Wie Sie DORA-Incident-Reporting mithilfe von KI umsetzen

Übersicht

Sie erfahren, wie Sie die Anforderungen an die Meldung von IKT-bezogenen Vorfällen gemäß Artikel 17-23 der DORA mithilfe von KI umsetzen. Dieser Leitfaden behandelt Kriterien zur Vorfallsklassifizierung, die verbindlichen Meldefristen von 4 Stunden, 72 Stunden und 1 Monat, Benachrichtigungsvorlagen, Verfahren zur Ursachenanalyse und die Integration in Ihre bestehenden Incident-Management-Prozesse – mit spezifischen ISMS-Copilot-Prompts für die Erstellung jeder Komponente.

Zielgruppe

Dieser Leitfaden richtet sich an:

• Verantwortliche für Incident Response und SOC-Leiter, die für die Erkennung und Klassifizierung von IKT-Vorfällen zuständig sind
• Compliance-Beauftragte, die regulatorische Vorfallmeldungen verwalten
• CISOs, die Incident-Management-Programme bei Finanzinstituten überwachen
• Risikomanager, die die Auswirkungen von Vorfällen bewerten und die Behebung verfolgen
• Berater, die DORA-Incident-Reporting für Kunden aus dem Finanzsektor implementieren

Voraussetzungen

Sie benötigen:

• Ein ISMS-Copilot-Konto (kostenlose Testversion verfügbar)
• Ihren gemäß Wie Sie ein DORA-IKT-Risikomanagement-Framework mithilfe von KI aufbauen etablierten IKT-Risikomanagement-Rahmen
• Ihr IKT-Asset-Inventar mit Kritikalitätsklassifizierungen (erforderlich für die Bewertung der Vorfallauswirkungen)
• Ihre bestehenden Incident-Response-Verfahren und aktuelle Prozesse zur regulatorischen Meldung
• Kenntnis der Meldewege und -formate Ihrer zuständigen Behörde
• Zugang zu Ihrem Incident-Response-Team, SOC und der Compliance-Abteilung

Verständnis der DORA-Incident-Reporting-Anforderungen

Artikelweise Aufschlüsselung

DORA-Kapitel III (Artikel 17-23) etabliert ein umfassendes Regime für Incident-Management und -Meldung. Jeder Artikel behandelt einen spezifischen Aspekt des Prozesses:

Article

Title

Key requirements

Key deliverables

Art 17

IKT-bezogene Vorfallmanagement-Prozesse

Einrichtung eines Vorfallmanagement-Prozesses mit Frühwarnindikatoren, Verfahren und Rollen

Dokumentation des Vorfallmanagement-Prozesses, Rollenmatrix

Art 18

Klassifizierung von IKT-bezogenen Vorfällen und Cyber-Bedrohungen

Klassifizierung von Vorfällen nach vorgeschriebenen Kriterien (schwerwiegend vs. nicht schwerwiegend)

Klassifizierungsmatrix, Schweregradkriterien, Entscheidungsablauf

Art 19

Meldung schwerwiegender IKT-bezogener Vorfälle

Dreistufige Meldung: Erstmeldung (4h), Zwischenmeldung (72h), Abschlussmeldung (1 Monat)

Meldevorlagen, Eskalationsverfahren, Einreichungsworkflows

Art 20

Harmonisierung von Meldeinhalten und -vorlagen

Standardisierte Meldeformate gemäß RTS

Ausgefüllte Meldevorlagen, abgestimmt auf RTS-Formate

Art 21

Zentralisierung der Meldung

Meldung über eine einzige EU-Drehscheibe (zukünftige Anforderung)

Verfahren für Meldewege

Art 22

Aufsichtliches Feedback

Empfang und Umsetzung von aufsichtlichem Feedback

Prozess zur Integration von Feedback

Art 23

Meldung bedeutender Cyber-Bedrohungen

Freiwillige Meldung bedeutender Cyber-Bedrohungen

Verfahren zur Bedrohungsmeldung

Der dreistufige Meldezeitplan

Das Verständnis des DORA-Meldezeitplans ist entscheidend für die Erstellung Ihrer Verfahren:

