Es ist Januar 2025, und die DORA-Werkstatt läuft weiterhin auf Hochtouren! 😅

Mein aktuelles Thema: IKT-bezogenes Vorfallsmanagement – ein Bereich, der viele von uns so kurz vor dem offiziellen Startschuss beschäftigen dürfte. Die DORA-Verordnung fordert umfassende Prozesse und Werkzeuge zur Erkennung, Behandlung und Meldung schwerwiegender IKT-bezogener Vorfälle.

Mein aktuelles Thema: IKT-bezogenes Vorfallsmanagement – ein Bereich, der viele von uns so kurz vor dem offiziellen Startschuss beschäftigen dürfte.

Die DORA-Verordnung fordert umfassende Prozesse und Werkzeuge zur Erkennung, Behandlung und Meldung schwerwiegender IKT-bezogener Vorfälle. Dabei verschwimmen die Grenzen zwischen dem, was wir bislang unter IT-Incident Management (vgl. BAIT Tz. 8.6), Notfallmanagement (vgl. MaRisk AT 7.3) und IT-Notfallmanagement (vgl. BAIT Tz. 10) verstanden haben.

Die Konzepte hinter den neuen Begriffen „IKT-bezogenes Vorfallsmanagement“ und „Management der IKT-Geschäftsfortführung“ sind zwar bekannt, doch die DORA-Verordnung verlangt nun eine deutlich engere Verzahnung dieser Disziplinen. Das zeigt sich beispielsweise in folgenden Punkten:

• Es wird verlangt, dass für IKT-bezogene Vorfälle Reaktionsmaßnahmen definiert werden, um eine schnelle Wiederherstellung der Systeme zu gewährleisten (vgl. Art. 17 (3f) DORA).
• Bei der Wiederherstellung nach IKT-bezogenen Vorfällen muss zudem überprüft werden, ob die Datenintegrität sichergestellt ist (vgl. Art. 12 (7) DORA).
• Darüber hinaus sind nach schwerwiegenden IKT-bezogenen Vorfällen die Ursachen der Unterbrechungen zu untersuchen, um Verbesserungspotenziale für die IKT-Geschäftsfortführungsleitlinie abzuleiten (vgl. Art. 13 (2) DORA).

Diese drei Beispiele verdeutlichen, wie eng das IKT-bezogene Vorfallsmanagement und das Management der IKT-Geschäftsfortführung miteinander verknüpft sind.

Das bedeutet aber auch, dass wir nun die Terminologie und die zentralen Konzepte und Ideen dieser Disziplinen umso besser erklären müssen, um eine korrekte Handhabung, Klassifikation und Meldung der Vorfälle sicherzustellen.

Aus diesem Grund habe ich eine neue Übersicht zu den wesentlichen Begriffen und Zeitvorgaben nach DORA erstellt, die eng an den BSI-Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik angelehnt ist. Ich hoffe, diese Darstellung hilft euch, die Begriffswelt in beiden Disziplinen zu erklären und die richtigen Maßnahmen für eure DORA-Projekte abzuleiten.

Einen guten Start in die Woche und bis bald 😀