DORA ICT Incident Management: Erkennung & Meldung von IKT-Vorfällen

Die Meldepflicht ist nur ein Teilaspekt: Incident-Management umfasst zusätzlich die interne Klassifikation, Eindämmung, Ursachenanalyse und Nachbereitung eines Vorfalls, unabhängig davon, ob er die Meldeschwelle erreicht. Ein Vorfall, der nicht meldepflichtig ist, sollte trotzdem strukturiert bearbeitet werden, da er ein Frühindikator für größere Probleme sein kann.

Ein Sicherheitsereignis ist zunächst nur eine beobachtete Auffälligkeit, die noch keine bestätigte negative Auswirkung haben muss. Ein IKT-Vorfall im Sinne von Art. 17 liegt vor, sobald eine tatsächliche Beeinträchtigung von Verfügbarkeit, Vertraulichkeit, Integrität oder Authentizität von Daten oder Diensten festgestellt wird. Diese Abgrenzung entscheidet, ob der formale Incident-Prozess ausgelöst wird.

Vorgeschrieben ist ein dokumentierter Prozess mit klaren Verantwortlichkeiten für Erkennung, Klassifikation, Eindämmung und Meldung, der auch die Kommunikation mit betroffenen Kunden und relevanten Behörden regelt. Ein Prozess, der nur auf dem Papier existiert, aber im Ernstfall nicht eingeübt wurde, führt in der Praxis häufig zu Verzögerungen genau dann, wenn schnelles Handeln am wichtigsten ist.

Eine strukturierte Erfassung vergangener Vorfälle, auch der nicht meldepflichtigen, macht wiederkehrende Schwachstellen oder Angriffsmuster sichtbar, die bei isolierter Betrachtung einzelner Vorfälle unentdeckt blieben. Diese Auswertung liefert oft wertvollere Erkenntnisse für die Risikosteuerung als die Analyse eines einzelnen, isolierten Ereignisses.

Nach der akuten Bearbeitung sollte eine strukturierte Nachbereitung stattfinden, die nicht nur die technische Ursache, sondern auch organisatorische Faktoren wie Reaktionsgeschwindigkeit und Kommunikationswege bewertet. Die daraus abgeleiteten Verbesserungen sollten dokumentiert und ihre Umsetzung nachverfolgt werden, statt die Erkenntnisse nur im Abschlussbericht festzuhalten, ohne sie umzusetzen.

Notwendig sind klar benannte Verantwortliche für die Erstbewertung eines Ereignisses, ein Eskalationsweg zum Leitungsorgan bei schwerwiegenden Vorfällen, sowie ausreichende technische Kapazität für forensische Analysen. Kleinere Unternehmen lösen das häufig über externe Incident-Response-Dienstleister, die im Bedarfsfall kurzfristig hinzugezogen werden.