Report stage

Deadline

Trigger

Content required

Key challenge

Erstmeldung

Innerhalb von 4 Stunden nach Klassifizierung als schwerwiegend

Vorfall als schwerwiegend klassifiziert

Zusammenfassung des Vorfalls, Klassifizierungsbegründung, erste Auswirkungsbewertung, betroffene Dienste

Geschwindigkeit der Klassifizierung und Einreichung

Zwischenmeldung

Innerhalb von 72 Stunden nach Erstmeldung

Laufende Untersuchung

Aktualisierte Auswirkungen, erste Ursachenanalyse, Eindämmungsmaßnahmen, Wiederherstellungsstatus

Bereitstellung aussagekräftiger Analysen, während der Vorfall möglicherweise noch andauert

Abschlussmeldung

Innerhalb von 1 Monat nach Erstmeldung

Vorfall abgeschlossen

Vollständige Ursachenanalyse, Gesamtauswirkungen (finanziell, operativ, reputationsbezogen), Behebungsmaßnahmen, Lessons Learned

Umfassende Analyse und Nachweise für die Behebung

Schritt 1: Einrichtung Ihres Vorfallmanagement-Prozesses (Artikel 17)

Kernprozess des Vorfallmanagements

Artikel 17 verlangt einen umfassenden IKT-bezogenen Vorfallmanagement-Prozess. Dieser Prozess muss in Ihre Erkennungsfähigkeiten (Artikel 10) und Ihr übergeordnetes IKT-Risikomanagement-Framework integriert sein.

1. Öffnen Sie Ihren DORA-Arbeitsbereich in ISMS Copilot

2. Generieren Sie den Vorfallmanagement-Prozess:

   "Erstellen Sie einen umfassenden IKT-bezogenen Vorfallmanagement-Prozess für ein [entity type], der DORA Artikel 17 erfüllt. Enthalten sein sollen: Zweck, Geltungsbereich und Prozessziele, Phasen des Vorfall-Lebenszyklus (Erkennung, Triage, Klassifizierung, Eindämmung, Beseitigung, Wiederherstellung, Nachbereitung), Rollen und Verantwortlichkeiten (Incident Commander, technischer Leiter, Kommunikationsleiter, Compliance/regulatorische Meldung, Ansprechpartner für das Leitungsorgan), Frühwarnindikatoren und Erkennungstrigger (verknüpft mit Artikel 10-Überwachung), Eskalationsmatrix nach Vorfallschwere, Kommunikationsprotokolle (interne Teams, Leitungsorgan, Kunden, zuständige Behörde), Integration mit bestehenden IT-Service-Management-Prozessen (ITSM), Anforderungen an Dokumentation und Beweissicherung, Aktivierungskriterien und Entscheidungsbäume für den Prozess sowie Prozessleistungsmetriken. Stellen Sie den Prozess in einem flussdiagrammtauglichen Format mit klaren Entscheidungspunkten bereit."

3. Definieren Sie die Struktur des Incident-Response-Teams:

   "Definieren Sie die Struktur des IKT-Incident-Response-Teams (IRT) für ein [entity type] mit [number] Mitarbeitern. Enthalten sein sollen: Teamzusammensetzung (Kernteam, erweitertes Team, Bereitschaftsplan), Auswahlkriterien und Befugnisstufen des Teamleiters, Aktivierungsverfahren (während und außerhalb der Geschäftszeiten), Kommunikationskanäle und -tools, Vorlage für das Teammitglieder-Kontaktverzeichnis, Schulungs- und Übungsanforderungen sowie die Integration mit externen Parteien (Aufsichtsbehörden, Strafverfolgungsbehörden, Forensik-Anbieter, Drittanbieter von IKT-Dienstleistungen). Berücksichtigen Sie die Anforderungen an eine 24/7-Abdeckung, um die 4-Stunden-Meldefrist einzuhalten."

Schritt 2: Erstellen Sie Ihre Vorfallklassifizierungsmatrix (Artikel 18)

Kriterien für die Klassifizierung schwerwiegender Vorfälle

Artikel 18 legt Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen als schwerwiegend fest. Die Regulatory Technical Standards (RTS) enthalten detaillierte Wesentlichkeitsschwellen. Ihre Klassifizierungsmatrix muss diese Kriterien für schnelle Entscheidungen während eines Vorfalls operationalisieren.

