Neue Meldepflichten für Versicherer und IT-Dienstleister – Teil 3: Ein Angriff, viele Pflichten: Wenn Versicherer, Cloudanbieter und Softwarehersteller gleichzeitig melden müssen

In Teil 1 dieser Reihe haben wir die Meldepflichten des Finanzsektors in Europa und der Schweiz beleuchtet, in Teil 2 die neuen Pflichten für Softwarehersteller, Managed Service Provider und Cloudanbieter. Allen Regelwerken gemeinsam ist ein Gedanke: Digitale Resilienz entsteht nicht allein durch Abwehr, sondern auch durch geregelte Kommunikation über Schwachstellen und Vorfälle. Meldewege, Fristen und Formate sind deshalb verbindlich vorgegeben. Doch wie sieht das im Ernstfall aus? Und wie viele Meldepflichten kann ein einziger Vorfall auslösen? Das spielen wir in diesem dritten Teil an einem fiktiven Beispiel durch.

Die Startaufstellung

Die Softy AG, ein auf die Versicherungsbranche spezialisiertes deutsches Softwareunternehmen, hat die Bestandsverwaltungssoftware Lifeguard entwickelt. Ihren Kunden bietet sie Lifeguard als Software-as-a-Service-Anwendung in der Cloud an. Betrieben wird die Anwendung vom Managed Cloud Provider Cloudy AG mit Sitz in der Slowakei – er verantwortet die komplette Infrastruktur, inklusive Betrieb, Updates und Security. Zu den Kunden der Softy AG zählen unter anderem die Abel AG, ein Versicherungsunternehmen aus München, und die Bebel AG aus Zürich.

Der Vorfall

Dienstag, 1. September 2026, 07:15 Uhr: Der Sachbearbeiter Urs Odermatt von der Bebel AG startet seinen Rechner und holt einen Kaffee aus der Küche, während die Lifeguard-Anwendung startet. Er erkennt sofort, dass etwas nicht stimmt: Die Suchmaske reagiert nicht, und beim Versuch, das Menü zu wechseln, friert der Bildschirm ein. Mehrere Neustarts helfen nicht weiter. Urs Odermatt schreibt ein Ticket an die IT der Bebel AG und legt eine Pause ein.

Etwa zur gleichen Zeit entdeckt Judith Findeisen, IT-Mitarbeiterin der Abel AG, dass die nächtlichen Batches der Lifeguard-Anwendung allesamt mit einem unbekannten Fehler abgebrochen sind. Zudem stößt sie auf ungewöhnliche Datenbankabfragen – und auf erste Hinweise, dass personenbezogene Daten exfiltriert worden sein könnten.

Bereits eine Stunde zuvor wurde in der IT-Zentrale der Cloudy AG ein Cyberangriff detektiert. Angriffe von außen kommen regelmäßig vor. In diesem Fall jedoch konnten die Angreifer die Sicherheitssysteme aushebeln und direkt auf mindestens eine Anwendung zugreifen. Die ersten Analysen führen zu einem Verdacht: Eine kritische Schwachstelle in der Lifeguard-Anwendung wurde von außen ausgenutzt. Möglich wurde das allerdings erst, weil zugleich die Konfiguration der Cloud-Sicherheitsrichtlinien Lücken aufwies.

Rechtliche Einordnung

Auch wenn die Details noch nicht geklärt sind, ist allen Beteiligten klar: Hier liegt ein meldepflichtiger IKT-Vorfall vor – und zwar nach mehreren Regelwerken zugleich.

