{
  "bam_id": "DORA-017-KLASSIFIZIERUNG",
  "regulation": "DORA",
  "article": "Art. 17-18",
  "status": "ausstehend",
  "tags": [
    "klassifizierung",
    "incident",
    "meldung"
  ],
  "cross_refs": [
    "NIS-2 Art. 23",
    "CRA Art. 14",
    "ISO 27001 A.16.1"
  ],
  "requirement": {
    "text": "Klassifizierung von IKT-Vorfällen nach DORA-Kriterien und strukturierte Meldepflichten an BaFin/EZB mit definierten Fristen.",
    "source": "DORA Art. 17-18",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Existiert ein dokumentierter Vorfallklassifizierungsrahmen mit DORA-Kriterien und sind Meldeprozesse an BaFin/EZB mit Vorlagen und Fristen implementiert?",
    "if_yes": "Klassifizierungskriterien regelmäßig mit aktuellen DORA-RTS abgleichen.",
    "if_no": "Kein Klassifizierungsrahmen – Vorfälle werden falsch bewertet oder zu spät gemeldet.",
    "if_partial": "Rahmen vorhanden aber keine vorbereiteten Meldevorlagen oder Fristen unklar."
  },
  "remediation": {
    "summary": "DORA-Vorfallklassifizierung und Meldeprozess aufbauen",
    "steps": [
      "DORA-Klassifizierungskriterien aus RTS/ITS in internen Katalog übersetzen",
      "Schwellenwerte für erhebliche Vorfälle definieren",
      "Meldevorlagen für Erstmeldung, Zwischenbericht und Abschlussbericht erstellen",
      "BaFin-Kontaktdaten und Meldekanal hinterlegen"
    ],
    "effort": "mittel",
    "deadline": "kurzfristig",
    "tools": [
      "Klassifizierungs-Matrix",
      "Meldevorlagen",
      "BaFin-Kontakte"
    ],
    "book_reference": {
      "book": "DORA für Nicht-Finanzexperten",
      "chapter": "Kap. 4.2 – Klassifizierung von Incidents"
    },
    "cost_estimate": {
      "pt_min": 3,
      "pt_max": 6,
      "note": "Klassifizierungsrahmen + Meldevorlagen"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 5,
    "score": 8,
    "description": "Falsche Klassifizierung oder Meldungsversäumnis führt zu direkten Bußgeldern durch BaFin.",
    "regulatory_fine": {
      "max_eur": 5000000,
      "max_pct": "1% des weltweiten Tagesumsatzes",
      "basis": "DORA Art. 50 – täglich bis zur Behebung möglich"
    }
  },
  "control": {
    "measure": "DORA-Vorfallklassifizierungsrahmen mit Meldevorlagen und definierten Eskalationspfaden",
    "priority": "sofort",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Klassifizierungsrahmen + Meldevorlagen + Meldungsprotokoll",
    "template": "DORA Incident-Klassifizierung und Meldeprozess",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.16.1.1",
      "A.16.1.2",
      "A.16.1.3",
      "A.16.1.4",
      "A.16.1.5"
    ],
    "coverage": "teilweise",
    "note": "ISO A.16 Vorfallmanagement deckt Klassifizierungsrahmen ab. DORA-Meldefristen an BaFin/EZB sind sektorspezifisch und gehen über ISO hinaus."
  },
  "iso27001_2022_controls": [
    "5.24",
    "5.25",
    "5.27"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/DORA-017-KLASSIFIZIERUNG",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}