jede Zahl und entscheidet über Einstufung und Übermittlung. Meridian ist darauf ausgelegt, DORA-Prozesse zu unterstützen. Es macht ein Unternehmen nicht DORA-konform und übermittelt nichts eigenständig an eine Aufsicht. Dieser Artikel ist keine Rechtsberatung und legt nicht nahe, dass eine in den Quellen genannte Organisation Meridian nutzt.

Mit einem vergangenen Vorfall beginnen

Ein praktischer erster Schritt nimmt einen abgeschlossenen Vorfall, schwerwiegend oder knapp darunter, und baut seine Zeitleiste aus den ursprünglichen Quellen neben den Registereinträgen der beteiligten Anbieter neu auf. Messen Sie, wie lange es heute dauert, drei Fragen zu beantworten: Welche kritischen Funktionen waren betroffen, welcher Anbieter war beteiligt, und stimmen die drei Meldungen überein? Vergleichen Sie dann mit einer verbundenen Akte. Gehen Sie erst zu laufenden Vorfällen über, wenn das Ergebnis bei Ihren Vorfall- und Risikoteams standhält.

Ein Ausfall bei einem Anbieter ist ein einziges Ereignis. Vorfallbericht und Register sollten ihn gleich erzählen.