• Die Abel AG sitzt in München, unterliegt der DORA (EU) 2022/2554 und wird von der BaFin beaufsichtigt. Lifeguard ist ihr Kernsystem. Sie muss daher zuerst prüfen, ob die Störung als „schwerwiegender IKT-Vorfall“ zu klassifizieren ist. Falls ja, greift ein dreistufiges Meldeverfahren: Die Erstmeldung an die BaFin ist spätestens vier Stunden nach der Klassifizierung fällig, in jedem Fall aber binnen 24 Stunden ab Kenntnis. Es folgen ein Zwischenbericht nach spätestens 72 Stunden und ein Abschlussbericht nach spätestens einem Monat. Wegen des Verdachts auf Datenabfluss tickt zudem die Uhr der DSGVO: Bestätigt sich die Verletzung, bleiben 72 Stunden für die Meldung an die zuständige Datenschutzaufsichtsbehörde.
• Die Bebel AG sitzt in Zürich und meldet an die FINMA (Art. 29 Abs. 2 FINMAG): die Erstmeldung eines schweren Cybervorfalls innert 24 Stunden ab Feststellung, den detaillierten Bericht innert 72 Stunden. Als Betreiberin einer kritischen Infrastruktur informiert sie außerdem innert 24 Stunden das Bundesamt für Cybersicherheit (BACS). Und sollten Personendaten mit hohem Risiko für die Betroffenen abgeflossen sein, verlangt das revidierte Datenschutzgesetz eine möglichst rasche Meldung an den EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter).
• Die Cloudy AG ist als Cloudanbieterin von NIS-2 (EU) 2022/2555 erfasst. Zuständig ist gemäß Sitzlandprinzip – keine deutsche Behörde, sondern das nationale CSIRT der Slowakei: SK-CERT bei der Sicherheitsbehörde NBÚ (slowakisch für „Nationale Sicherheitsbehörde“). Auch dieses Verfahren ist gestuft: Frühwarnung nach 24 Stunden, Vorfallsmeldung nach 72 Stunden, Abschlussbericht nach einem Monat. Wochenenden und Feiertage zählen mit.
• Die Softy AG ist gleich doppelt gefordert. Als Anbieterin eines SaaS-Dienstes ist sie selbst NIS-2-reguliert und beim BSI registriert. Ein erheblicher Sicherheitsvorfall in ihrem Dienst löst also dieselbe Meldekaskade aus wie bei der Cloudy AG – nur eben in Deutschland. Als Herstellerin von Lifeguard muss sie außerdem den Cyber Resilience Act (EU) 2024/2847 im Blick behalten. Er verlangt, aktiv ausgenutzte Schwachstellen binnen 24 Stunden über die zentrale Meldeplattform an das koordinierende CSIRT und die ENISA (European Union Agency for Cybersecurity, EU-Agentur für Cybersicherheit) zu melden – mit Details nach 72 Stunden und einem Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrektur. Diese Pflichten gelten ab dem 11. September 2026 – zum Zeitpunkt unseres fiktiven Vorfalls fehlen dazu also noch genau zehn Tage.

Welche Meldepflichten sind zu beachten?

• Die Cloudy AG informiert unverzüglich die Softy AG über den Cyberangriff und die Ergebnisse der ersten Ursachenanalyse. Parallel setzt sie die NIS-2-Frühwarnung an SK-CERT ab.
• Die Softy AG informiert ihre Kunden – darunter die Abel AG und die Bebel AG – über den Angriff auf die Cloudy AG und die vermutete Schwachstelle in Lifeguard. Zugleich meldet sie den Vorfall als Frühwarnung an das BSI und beginnt mit der Analyse der Schwachstelle.
• Die Abel AG klassifiziert den Vorfall als schwerwiegend und gibt binnen vier Stunden die Erstmeldung an die BaFin ab. Gleichzeitig dokumentiert sie den Verdacht auf Datenabfluss und bereitet vorsorglich die Meldung an die Datenschutzaufsichtsbehörde vor.
• Die Bebel AG bewertet den Vorfall anhand der FINMA-Kriterien als schweren Cybervorfall und erstattet innert 24 Stunden die Erstmeldung an die FINMA sowie die Meldung an das BACS. Parallel klärt sie, ob Personendaten ihrer Kundinnen und Kunden betroffen sind.

