Die finale gemeinsame ESA-Q&A vom 2. Oktober 2026 schärft eine Triagefrage, die in der operativen Incident Response leicht zu eng gefasst werden kann: Ein erfolgreicher, böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme ist für das Kriterium „critical services affected“ eigenständig zu bewerten. Das gilt auch dann, wenn das unmittelbar kompromittierte System keine kritische oder wichtige Funktion unterstützt oder der Zugang über Systeme eines IKT-Drittdienstleisters erlangt wurde.
Für Finanzunternehmen folgt daraus vor allem eine organisatorische Konsequenz: Die Entscheidung über die Klassifikation darf nicht isoliert im technischen Incident Ticket verbleiben. Sie muss mit der Meldeentscheidung, den Datenfeldern der Erst-, Zwischen- und Abschlussmeldung sowie den späteren Ursachen- und Maßnahmenangaben zu einem nachverfolgbaren Berichtsobjekt verbunden werden.
Die Q&A erweitert die Prüfung, nicht die Meldepflicht
Die Klarstellung der ESA betrifft die Auslegung des Kriteriums „critical services affected“ nach Artikel 6 Buchstabe c der Delegierten Verordnung (EU) 2024/1772. Ein erfolgreicher, böswilliger und unbefugter Zugriff ist dabei als eigener Prüfsachverhalt zu behandeln. Die Prüfung darf daher nicht allein mit dem Hinweis beendet werden, das betroffene Asset unterstütze keine kritische oder wichtige Funktion.
Damit ist jedoch keine automatische Einstufung als schwerwiegender IKT-bezogener Vorfall verbunden. Für die Major-Klassifikation verlangt Artikel 8 der RTS zusätzlich zur Betroffenheit kritischer Dienste entweder das Erreichen der besonderen Schwelle für Datenverluste oder das Erreichen von mindestens zwei weiteren Materialitätsschwellen. Auch wiederkehrende Vorfälle können unter den Voraussetzungen von Artikel 8 Absatz 2 gemeinsam als schwerwiegender Vorfall gelten.
Die finale ESA-Q&A 2026_7779 verlangt daher keine verkürzte „Zugriff gleich meldepflichtig“-Logik. Sie verlangt eine belastbarere Entscheidungskette. Gerade bei zunächst begrenzten Zugriffsvorfällen muss erkennbar bleiben, warum das Kriterium kritischer Dienste bejaht oder verneint wurde und welche weiteren Schwellenwerte zum jeweiligen Entscheidungszeitpunkt vorlagen.
Zweistufige Triage mit Evidenz und Zeitbezug
Ein praxistaugliches Runbook sollte zwei getrennte, aber verknüpfte Prüfebenen vorsehen. Auf der ersten Ebene wird der Zugriffssachverhalt bewertet: War der Zugriff erfolgreich, böswillig und unbefugt? Welche Systeme, Daten oder Verbindungen waren betroffen? Bestand ein Bezug zu einem IKT-Drittdienstleister?
Auf der zweiten Ebene folgt die Major-Prüfung: Welche Klassifikationskriterien und Materialitätsschwellen sind nach den Artikeln 8 und 9 der RTS erfüllt? Die Trennung verhindert, dass ein technisches Detail – etwa die Einordnung eines kompromittierten Systems – die regulatorische Bewertung unzulässig verkürzt.
- Für jede Prüfebene sollten Ergebnis, Entscheidungszeitpunkt, verantwortliche Rolle und zugrunde liegende Evidenzen dokumentiert werden.
- Offene Annahmen gehören mit Quelle, Unsicherheitsgrad und geplantem Aktualisierungszeitpunkt in das Triageprotokoll.
- Neue Erkenntnisse zu Ausbreitung, Datenverlusten, betroffenen Diensten oder Drittanbieterursachen müssen eine erneute Bewertung auslösen können.
So lässt sich auch gegenüber Meldewesen, Compliance und Interner Revision nachvollziehen, ob ein Vorfall gemeldet, weiter überwacht oder mangels erfüllter Voraussetzungen nicht als Major eingestuft wurde.
Ein Berichtsobjekt statt drei voneinander gelöster Meldungen
Die verbindlichen Formulare nach der Durchführungsverordnung (EU) 2025/302 verlangen in allen Meldestufen eine unternehmenseigene eindeutige Incident-Referenz. In Zwischen- und Abschlussmeldung ist außerdem, soweit anwendbar, der nach der Erstmeldung von der zuständigen Behörde vergebene Referenzcode aufzunehmen. Beide Referenzen erfüllen unterschiedliche Zwecke und sollten weder verwechselt noch manuell in separaten Arbeitsdokumenten gepflegt werden.
Geeignet ist ein zentrales, versioniertes Berichtsobjekt. Es verknüpft die unveränderliche interne Incident-ID mit Behördenreferenz, Meldeart, Berichtsversionsnummer, Freigabestatus und Abgabezeitpunkt. Für jedes relevante Feld sollten Datenquelle, Bearbeitungsstand, Schätzungskennzeichnung und Änderungsverlauf nachvollziehbar sein. Damit wird sichtbar, welche Aussage zum Zeitpunkt der Erstmeldung vertretbar war und welche Erkenntnis eine spätere Korrektur oder Ergänzung ausgelöst hat.
