Framework / Incident Management / DORA-Meldung
requirementDORA
REGULATORISCHE VERTIEFUNG
Meldung schwerwiegender ICT-Vorfälle nach DORA
Ein normal behandelter ICT-Incident kann sich durch seine tatsächlichen Auswirkungen zu einem regulatorisch meldepflichtigen schwerwiegenden Vorfall entwickeln.
ÜBERGANG
Incident behandeln – Meldepflicht parallel prüfen
Die operative Incident-Behandlung läuft weiter. Sobald genügend Informationen über Auswirkungen vorliegen, muss zusätzlich geprüft werden, ob die DORA-Kriterien für einen „major ICT-related incident“ erfüllt sind.
VORFÄLLE MELDEN
01Incident bewertenMögliche Tragweite prüfen
02AuswirkungenTragweite belastbar bestimmen
03Kriterien prüfenErgebnis und Wirkung überprüfen
04Major?Meldepflicht bewusst entscheiden
05MeldeprozessMeldung fristgerecht koordinieren
Die Schritte greifen ineinander. Erkenntnisse und Veränderungen führen zurück in den Kreislauf.
KRITERIEN
Was wird bewertet?
Kunden, Gegenparteien & Transaktionen
Umfang der Betroffenheit.
Umfang der Betroffenheit.
Reputation
Reputationsbezogene Auswirkungen.
Reputationsbezogene Auswirkungen.
Dauer & Service-Ausfall
Dauer des Vorfalls und der Nichtverfügbarkeit.
Dauer des Vorfalls und der Nichtverfügbarkeit.
Geografische Ausbreitung
Betroffene Gebiete und Mitgliedstaaten.
Betroffene Gebiete und Mitgliedstaaten.
Datenverluste
Auswirkungen auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten.
Auswirkungen auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten.
Kritische Services
Bedeutung der betroffenen Dienste für kritische oder wichtige Funktionen.
Bedeutung der betroffenen Dienste für kritische oder wichtige Funktionen.
Wirtschaftliche Auswirkungen
Direkte und indirekte Kosten und Verluste.
Direkte und indirekte Kosten und Verluste.
FRISTEN
Nach Major-Klassifikation zählt die Zeit
InitialmeldungSo früh wie möglich, spätestens 4 Stunden nach Klassifikation als „major“ und grundsätzlich nicht später als 24 Stunden nach Bekanntwerden.
ZwischenberichtSpätestens 72 Stunden nach der Initialmeldung; Aktualisierung ohne unangemessene Verzögerung, insbesondere nach Wiederherstellung des Regelbetriebs.
AbschlussberichtSpätestens einen Monat nach Zwischenbericht bzw. dem letzten aktualisierten Zwischenbericht.
FÄHIGKEITEN
Welche Fähigkeiten müssen zusammenspielen?
Eine belastbare regulatorische Meldung braucht verlässliche Reaktion, Entscheidung und Evidenz.
CAPABILITYReagieren & WiederherstellenVorfälle kontrolliert behandeln und Lagebilder fortschreiben.→CAPABILITYGovernance & SicherheitssteuerungKlassifikation, Eskalation und Entscheidungen verantwortlich steuern.→CAPABILITYTransparenz, Nachweis & VerbesserungEntscheidungen, Zeitpunkte und Meldungsinhalte nachvollziehbar belegen.→CAPABILITYRisiko- & ResilienzmanagementAuswirkungen und Kritikalität fachlich einordnen.→
VERNETZEN
Was dafür bereits funktionieren muss
MERKSATZ
Nicht jeder Incident ist meldepflichtig.
Nicht jeder Incident ist meldepflichtig. Aber jeder relevante Incident muss so behandelt und dokumentiert werden, dass eine belastbare Klassifikation möglich ist und eine erkannte Meldepflicht fristgerecht ausgelöst werden kann.
PRIMÄRQUELLEN
Regulation (EU) 2022/2554 – DORAArt. 17–20: Incident Management, Klassifikation und MeldungDelegated Regulation (EU) 2024/1772Klassifikationskriterien und Wesentlichkeitsschwellen für schwerwiegende ICT-VorfälleDelegated Regulation (EU) 2025/301Inhalt und Fristen der Initial-, Zwischen- und AbschlussmeldungenImplementing Regulation (EU) 2025/302Formulare, Vorlagen und Meldeverfahren