1. Generieren Sie die Klassifizierungsmatrix:

   "Erstellen Sie eine Klassifizierungsmatrix für IKT-bezogene Vorfälle für ein [entity type], die DORA Artikel 18 erfüllt. Berücksichtigen Sie die folgenden Klassifizierungskriterien aus der Verordnung und den RTS: Anzahl der betroffenen Kunden/Finanzgegenparteien (geben Sie spezifische Schwellenwerte für unseren Unternehmenstyp an), Dauer des Vorfalls, geografische Ausbreitung des Vorfalls, Datenverluste (Vertraulichkeit, Integrität, Verfügbarkeit), Kritikalität der betroffenen Dienste (abgestimmt auf unsere IKT-Asset-Klassifizierung), wirtschaftliche Auswirkungen (direkte und indirekte finanzielle Verluste), Bewertung der Reputationsauswirkungen. Für jedes Kriterium definieren Sie: spezifische quantitative Schwellenwerte, die eine 'schwerwiegende' Klassifizierung auslösen, Messmethodik, Datenquellen für eine schnelle Bewertung und Beispiele. Erstellen Sie eine Bewertungsmatrix, die eine Klassifizierung innerhalb von 1-2 Stunden nach Vorfallerkennung ermöglicht. Fügen Sie ein Entscheidungsflussdiagramm hinzu: Wenn ein einzelnes Kriterium den Schwellenwert für 'schwerwiegend' erfüllt, wird der Vorfall als schwerwiegend klassifiziert."

2. Erstellen Sie das Klassifizierungs-Entscheidungsflussdiagramm:

   "Entwerfen Sie ein schrittweises Entscheidungsflussdiagramm für die Vorfallklassifizierung gemäß DORA Artikel 18. Das Flussdiagramm sollte von Bereitschafts-Incident-Managern um 3 Uhr morgens mit begrenzten Informationen genutzt werden können. Beginnen Sie mit: ersten Vorfalldetails (was ist passiert, wann, was ist betroffen). Bewerten Sie dann nacheinander jedes Kriterium für schwerwiegende Vorfälle: betroffene Kunden (Schwellenwert: [X]), Dauer (Schwellenwert: [X] Stunden), Datenauswirkung (bestätigte Datenpanne), betroffene kritische Dienste (jeder Dienst auf unserer Kritikalitätsliste), wirtschaftliche Auswirkungen (geschätzt über [X] EUR). Wenn ein Kriterium erfüllt ist, klassifizieren Sie als SCHWERWIEGEND und lösen Sie die 4-Stunden-Meldung aus. Bei Grenzfällen eskalieren Sie an [Rolle] für eine Klassifizierungsentscheidung. Wenn keine Kriterien erfüllt sind, klassifizieren Sie als nicht schwerwiegend und folgen Sie dem Standard-Vorfallprozess. Geben Sie Anleitungen für Situationen mit unvollständigen Informationen."

Nachverfolgung nicht schwerwiegender Vorfälle

Während nur schwerwiegende Vorfälle eine regulatorische Meldung erfordern, verlangt die DORA, dass Sie alle IKT-bezogenen Vorfälle erfassen und analysieren:

"Erstellen Sie ein Verfahren zur Nachverfolgung und Analyse nicht schwerwiegender IKT-Vorfälle für die DORA-Compliance. Enthalten sein sollen: Aufzeichnungsanforderungen für alle IKT-Vorfälle (Vorlagen für das Vorfallsregister), Methodik der Trendanalyse (Identifizierung von Mustern, die auf systemische Probleme hindeuten könnten), Eskalationskriterien (wenn die Häufung nicht schwerwiegender Vorfälle auf ein schwerwiegendes Problem hindeutet), regelmäßige Berichterstattung an die Geschäftsleitung (Häufigkeit, Format, Inhalt) und Integration in den kontinuierlichen Verbesserungsprozess gemäß Artikel 13. Stellen Sie eine Vorlage für einen vierteljährlichen Vorfalltrendbericht bereit."

