Anforderungen · DORA · Audit · Major Incident Reporting

DORA Audit & Selbstprüfung

Major Incident Reporting

Schwerwiegende IKT-Vorfälle klassifizieren und fristgerecht mit den vorgesehenen Formularen melden.

DORA Art. 18–19 · RTS 2024/1772 · RTS 2025/301 · ITS 2025/30215 FragenFramework: Meldung schwerwiegender IKT-Vorfälle

Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.

Auditfragen

Existenz · Frage 1

Ist ein Verfahren vorhanden, mit dem IKT-Vorfälle anhand der DORA-Kriterien klassifiziert werden?

Worauf achten?Alle Kriterien und Wesentlichkeitsschwellen des RTS berücksichtigen.

Mögliche NachweiseKlassifizierungsverfahren; Entscheidungsbaum

Regulatorischer BezugDORA Art. 18; RTS 2024/1772

Passendes Framework-ThemaMajor Incident Reporting

Umsetzung · Frage 2

Werden betroffene Kunden, Dauer, geografische Ausbreitung, wirtschaftliche Auswirkungen und Kritikalität konsistent bewertet?

Worauf achten?Bewertung muss aus belastbaren Daten ableitbar sein.

Mögliche NachweiseIncident Record; Impact Assessment; Kennzahlen

Regulatorischer BezugRTS 2024/1772

Passendes Framework-ThemaMajor Incident Reporting

Existenz · Frage 3

Sind Fristen und Verantwortlichkeiten für Erst-, Zwischen- und Abschlussmeldung festgelegt?

Worauf achten?Interne Eskalationszeiten müssen genügend Puffer für regulatorische Fristen lassen.

Mögliche NachweiseMeldeprozess; RACI; Fristenübersicht

Regulatorischer BezugDORA Art. 19; RTS 2025/301

Passendes Framework-ThemaMajor Incident Reporting

Umsetzung · Frage 4

Werden die vorgeschriebenen Formulare und Datenfelder des ITS verwendet?

Worauf achten?Vorlagen aktuell halten und Pflichtfelder organisatorisch verfügbar machen.

Mögliche NachweiseMeldevorlagen; ITS-Mapping; Beispielmeldung

Regulatorischer BezugITS 2025/302

Passendes Framework-ThemaMajor Incident Reporting

Umsetzung · Frage 5

Ist geregelt, wie fehlende Informationen nachgereicht und Zwischenstände aktualisiert werden?

Worauf achten?Meldung ist ein Prozess, kein einmaliges Formular.

Mögliche NachweiseRunbook; Zwischenmeldungen; Kommunikationslog

Regulatorischer BezugRTS 2025/301; ITS 2025/302

Passendes Framework-ThemaMajor Incident Reporting

Existenz · Frage 6

Ist bei einer Auslagerung der Meldetätigkeit dokumentiert, dass die Verantwortung beim Finanzunternehmen verbleibt?

Worauf achten?Art. 19(5) ausdrücklich berücksichtigen.

Mögliche NachweiseVertrag; Rollenmodell; Kontrollverfahren

Regulatorischer BezugDORA Art. 19(5)

Passendes Framework-ThemaLieferantensteuerung

Umsetzung · Frage 7

Werden aggregierte jährliche Kosten und Verluste schwerwiegender IKT-Vorfälle belastbar geschätzt?

Worauf achten?Methodik, Datenquellen und Nachvollziehbarkeit prüfen.

Mögliche NachweiseJahresauswertung; Bewertungsmethodik; Incident-Finanzdaten

Regulatorischer BezugDORA Art. 11(10)

Passendes Framework-ThemaKennzahlen

Wirksamkeit · Frage 8

Wurde der regulatorische Meldeprozess praktisch geübt oder anhand eines realen Falls nachbereitet?

Worauf achten?Fristen, Datenbeschaffung, Freigaben und Kommunikationswege testen.

Mögliche NachweiseÜbung; Post-Incident Review; Testmeldung

Regulatorischer BezugDORA Art. 19; RTS 2025/301; ITS 2025/302

Passendes Framework-ThemaTesting & Assurance

Existenz · Frage 9

Ist geregelt, wann eine erhebliche Cyberbedrohung nach DORA Art. 18 als erheblich einzustufen ist?