Besonders wichtig ist diese Verbindung bei Freitexten. Die Vorfallsbeschreibung darf in Folgemeldungen fortgeschrieben werden und soll bekannte Ursachen, unmittelbare Auswirkungen und betroffene Systeme abbilden. Sie kann zudem die interne Schwerebewertung und eingebundene oberste Entscheidungsstrukturen erfassen. Strukturierte Leitfragen helfen, pauschale Fülltexte zu vermeiden: Was ist bestätigt, was ist eine Arbeitshypothese, welche Auswirkungen sind eingetreten, welche Abhängigkeiten bestehen und wann folgt das nächste Update?
Fristenuhren als Workflow steuern
Die Delegierte Verordnung (EU) 2025/301 bestimmt die Berichtskadenz: Die Erstmeldung ist so früh wie möglich, spätestens vier Stunden nach der Klassifikation als schwerwiegend und höchstens 24 Stunden nach Kenntniserlangung einzureichen. Die Zwischenmeldung folgt spätestens 72 Stunden nach der Erstmeldung. Aktualisierte Zwischenmeldungen sind ohne unangemessene Verzögerung und jedenfalls nach Wiederherstellung des Regelbetriebs vorzulegen. Der Abschlussbericht ist spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung fällig.
Diese Fristen sollten nicht nur als Kalendertermine geführt werden. Das Workflow-Modell benötigt mindestens getrennte Uhren für Kenntniserlangung und Major-Klassifikation, einen Trigger für die Wiederherstellung des Regelbetriebs sowie einen Fristanker für den Abschlussbericht. Bei absehbaren Verzögerungen sollten Grund, zuständige Rolle und Eskalation vor Fristablauf festgehalten werden.
Die ITS verpflichtet zu vollständigen und korrekten Angaben. Stehen in Erst- oder Zwischenmeldung noch keine exakten Werte zur Verfügung, sind nach Möglichkeit Schätzwerte aus anderen verfügbaren Daten und Informationen zu melden. Diese Schätzungen brauchen eine erkennbare Kennzeichnung sowie nachvollziehbare Quelle, Berechnungsmethode und Aktualisierungszeitpunkt.
Datenqualität fachlich prüfen, nicht nur technisch validieren
Formale Feldprüfungen genügen nicht. Vor der Übermittlung sollte eine fachliche Plausibilitätskontrolle sicherstellen, dass Vorfallsbeschreibung, Vorfalltyp, Eintrittsvektor, Klassifikation und Auswirkungen zusammenpassen. Für das Kriterium „critical services affected“ sieht das Formular Angaben zu regulierten Finanzdienstleistungen, IKT-Diensten oder Systemen für kritische oder wichtige Funktionen sowie zur Art des böswilligen und unbefugten Zugriffs vor. In Zwischen- und Abschlussmeldung ist diese Angabe verpflichtend.
Bei Drittanbieterursachen oder -auswirkungen sind Ursprung und Beteiligte einschließlich Name, Identifikationscode und Kennungsart konsistent auszuweisen. Ein Vertragspartner ist nicht automatisch die Ursache; Ursache und Auswirkung sollten getrennt dokumentiert werden. Für die geografische Verbreitung sind betroffene EWR-Mitgliedstaaten mit ISO-3166-Alpha-2-Codes sowie Auswirkungen und Schwere je Staat zu erfassen.
Auch monetäre Angaben verdienen eine eigene Qualitätskontrolle. Für Bruttokosten und -verluste sowie finanzielle Rückflüsse verlangt das Abschlussformular Beträge mindestens mit einer Präzision entsprechend Tausendereinheiten. Die erfassten Positionen können unter anderem Wiederbeschaffung, Personal, Vertragsverstöße, Kundenentschädigung, entgangene Einnahmen sowie Forensik- und Remediationkosten umfassen. Die Datenherkunft sollte daher zwischen Incident Response, Fachbereichen und Finanzfunktion abgestimmt sein.
Abschlussbericht als Nachweis dauerhafter Abhilfe
Die Wiederherstellung des Regelbetriebs beendet den Berichtsvorgang nicht. Der Abschlussbericht verlangt eine Ursachenklassifikation und eine Beschreibung der Ereigniskette. Bei böswilligen Handlungen gehören dazu gegebenenfalls Modus Operandi, Taktiken, Techniken, Verfahren, Eintrittsvektor und die Untersuchung, auf der die Ursachenfeststellung beruht.
Das Maßnahmen-Tracking sollte deshalb jede dauerhafte Abhilfemaßnahme mit Ursache, verantwortlicher Stelle, Drittanbieterbeteiligung, Zieltermin, Status und Wirksamkeitsnachweis verbinden. Erforderliche Verfahrensanpassungen, zusätzliche Kontrollen und Lessons Learned aus dem Post-Incident-Review gehören in denselben Nachweiszusammenhang. Terminabweichungen sollten begründet und bis zur Umsetzung weiter verfolgt werden.
Die ESA Operational Instructions unterstützen nach eigener Einordnung Datenqualität und konsistente Aufsichtskommunikation, sind aber keine rechtsverbindliche Auslegung oder offizielle ESA-Position. Für CSSF-beaufsichtigte Unternehmen kommt hinzu, dass die CSSF erwartet, diese praktischen Hinweise bei der harmonisierten Umsetzung zu berücksichtigen. Unternehmen unter anderen zuständigen Behörden sollten nationale Übermittlungs- und Zusatzvorgaben gesondert prüfen. Tabletop-Übungen und stichprobenartige Kontrollen des Berichtsobjekts können zeigen, ob Triage, Datenquellen, Freigaben und Evidenzarchiv unter Zeitdruck tatsächlich zusammenwirken.