Schritt 3: Erstellen Sie regulatorische Meldevorlagen (Artikel 19-20)

Vorlage für die Erstmeldung (4 Stunden)

Die Erstmeldung muss innerhalb von 4 Stunden nach Klassifizierung eines Vorfalls als schwerwiegend bei Ihrer zuständigen Behörde eingereicht werden. Erstellen Sie vorab ausgefüllte Vorlagen, um diese Frist einzuhalten:

1. Generieren Sie die Vorlage für die Erstmeldung:

   "Erstellen Sie eine Vorlage für die Erstmeldung von Vorfällen gemäß DORA Artikel 19 (4-Stunden-Frist). Füllen Sie sie mit standortbezogenen Organisationsdaten vor. Enthalten sein sollen Felder für: Identifikation der meldenden Stelle (Name, LEI, Unternehmenstyp, zuständige Behörde), Vorfallkennung und Klassifizierungsdatum/-uhrzeit, Vorfallbeschreibung (was ist passiert, erste Zeitachse), Klassifizierungsbegründung (welche Kriterien für schwerwiegend erfüllt sind, mit Nachweisen), betroffene Dienste und erste Auswirkungsbewertung, Anzahl der potenziell betroffenen Kunden (Schätzung, falls exakte Zahl nicht bekannt), geografischer Umfang, erste Eindämmungsmaßnahmen, geschätzte Dauer, falls bekannt, Kontaktdaten für Rückfragen und Indikator für grenzüberschreitende Auswirkungen. Gestalten Sie die Vorlage so, dass sie in weniger als 60 Minuten mit den zum Zeitpunkt der Klassifizierung verfügbaren Informationen ausgefüllt werden kann. Fügen Sie Hinweise zu jedem Feld hinzu."

2. Generieren Sie die Vorlage für den Zwischenbericht (72 Stunden):

   "Erstellen Sie eine Vorlage für den Zwischenbericht zu Vorfällen gemäß DORA Artikel 19 (72-Stunden-Frist). Enthalten sein sollen Felder für: Verweis auf die Erstmeldung, aktualisierte Vorfallzeitachse, aktualisierte Auswirkungsbewertung (betroffene Kunden, finanzielle Auswirkungen, Datenauswirkungen), Ursachenanalyse (vorläufige Ergebnisse), umgesetzte Eindämmungs- und Abhilfemaßnahmen, Wiederherstellungsstatus und geschätzter Zeitplan, etwaige Änderungen der Vorfallklassifizierung, durchgeführte Kommunikationsmaßnahmen (Kunden, Gegenparteien, Öffentlichkeit), Einbindung externer Parteien (Strafverfolgungsbehörden, Forensik-Anbieter), aktualisierte Risikobewertung und etwaige angeforderte aufsichtsrechtliche Maßnahmen. Geben Sie Hinweise zur Bereitstellung einer aussagekräftigen Ursachenanalyse, auch wenn die Untersuchung noch andauert."

3. Generieren Sie die Vorlage für den Abschlussbericht (1 Monat):

   "Erstellen Sie eine Vorlage für den Abschlussbericht zu Vorfällen gemäß DORA Artikel 19 (1-Monats-Frist). Enthalten sein sollen umfassende Abschnitte für: vollständige Vorfallzeitachse (von der Erkennung bis zur Lösung), bestätigte Ursachenanalyse (technisch und organisatorisch), Gesamtauswirkungsbewertung (quantifizierte finanzielle Verluste, betroffene Kunden, gestörte Dienste, kompromittierte Daten), vollständige Beschreibung der Eindämmungs-, Beseitigungs- und Wiederherstellungsmaßnahmen, Wirksamkeitsbewertung bestehender Kontrollen, Behebungsplan (Maßnahmen, Verantwortliche, Fristen, Status), Lessons Learned und Framework-Verbesserungen, Benachrichtigung und Entscheidungen des Leitungsorgans, Einhaltung des regulatorischen Meldezeitplans und Querverweise auf verwandte Vorfälle. Dieser Bericht sollte für die aufsichtsrechtliche Prüfung geeignet sein und als Input für den Nachbereitungsprozess gemäß Artikel 13 dienen."

