DORA · Art. 17-18
DORA-018-MELDUNG
DORA-Meldeprozess mit Fristen, Verantwortlichen und Meldevorlagen implementieren
Anforderung
Erstmeldung erheblicher IKT-Vorfälle innerhalb von 4 Stunden nach Klassifizierung, Zwischenbericht nach 72 Stunden, Abschlussbericht nach 1 Monat.
Fundstelle
DORA Art. 17-18
Gap-Check
Sind die DORA-Meldefristen (4h Erstmeldung, 72h Zwischenbericht, 1 Monat Abschluss) in einem dokumentierten Prozess mit Verantwortlichen verankert?
Wenn ja
Prozess regelmäßig üben. Kontaktdaten BaFin/EZB aktuell halten.
Teilweise
Fristen bekannt, aber kein gelebter Prozess mit Verantwortlichen.
Wenn nein
Keine definierten Fristen – Meldungsversäumnis ist direkter Bußgeldtatbestand.
Maßnahme
- Vorfallmanager als Single Point of Contact für Meldungen definieren
- Meldevorlagen für alle drei Meldephasen erstellen
- Automatischen Timer/Alert nach Vorfallklassifizierung einrichten
- Jährliche Übung des Meldeprozesses (Tabletop)
Aufwand
gering
Schätzung
1 bis 3 Personentage (Meldefristen-Prozess + Übung)
Zeithorizont
sofort
Hilfsmittel
Meldevorlagen, BaFin-Meldeportal, Incident-Tracking
Vertiefung
DORA für Nicht-Finanzexperten, Kap. 4.3 – Meldefähigkeit herstellen
Risiko
Versäumte DORA-Meldung: direkte Sanktionierung durch BaFin ohne Ermessenspielraum.
Eintritt
2 von 5
Auswirkung
5 von 5
Bußgeldrahmen
5.000.000 EUR oder 1% des weltweiten Tagesumsatzes
DORA Art. 50 – täglich bis zur Behebung möglich
Control und Nachweis
Control
Dokumentierter Meldeprozess mit Fristen-Tracking, Vorlagen und jährlicher Übung
Art
organisatorisch
Dringlichkeit
sofort
Nachweis
Meldeprozess + Meldevorlagen + Übungsprotokoll
Vorlage
DORA Meldeprozess
Verknüpfungen
Querverweise
NIS-2 Art. 23, ISO 27001 A.16.1.2
ISO 27001:2022
A.16.1.2, A.16.1.3, A.16.1.6 (teilweise)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json