Dora vorfallsmeldung

/dora:dora-vorfallsmeldung

Zweck

DORA verlangt von Finanzunternehmen einen geschlossenen Prozess zur Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle. Anders als bei einer freien Risikoabwägung sind die Schwellen (RTS 2024/1772) und die Meldefristen rechtlich determiniert. Dieser Skill prüft die Erheblichkeit, klassifiziert den Vorfall und orchestriert die Meldekette an die zuständige Behörde (in DE: BaFin/Deutsche Bundesbank).

Eingaben

• Art des Finanzunternehmens (CRR-Institut, Versicherer, KVG, Zahlungsinstitut, CASP)
• Vorfallsbeschreibung (Ausfall, Cyberangriff, Datenintegritätsverlust, Drittparteienvorfall)
• Zeitpunkt der Entdeckung des Vorfalls
• Betroffene kritische oder wichtige Funktionen, Anzahl betroffener Kunden, geografische Ausbreitung
• Dauer der Betriebsunterbrechung, Datenverlust, wirtschaftliche Auswirkungen
• Bereits informierte Stellen (BaFin, Bundesbank, andere Aufsicht)

Sub-Agent-Architektur

Der Skill arbeitet in drei gedanklichen Rollen. Ein Klassifizierungs-Agent misst den Vorfall an den Primär- und Sekundärkriterien des Art. 18 DORA und der RTS 2024/1772 (betroffene Kunden, Reputationswirkung, Dauer/Ausfallzeit, geografische Ausbreitung, Datenverlust, wirtschaftliche Auswirkungen) und entscheidet, ob „schwerwiegend". Ein Fristen-Agent legt aus dem Entdeckungszeitpunkt die drei Meldetermine fest und überwacht sie. Ein Verzahnungs-Agent prüft, ob parallel eine NIS2- (§ 32 BSIG) oder DSGVO-Meldung (Art. 33 DSGVO) ausgelöst wird. Die Rollen schreiben in ein gemeinsames Meldedossier; der Mensch (Leitungsorgan) gibt frei.

Ablauf

1. Behandlungsprozess (Art. 17 DORA)

• Erfassung, Protokollierung, Kategorisierung jedes IKT-Vorfalls nach dokumentiertem Verfahren.
• Frühwarnindikatoren, Eskalationswege und Rollen müssen vorab definiert sein.
• Auch erhebliche Cyberbedrohungen (ohne Vorfall) können freiwillig gemeldet werden.

2. Klassifizierung (Art. 18 DORA)

Ein Vorfall ist schwerwiegend, wenn die Schwellen der RTS 2024/1772 erreicht werden. Kriterien:

Kriterium	Inhalt
Betroffene Kunden / Gegenparteien	Anzahl und Anteil
Dauer und Ausfallzeit	Stunden bis zur Wiederherstellung
Geografische Ausbreitung	grenzüberschreitend?
Datenverlust	Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit
Auswirkung auf kritische Dienste	kritische oder wichtige Funktionen betroffen
Wirtschaftliche Auswirkungen	absolute/relative Verluste

3. Erstmeldung — 4-Stunden-/24-Stunden-Frist (Art. 19 DORA)

• Erstmeldung schnellstmöglich, spätestens 4 Stunden nach Klassifizierung als schwerwiegend, in jedem Fall spätestens 24 Stunden nach Entdeckung.
• Adressat: zuständige Behörde (BaFin/Bundesbank über das Meldeportal).

4. Zwischenmeldung — 72 Stunden (Art. 19 DORA)

• Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung mit aktualisiertem Status und ersten Auswirkungen.

5. Abschlussbericht — 1 Monat (Art. 19 DORA)

• Abschlussbericht spätestens einen Monat nach der jüngsten aktualisierten Zwischenmeldung: Ursachenanalyse (Root Cause), ergriffene Abhilfemaßnahmen, endgültige Auswirkungen.

6. Kundeninformation und Verzahnung

• Bei Auswirkungen auf finanzielle Interessen: unverzügliche Kundeninformation (Art. 19 DORA).
• Doppelmeldung prüfen: NIS2 (§ 32 BSIG), DSGVO (Art. 33 DSGVO), ggf. ZAC-Strafanzeige.

Risiken / typische Fehler

• 4-Stunden-Frist ab Klassifizierung übersehen — die Uhr läuft ab Einstufung als schwerwiegend, spätestens 24 h ab Entdeckung.
• Klassifizierungsschwelle der RTS 2024/1772 unterschätzt — Sekundärkriterien (Datenverlust, Reputation) werden gerne ignoriert.
• Doppelmeldung an NIS2-/DSGVO-Stellen vergessen — ein IKT-Vorfall kann drei Meldepflichten gleichzeitig auslösen.
• Kundeninformation unterlassen — bei betroffenen finanziellen Interessen ist sie nach Art. 19 DORA Pflicht, nicht Kür.

Quellen

Statute

• VO (EU) 2022/2554 (DORA) — Art. 17 DORA, Art. 18 DORA, Art. 19 DORA, Art. 23 DORA
• RTS 2024/1772 (Klassifizierung schwerwiegender IKT-bezogener Vorfälle)
• Art. 33 DSGVO — Verzahnung
• § 32 BSIG (n.F.) — NIS2-Verzahnung

Sekundärliteratur

• Maume/Maute/Fromberger, DORA-Kommentar
• BeckOK DORA (Online)

Ausgabeformat

DORA-VORFALLSMELDUNG — <Vorfall-ID> — <Datum>

I.    Behandlungsprozess (Art. 17 DORA)   [erfasst / kategorisiert]
II.   Klassifizierung (Art. 18 DORA)
      Schwerwiegend?                       [Ja / Nein]  Erreichte Kriterien: <…>
III.  Meldekette (Art. 19 DORA)
      Erstmeldung      Frist: <Entdeckung + 4h / +24h>   Status: <…>
      Zwischenmeldung  Frist: <Erstmeldung + 72h>         Status: <…>
      Abschlussbericht Frist: <+ 1 Monat>                 Status: <…>
IV.   Kundeninformation                    [N/A / erforderlich]
V.    Verzahnung NIS2 / DSGVO              [§ 32 BSIG / Art. 33 DSGVO]

Eskalationspfad: <Leitungsorgan wann>
Nächster Schritt: <…>