Einreichungsverfahren

Legen Sie klare Verfahren für die Einreichung von Berichten bei Ihrer zuständigen Behörde fest:

"Erstellen Sie ein Verfahren zur Einreichung von Vorfallberichten für DORA-regulatorische Meldungen. Enthalten sein sollen: Identifikation unserer zuständigen Behörde und ihres Meldewegs (Portal, E-Mail, API), Autorisierung der Einreichung (wer kann die Einreichung zu welcher Tageszeit genehmigen), Checkliste zur Qualitätsprüfung vor der Einreichung (Vollständigkeit, Genauigkeit, Konsistenz mit vorherigen Berichten), Bestätigung und Nachverfolgung der Einreichung, Verfahren zur Einreichung außerhalb der Geschäftszeiten (für die 4-Stunden-Frist), alternative Einreichungsmethoden, falls der primäre Meldeweg nicht verfügbar ist, Aufbewahrungsanforderungen (Kopien aller Einreichungen mit Zeitstempeln) und Verfahren zur Bearbeitung von aufsichtsrechtlichem Feedback gemäß Artikel 22. Berücksichtigen Sie das Szenario, in dem der Vorfall selbst unsere Fähigkeit zur Einreichung von Berichten beeinträchtigt."

Schritt 4: Aufbau von Eskalations- und Kommunikationsverfahren

Interne Eskalationsmatrix

Eine effektive Eskalation ist entscheidend, um die engen Fristen der DORA einzuhalten. Definieren Sie klare Eskalationspfade für jedes Szenario:

1. Generieren Sie die Eskalationsmatrix:

   "Erstellen Sie eine Eskalationsmatrix für IKT-Vorfälle für ein [entity type], die die DORA-Meldeanforderungen abdeckt. Definieren Sie Eskalationsstufen: Stufe 1 (SOC/IT-Betrieb): erste Erkennung und Triage, Stufe 2 (Incident-Response-Team): Untersuchung und Eindämmung, Stufe 3 (CISO/CRO): Entscheidung über die Klassifizierung als schwerwiegender Vorfall, Stufe 4 (Leitungsorgan): Meldung schwerwiegender Vorfälle, Genehmigung der regulatorischen Kommunikation. Für jede Stufe spezifizieren Sie: Eskalationskriterien (was die Eskalation zur nächsten Stufe auslöst), Eskalationszeitplan (maximale Zeit auf jeder Stufe vor Eskalation), Benachrichtigungsmethode und Kontaktdaten, bei der Eskalation bereitzustellende Informationen und Entscheidungsbefugnisse auf jeder Stufe. Fügen Sie Verfahren für die Eskalation außerhalb der Geschäftszeiten und Backup-Kontakte hinzu. Gestalten Sie die Matrix so, dass die Klassifizierung innerhalb von 2 Stunden nach Erkennung erfolgen kann."

2. Erstellen Sie Verfahren für die Kundenbenachrichtigung:

   "Entwickeln Sie Verfahren zur Kundenbenachrichtigung bei schwerwiegenden IKT-Vorfällen gemäß DORA. Enthalten sein sollen: Kriterien, wann Kunden benachrichtigt werden müssen, Zeitpunkt der Benachrichtigung im Verhältnis zur regulatorischen Meldung, Inhalt der Benachrichtigung (was offengelegt, was während der Untersuchung zurückgehalten wird), Kommunikationskanäle (E-Mail, Portal, Telefon für kritische Kunden), Vorlagen für Kundenbenachrichtigungen bei gängigen Vorfalltypen (Dienstausfall, Datenpanne, Systemdegradation), Häufigkeit der Folgekommunikation und Aufzeichnungsanforderungen. Berücksichtigen Sie Szenarien, in denen der Vorfall unsere Fähigkeit zur Kommunikation mit Kunden beeinträchtigt."

Benachrichtigung des Leitungsorgans

Artikel 5 verlangt, dass das Leitungsorgan über IKT-Vorfälle informiert wird. Definieren Sie, wie dies während Vorfällen geschieht:

"Erstellen Sie ein Verfahren zur Benachrichtigung des Leitungsorgans über Vorfälle gemäß DORA Artikel 5. Enthalten sein sollen: Auslöser für die Benachrichtigung (alle schwerwiegenden Vorfälle, bedeutende nicht schwerwiegende Vorfälle), Meldezeitplan (innerhalb von [X] Stunden nach Klassifizierung), Format der Benachrichtigung (strukturierte Briefing-Vorlage), Inhalt (Zusammenfassung des Vorfalls, Auswirkungsbewertung, Reaktionsmaßnahmen, Status der regulatorischen Meldung, Kundenauswirkungen, Medienrisiko), Entscheidungspunkte, die eine Eingabe des Leitungsorgans erfordern (öffentliche Kommunikation, Kundenentschädigung, regulatorische Zusammenarbeit), Häufigkeit der Folgeberichterstattung während andauernder Vorfälle und Präsentation der Nachbereitung und Lessons Learned nach dem Vorfall. Stellen Sie eine Vorlage für das Vorfall-Briefing des Leitungsorgans bereit."

