Das erste DORA-Meldekriterium heißt „Kritikalität der betroffenen Dienste“

Die meisten lesen das als: Der Vorfall betrifft eine kritische oder wichtige Funktion . Das stimmt.

Die meisten lesen das als: Der Vorfall betrifft eine kritische oder wichtige Funktion.

Das stimmt.
Aber nur zur Hälfte.
Und genau das kann zur Fehlklassifizierung führen!

Vor wenigen Tagen hat die BaFin ihre erste Auswertung zu den schwerwiegenden IKT-Vorfällen 2025 vorgelegt.

Doch was, wenn diese Zahl gar nicht die tatsächliche Anzahl schwerwiegender Vorfälle widerspiegelt, sondern vielmehr zeigt, wie unterschiedlich Unternehmen die DORA-Kriterien auslegen?

Denn die Einstufung „schwerwiegend“ hat mit der Incident-Bewertung, die IT-Teams seit vielen Jahren gewohnt sind, wenig gemein.

Hinter der Einstufung steckt vielmehr ein komplexes, aufsichtsrechtlich geprägtes Schema und schon das erste Meldekriterium („Kritikalität der betroffenen Dienste„) wird häufig missverstanden.

Es beschreibt nicht die Bedeutung von IT-Services oder IT-Anwendungen sondern ist erfüllt, wenn der Vorfall einer von drei Fällen ist:

1. ein Cybersicherheits-Angriff
2. ein Vorfall, der eine kritische oder wichtige Funktion trifft
3. ein Vorfall bei einer lizenzierten Tätigkeit.

Wer den Name des Kriteriums wörtlich nimmt, stuft schon hier falsch ein.

Und danach wird es nicht leichter, denn fast jede Bewertung hängt an einem „wahrscheinlich“: Betrifft der Vorfall wahrscheinlich mehr als 10 Prozent der Kunden? Dauert er wahrscheinlich länger als 2 Stunden? Wird er wahrscheinlich in den Medien landen… Das schätzt man, während der Vorfall noch läuft…

Deshalb stellt sich für mich eine zentrale Frage: Spiegeln die 733 gemeldeten Vorfälle tatsächlich die Zahl schwerwiegender IKT-Vorfälle wider? Oder nur, wie Finanzunternehmen und ihre IKT-Dienstleister das Schema jeweils auslegen?

Ich vermute eher Letzteres.

Denn die eigentliche Herausforderung steckt nicht in der Meldung selbst, sondern in den aufsichtsrechtlichen Bewertungskriterien.

Aus genau diesem Grund habe ich bereits vor einiger Zeit eine schematische Darstellung zur Vorfallsklassifizierung erstellt und diese jetzt noch einmal überarbeitet. Vielleicht hilft sie dem einen oder anderen dabei, die Logik hinter der Einstufung besser nachzuvollziehen 😊