FAQ · DORA in der Praxis
Welche IKT-Vorfälle muss ein Haus nach DORA melden, an wen und in welchen Fristen?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Zu melden ist jeder als schwerwiegend eingestufte Vorfall. In Deutschland gehen die Meldungen an die BaFin. Sie leitet sie an alle weiteren zuständigen Behörden weiter, unter anderem an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Wer unter DORA fällt, ist von der sonst geltenden Meldepflicht nach § 32 BSIG befreit.
Die Meldung umfasst Erst-, Zwischen- und Abschlussmeldung. Nach den Angaben der BaFin und den technischen Standards der europäischen Aufsichtsbehörden gelten diese Fristen. Die Erstmeldung erfolgt grundsätzlich spätestens vier Stunden, nachdem der Vorfall als schwerwiegend klassifiziert wurde. Zugleich gilt eine Frist von spätestens 24 Stunden nach der Entdeckung. Die Zwischenmeldung folgt nach 72 Stunden. Die Abschlussmeldung folgt nach einem Monat.
Die IKT-Drittdienstleister selbst sind nicht meldepflichtig. Löst ein Vorfall bei einem Dienstleister ein relevantes Ereignis beim Finanzunternehmen aus, gilt die Meldepflicht des Finanzunternehmens.
Belege
- IKT-bezogene Vorfälle: Behandlung, Klassifizierung und Berichterstattung, BaFin
- IKT-bezogene Vorfälle: Einreichung der Meldung, BaFin
- IKT-bezogene Vorfälle: zentraler Melde-Hub, BaFin
- IKT-bezogene Vorfälle, Befreiung von der Meldepflicht nach dem BSIG, BaFin
- Transparenz dank Meldepflicht, BaFin
- FAQs zu DORA, Meldewesen, Fristen, BaFin
- Joint Technical Standards on major incident reporting, EBA
- FAQs zu DORA, Meldepflicht der Dienstleister, BaFin