Schritt 5: Integration in das bestehende Incident-Management

Abgleich der DORA-Anforderungen mit Ihren aktuellen Prozessen

Die meisten Finanzinstitute verfügen bereits über Incident-Management-Prozesse. Nutzen Sie ISMS Copilot, um die DORA-Anforderungen in Ihr bestehendes Framework zu integrieren, anstatt parallele Prozesse zu schaffen:

"Wir verwenden derzeit [ITIL/NIST/custom]-Incident-Management-Prozesse mit [beschreiben Sie aktuelle Tools: ServiceNow, Jira, PagerDuty, etc.]. Ordnen Sie die DORA-Anforderungen aus Artikel 17-23 unserem bestehenden Prozess zu. Identifizieren Sie: wo unser aktueller Prozess bereits die DORA erfüllt (Erkennung, Triage, Eindämmung, Wiederherstellung), wo wir DORA-spezifische Schritte hinzufügen müssen (Klassifizierung schwerwiegender Vorfälle, regulatorische Meldung, Kundenbenachrichtigung), notwendige Prozessanpassungen (Zeitplanverdichtung, Eskalationsverbesserungen), erforderliche Tool-Änderungen (Automatisierung der Klassifizierung, Berichtserstellung, Einreichungsnachverfolgung) und notwendige Dokumentationsaktualisierungen. Stellen Sie eine Gap-Analyse mit spezifischen Abhilfemaßnahmen bereit."

Automatisierung der Klassifizierung und Meldung

Angesichts der 4-Stunden-Frist sollten Automatisierungsmöglichkeiten in Betracht gezogen werden:

"Identifizieren Sie Möglichkeiten zur Automatisierung der DORA-Vorfallklassifizierung und -meldung für ein [entity type]. Berücksichtigen Sie: automatisierte Erfassung von Klassifizierungsdatenpunkten (Anzahl der betroffenen Kunden aus Überwachungssystemen, Service-Verfügbarkeitsmetriken, Auswirkungen auf das Transaktionsvolumen), automatisierte Vorabfüllung von Meldevorlagen aus Incident-Management-Tools, automatisierte Berechnung der Schwellenwerte für schwerwiegende Vorfälle, Workflow-Automatisierung für Eskalation und Benachrichtigungen, Integration zwischen SIEM/Incident-Plattform und Meldeworkflow, automatisierte Fristennachverfolgung und Erinnerungsalarme sowie automatisierte Zusammenstellung von Vorfallmetriken für Trendanalysen. Geben Sie Implementierungsempfehlungen, priorisiert nach Auswirkungen auf die 4-Stunden-Frist."

Schritt 6: Verfahren zur Ursachenanalyse

Strukturierte Methodik zur Ursachenanalyse

Die DORA verlangt eine Ursachenanalyse als Teil sowohl des Zwischenberichts (72 Stunden) als auch des Abschlussberichts (1 Monat). Legen Sie eine standardisierte Methodik fest:

1. Generieren Sie die RCA-Methodik:

   "Erstellen Sie eine Methodik zur Ursachenanalyse (Root Cause Analysis, RCA) für das DORA-IKT-Vorfall-Reporting. Enthalten sein sollen: Kriterien und Zeitpunkt für den Beginn der RCA (innerhalb von 24 Stunden nach Klassifizierung eines schwerwiegenden Vorfalls), Untersuchungsmethoden (5 Whys, Fischgräten-/Ishikawa-Diagramm, Fehlerbaumanalyse, Zeitachsenanalyse), Verfahren zur Beweissicherung und -aufbewahrung, technische Untersuchungsschritte (Log-Analyse, Forensik, Systemprüfung), organisatorische Untersuchungsschritte (Prozessüberprüfung, Einhaltung von Richtlinien, Angemessenheit der Schulungen), Kategorien für Ursachen (technisches Versagen, menschliches Versagen, Prozesslücken, Drittanbieter-Versagen, externer Angriff, Konstruktionsfehler), vorläufiger RCA-Prozess für den 72-Stunden-Zwischenbericht (strukturiert, auch bei unvollständigen Informationen), umfassender RCA-Prozess für den 1-Monats-Abschlussbericht, Qualitätsprüfung der RCA-Ergebnisse vor der Einreichung und Verknüpfung zwischen Ursachen und Behebungsmaßnahmen. Stellen Sie eine RCA-Berichtvorlage mit Beispielen bereit."