Worauf achten?Cyberbedrohungen sind getrennt von eingetretenen Vorfällen nach Kritikalität, betroffenen bzw. bedrohten Kunden/Gegenparteien und geografischer Ausbreitung zu bewerten.

Mögliche NachweiseThreat-Classification-Schema; Bewertungsprotokolle

Regulatorischer BezugDORA Art. 18(2); RTS 2024/1772

Passendes Framework-ThemaMajor Incident Reporting

Bedingt · Frage 10

Ist ein Verfahren für die freiwillige Meldung erheblicher Cyberbedrohungen vorhanden, falls die Organisation dieses Instrument nutzen möchte?

Worauf achten?Die Meldung ist freiwillig; sie darf nicht als Pflicht dargestellt werden.

Mögliche NachweiseEntscheidungsregel; Meldevorlage; Freigabeprozess

Regulatorischer BezugDORA Art. 19(2); RTS 2025/301; ITS 2025/302

Passendes Framework-ThemaMajor Incident Reporting

Umsetzung · Frage 11

Ist geregelt, dass Kunden ohne unangemessene Verzögerung informiert werden, wenn ein schwerwiegender IKT-Vorfall ihre finanziellen Interessen beeinträchtigt?

Worauf achten?Information über Vorfall und ergriffene Minderungsmaßnahmen muss organisatorisch vorbereitet sein.

Mögliche NachweiseKundenkommunikationsplan; Vorlagen; Incident Runbook

Regulatorischer BezugDORA Art. 19(3)

Passendes Framework-ThemaDORA Kommunikation

Bedingt · Frage 12

Ist geregelt, dass potenziell betroffene Kunden bei erheblichen Cyberbedrohungen gegebenenfalls über geeignete Schutzmaßnahmen informiert werden?

Worauf achten?Nur bei entsprechender Bedrohung und soweit anwendbar; nicht mit der freiwilligen Behördenmeldung verwechseln.

Mögliche NachweiseKommunikationsvorlage; Threat Runbook

Regulatorischer BezugDORA Art. 19(3)

Passendes Framework-ThemaDORA Kommunikation

Umsetzung · Frage 13

Werden wiederkehrende, einzeln nicht schwerwiegende Vorfälle mindestens monatlich darauf geprüft, ob sie zusammen als schwerwiegender Vorfall einzustufen sind?

Worauf achten?Für das hier relevante reguläre DORA-Regime gilt die Monatsprüfung des RTS 2024/1772.

Mögliche NachweiseMonatsreview; Incident Trend Report; Klassifizierungsprotokoll

Regulatorischer BezugRTS 2024/1772 Art. 8(2)

Passendes Framework-ThemaMajor Incident Reporting

Existenz · Frage 14

Sind die konkreten Meldefristen in Verfahren und Bereitschaftsorganisation operationalisiert?

Worauf achten?Initialmeldung möglichst früh, spätestens 4 Stunden nach Major-Klassifizierung und spätestens 24 Stunden nach Kenntnis; Zwischenbericht spätestens 72 Stunden nach Initialmeldung; Abschlussbericht spätestens einen Monat nach Zwischen-/letztem aktualisierten Zwischenbericht.

Mögliche NachweiseMeldekalender; Runbook; Alarmierung; Testmeldung

Regulatorischer BezugRTS 2025/301 Art. 5

Passendes Framework-ThemaMajor Incident Reporting

Umsetzung · Frage 15

Ist geregelt, wie mit verspäteter Major-Klassifizierung oder absehbarer Fristüberschreitung umzugehen ist?

Worauf achten?Bei späterer Klassifizierung gilt die 4-Stunden-Frist ab Klassifizierung; bei drohender Verspätung ist die Behörde innerhalb der jeweiligen Frist zu informieren und die Verzögerung zu begründen.

Mögliche NachweiseRunbook; Eskalationsregel; Testfall

Regulatorischer BezugRTS 2025/301 Art. 5(2)–(3)

Passendes Framework-ThemaMajor Incident Reporting

← Zurück zur Übersicht DORA Audit & Selbstprüfung