Compliance-Lexikon · Praxis
DORA-Meldepflicht – Praxis
Die DORA-Meldepflicht ist eine der operativ anspruchsvollsten DORA-Anforderungen. Die 4-Stunden-Frist fuer die Erstmeldung laesst keinen Raum fuer improvisierten Prozessaufbau im Ernstfall. Was Auditoren pruefen und wie Evidence aussehen muss, zeigt dieser Abschnitt.
Was Auditoren konkret pruefen
Bei einer Pruefung der DORA-Meldepflicht prueft der Auditor, ob Klassifizierungsprozess, Meldefristen und Inhalte der Meldungen korrekt umgesetzt sind. Das BAM-Objekt CROSS-DM-01 definiert im Evidence-Feld, was konkret vorgelegt werden muss.
Haeufige Fehler
- Klassifizierungsmatrix fehlt -- IKT-Vorfaelle werden nicht systematisch bewertet
- 4-Stunden-Frist nicht in Rufbereitschafts- und Eskalationsprozessen verankert
- Drittanbieter-IKT-Vorfaelle nicht im Meldeprozess beruecksichtigt
- Interne Kommunikation zwischen IT, Compliance und Management nicht geregelt
Praxis-Tipp
Fuer die DORA-Meldepflicht gilt: Die 4-Stunden-Frist beginnt nach interner Klassifizierung als schwerwiegend -- nicht nach vollstaendiger Analyse. Eine unvollstaendige Erstmeldung ist regulatorisch akzeptabel; eine verspaetete nicht. Der Prozess muss auf schnelle erste Klassifizierung, nicht auf vollstaendige Analyse ausgelegt sein.
Umsetzung Schritt fuer Schritt
Erster Schritt: Klassifizierungsmatrix entwickeln, die IKT-Vorfaelle gegen die Schwellenwerte der ESA-RTS prueft. Zweiter Schritt: Meldeprozess dokumentieren -- wer klassifiziert, wer meldet, wer genehmigt, in welcher Frist. Dritter Schritt: Meldevorlagen fuer alle drei Meldestufen erstellen. Vierter Schritt: Prozess in Incident-Response-Playbooks integrieren und testen. Fuenfter Schritt: Externe Drittanbieter einbinden -- deren Meldepflicht an das eigene Unternehmen muss in Vertraegen geregelt sein.
Evidence-Anforderungen im Audit
Der Auditor erwartet: die datierte Klassifizierungsmatrix, den dokumentierten Meldeprozess, Meldevorlagen fuer alle drei Stufen, Testprotokolle aus Uebungen, und -- bei tatsaechlichen Vorfaellen -- die abgesandten Meldungen mit Zeitstempeln.
Naechster Schritt
Stresstest starten
Kostenloser Compliance-Stresstest auf Basis der BAM-Objekte -- DORA und NIS-2.
Die strategische Einordnung -- warum die DORA-Meldepflicht langfristig mehr als eine regulatorische Pflicht ist -- findet sich auf Ebene 3.