2. Erstellen Sie Verfahren zur Nachverfolgung von Behebungsmaßnahmen:

   "Entwickeln Sie ein Verfahren zur Nachverfolgung von Behebungsmaßnahmen nach Vorfällen für die DORA-Compliance. Enthalten sein sollen: wie Behebungsmaßnahmen aus RCA-Ergebnissen identifiziert werden, Methodik zur Priorisierung von Maßnahmen (kritisch, hoch, mittel basierend auf Risiko), Zuweisung von Maßnahmen (Verantwortlicher, Frist, Ressourcen), Fortschrittsverfolgung und -berichterstattung, Aufsicht des Leitungsorgans über den Fortschritt der Behebung, Überprüfung der Wirksamkeit von Behebungsmaßnahmen, Kriterien für den Abschluss von Behebungsmaßnahmen und Integration in das IKT-Risikoregister (Aktualisierung von Risikobewertungen basierend auf Vorfallserkenntnissen). Stellen Sie eine Vorlage für das Register zur Nachverfolgung von Behebungsmaßnahmen bereit."

Schritt 7: Meldung von Cyber-Bedrohungen (Artikel 23)

Freiwillige Bedrohungsmeldung

Artikel 23 ermutigt Finanzinstitute, ihre zuständigen Behörden über bedeutende Cyber-Bedrohungen zu informieren, selbst wenn diese noch nicht zu Vorfällen geführt haben. Legen Sie Verfahren für diese freiwillige Meldung fest:

"Erstellen Sie ein Verfahren zur Meldung bedeutender Cyber-Bedrohungen gemäß DORA Artikel 23. Enthalten sein sollen: Kriterien dafür, was eine 'bedeutende Cyber-Bedrohung' darstellt, die eine freiwillige Meldung rechtfertigt (erkannte, aber eingedämmte gezielte Angriffe, Informationen über bevorstehende Bedrohungen, Zero-Day-Schwachstellen, die kritische Systeme betreffen, Bedrohungsmuster im gesamten Sektor), interner Bewertungs- und Entscheidungsprozess (wer entscheidet über die Meldung), Vorlage für die Meldung von Cyber-Bedrohungen (anders als Vorfallberichte), zeitliche Erwartungen (nicht vorgeschrieben, sollte aber zeitnah erfolgen), Vertraulichkeitsaspekte und Einschränkungen beim Informationsaustausch sowie Vorteile der freiwilligen Meldung (aufsichtliches Wohlwollen, sektorenweiter Schutz, Informationsaustausch). Stellen Sie Entscheidungskriterien und eine Meldevorlage bereit."

Schritt 8: Testen Sie Ihre Incident-Reporting-Fähigkeit

Tabletop-Übungen und Simulationen

Ihre Verfahren zur Vorfallsklassifizierung und -meldung müssen getestet werden, bevor ein echter Vorfall eintritt. Nutzen Sie ISMS Copilot, um realistische Übungen zu entwerfen:

1. Entwerfen Sie Szenarien für Tabletop-Übungen:

   "Entwerfen Sie drei Szenarien für Tabletop-Übungen, um unsere DORA-Vorfallsklassifizierungs- und Meldeverfahren zu testen. Jedes Szenario sollte: realistisch für ein [entity type] sein, sich über mehrere Phasen erstrecken (Erkennung, Eskalation, Eindämmung, Meldung), die Entscheidung zur Klassifizierung als schwerwiegender Vorfall testen, den 4-Stunden-Erstmeldungsprozess von Anfang bis Ende testen, Komplikationen enthalten (unvollständige Informationen, Erkennung außerhalb der Geschäftszeiten, mehrere gleichzeitige Probleme), Auslöser für die Kundenkommunikation testen und die Benachrichtigung des Leitungsorgans erfordern. Die Szenarien sollten abdecken: (1) Ransomware-Angriff auf kritische Bank-/Zahlungssysteme, (2) Ausfall eines Cloud-Anbieters, der mehrere Dienste betrifft, (3) Datenpanne, die durch eine externe Benachrichtigung entdeckt wird. Für jedes Szenario stellen Sie einen Leitfaden für den Übungsleiter mit Zeitplan für die Eingaben, erwarteten Teilnehmeraktionen und Bewertungskriterien bereit."