Koordination ist König

Schon unser einfaches Beispiel zeigt: ein Vorfall, vier Unternehmen, bis zu sieben Aufsichts- und Meldestellen in drei Ländern – und ein halbes Dutzend unterschiedlicher Fristen. Jedes Unternehmen muss eigenständig bewerten und zugleich koordiniert kommunizieren. Ohne klare Verantwortlichkeiten, definierte Prozesse und vorab abgestimmte Meldewege droht im Ernstfall ein Meldechaos mit dem Risiko von Reputations- und Haftungsschäden. Und Schnelligkeit allein genügt nicht: Der Austausch aller Beteiligten muss auch die Analyse und Behebung des Fehlers unterstützen, um Schaden abzuwenden oder zu mindern.

Lessons Learned: Das neue Normal – verteilter Vorfall, geteilte Verantwortung

Cybervorfälle bleiben nicht lokal. Sie verteilen sich über Anbieter, Plattformen und Grenzen hinweg. Wer mit Cloud-Services und ausgelagerten Softwarelösungen arbeitet, muss deshalb mehrschichtige Meldepflichten beachten, Koordinationsprozesse etablieren und transparent mit allen Beteiligten kommunizieren – die Aufsichtsbehörden eingeschlossen.

Epilog: Noch einmal mit dem Schrecken davongekommen

Dienstag, 1. September 2026, 11:30 Uhr: Inzwischen konnte die IT-Abteilung der Cloudy AG das Einfallstor für den Angriff identifizieren und schließen. Im engen Austausch mit den Expertinnen und Experten der Softy AG wurde zudem die kritische Schwachstelle in der Lifeguard-Anwendung behoben. Die weiteren Analysen bringen Entwarnung: Es sind keine personenbezogenen Daten nach außen gelangt. Die vorsorglich vorbereiteten Meldungen an die Datenschutzaufsicht und den EDÖB können unterbleiben. Dokumentiert wird der Vorfall selbstverständlich trotzdem. Die Softy AG informiert unverzüglich ihre Kunden; die Zwischen- und Abschlussberichte an BaFin, FINMA, SK-CERT und BSI folgen in den kommenden Tagen und Wochen.


Als Urs Odermatt aus seiner vorgezogenen Mittagspause an den Arbeitsplatz zurückkehrt, läuft die Lifeguard-Anwendung wieder einwandfrei, was eine E-Mail der IT sogleich bestätigt. Nachdem am Vormittag die Nerven blank lagen, kommt nun ein anstrengender Nachmittag auf ihn zu.

Alle Beteiligten sind erleichtert über die schnelle Klärung des Vorfalls. Das Fallbeispiel verdeutlicht, wie angesichts komplexer IKT-Systeme Cybersicherheit und Resilienz bei Herstellung, Betrieb und Wartung zu einer partnerschaftlich zu lösenden Aufgabe werden. Bewährt hat sich vor allem die Vorbereitung: die Planspiele, die präzise definierten Meldeketten und das schnelle, abgestimmte Handeln über Unternehmensgrenzen hinweg. Und bei der Softy AG weiß man: Wäre der Angriff nur zehn Tage später passiert, hätte mit dem CRA bereits das nächste Meldeverfahren dazugehört.

Die Meldefristen im Überblick

• Abel AG (DORA, BaFin): Erstmeldung ≤ 4 h nach Klassifizierung, spätestens 24 h nach Kenntnis · Zwischenbericht 72 h · Abschlussbericht 1 Monat
• Bebel AG (FINMA / ISG): Erstmeldung an FINMA innert 24 h, Bericht innert 72 h · Meldung an BACS innert 24 h
• Cloudy AG (NIS-2, SK-CERT): Frühwarnung 24 h · Meldung 72 h · Abschlussbericht 1 Monat
• Softy AG (NIS-2, BSI): Frühwarnung 24 h · Meldung 72 h · Abschlussbericht 1 Monat
• Softy AG (CRA, gilt ab 11.09.2026): Frühwarnung 24 h · Meldung 72 h · Abschlussbericht 14 Tage nach Bereitstellung der Korrektur
• DSGVO / revDSG: Meldung an die Datenschutzaufsicht binnen 72 h (DSGVO) bzw. so rasch als möglich an den EDÖB (revDSG) – nur bei (hohem) Risiko für die Betroffenen