Harmonisierung von Incident-Reporting-Meldefristen nach DORA, NIS2 und CRA

Dogmatische Spannungsfelder und praktische Lösungsansätze für Banken im europäischen Cyberregulierungsrahmen

• Dr. Dr. Fabian Teichmann

In der digitalen Finanzwelt stehen Banken vor dem Dilemma unterschiedlicher regulatorischer Vorgaben zur Meldung von IT-Sicherheitsvorfällen. Jüngste EU-Rechtsakte – insbesondere die Digital Operational Resilience Act (DORA), die NIS-2-Richtlinie und der Cyber Resilience Act (CRA) – statuieren teils divergierende Meldefristen und Schwellenwerte. Der folgende Beitrag untersucht, wie diese heterogenen Vorgaben in ein konsistentes Meldesystem für Banken integriert werden können. Es wird die These vertreten, dass trotz formaler Überschneidungen durch abgestimmte Schwellenwerte und einheitliche Meldeprozesse eine praktikable Harmonisierung erreichbar ist, um Mehrfachaufsicht und Alert Fatigue zu vermeiden. Abschließend wird ein Innovationsvorschlag skizziert: die Entwicklung eines einheitlichen Incident-Taxonomiemodells für die Bankpraxis.