2. Erstellen Sie ein Bewertungsframework für Übungen:

   "Erstellen Sie ein Bewertungsframework für DORA-Incident-Reporting-Tabletop-Übungen. Bewerten Sie: Zeit von der Erkennung bis zur Klassifizierung (Ziel unter 2 Stunden), Zeit von der Klassifizierung bis zur Einreichung der Erstmeldung (Ziel unter 4 Stunden), Genauigkeit der Klassifizierungsentscheidung, Vollständigkeit der Erstmeldung, Qualität der Eskalation und Kommunikation, Wirksamkeit der Benachrichtigung des Leitungsorgans, Angemessenheit der Kundenkommunikation, Qualität der Dokumentation und Koordination des Teams. Stellen Sie einen Bewertungsbogen und eine Vorlage für den Nachbereitungsbericht bereit."

Nächste Schritte

Sie verfügen nun über eine umfassende DORA-Incident-Reporting-Fähigkeit:

• Vorfallmanagement-Prozess, integriert mit Erkennungsfähigkeiten
• Klassifizierungsmatrix mit quantitativen Schwellenwerten für schwerwiegende Vorfälle
• Dreistufige regulatorische Meldevorlagen (4 Stunden, 72 Stunden, 1 Monat)
• Eskalationsmatrix mit klaren Entscheidungsbefugnissen und Fristen
• Methodik zur Ursachenanalyse mit Nachverfolgung von Behebungsmaßnahmen
• Verfahren zur Meldung von Cyber-Bedrohungen
• Getestete Verfahren durch Tabletop-Übungen

Fahren Sie mit den nächsten Leitfäden dieser DORA-Reihe fort:

• Wie Sie DORA-Resilienztests mithilfe von KI planen – Entwerfen Sie Ihr Testprogramm, einschließlich Szenarien, die Ihre Incident-Response- und Meldefähigkeiten validieren
• Wie Sie DORA-Drittanbieter-IKT-Risiken mithilfe von KI managen – Stellen Sie sicher, dass Ihre Drittanbieter Ihre Incident-Reporting-Verpflichtungen mit angemessenen Meldeklauseln und SLAs unterstützen können

Für die grundlegende Einrichtung siehe Wie Sie mit der DORA-Implementierung mithilfe von KI beginnen. Für das IKT-Risikomanagement-Framework, das dem Incident-Management zugrunde liegt, siehe Wie Sie ein DORA-IKT-Risikomanagement-Framework mithilfe von KI aufbauen.

Für gebrauchsfertige Prompts siehe die DORA-Compliance-Prompt-Bibliothek. Für den vollständigen regulatorischen Überblick verweisen Sie auf den DORA-Compliance-Leitfaden für Finanzinstitute.

Hilfe erhalten

Für zusätzliche Unterstützung bei der Implementierung des DORA-Incident-Reportings:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren DORA-Arbeitsbereich, um szenariospezifische Klassifizierungshinweise zu generieren und Meldevorlagen für Ihren Unternehmenstyp anzupassen
• Laden Sie bestehende Verfahren hoch: Erhalten Sie eine gezielte Gap-Analyse, indem Sie Ihren aktuellen Incident-Response-Plan zum Vergleich mit DORA Artikeln 17-23 hochladen
• Simulieren Sie Meldungen: Nutzen Sie ISMS Copilot, um Mock-Vorfallszenarien durchzugehen und das Ausfüllen von Meldevorlagen unter Zeitdruck zu üben
• Validieren Sie Ausgaben: Überprüfen Sie alle Klassifizierungskriterien und Meldevorlagen anhand des DORA-Verordnungstextes und der relevanten Regulatory Technical Standards vor der formalen Übernahme