FAQ · DORA in der Praxis
Wer meldet nach DORA einen schwerwiegenden IKT-Vorfall und wie bereiten Sie die Meldekette vor?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Finanzunternehmen müssen einen Managementprozess für die Überwachung, Protokollierung und gegebenenfalls Meldung von IKT-bezogenen Vorfällen einrichten und jeden Vorfall anhand bestimmter Kriterien klassifizieren. Melden müssen Sie jeden Vorfall, den Sie als schwerwiegend einstufen.
In Deutschland reichen Finanzunternehmen unter Aufsicht der BaFin ihre Vorfallsmeldungen bei der BaFin ein. Benennen Sie in der Geschäftsleitung einen Verantwortlichen für die Freigabe der Meldung, legen Sie vorab fest, wer klassifiziert, wer meldet und wer vertritt, und halten Sie die Kriterien als Entscheidungsblatt bereit.
In der Praxis
Wir legen für jeden Schritt der Meldekette einen Verantwortlichen und eine Vertretung fest und halten die Kriterien als Entscheidungsblatt bereit.
- Klassifizierung, Meldung und Vertretung sind namentlich besetzt.
- Das Entscheidungsblatt liegt den Beteiligten vor.
- Die Meldekette wird in einer Übung erprobt.
Nachweis: Als Nachweis dient das Entscheidungsblatt mit Besetzungsliste und dem Protokoll der letzten Übung.