ich habe ein weiteres tolles DORA-Hilfsmittel vorbereitet: ein Klassifizierungsschema für IKT-bezogene Vorfälle, das auch für Nicht-Expert:innen verständlich ist

Liebe DORA-Community, ich habe ein weiteres tolles DORA-Hilfsmittel vorbereitet: ein Klassifizierungsschema für IKT-bezogene Vorfälle , das auch für Nicht-Expert:innen verständlich ist. Die Grundlage dieses Schemas bilden die Anforderungen gemäß Artikel 18 (1) und Artikel 19 (1) der DORA-Verordnung sowie dem RTS zur Klassifikation von IKT-bezogenen Vorfällen.

Liebe DORA-Community,

ich habe ein weiteres tolles DORA-Hilfsmittel vorbereitet: ein Klassifizierungsschema für IKT-bezogene Vorfälle, das auch für Nicht-Expert:innen verständlich ist.

Die Grundlage dieses Schemas bilden die Anforderungen gemäß Artikel 18 (1) und Artikel 19 (1) der DORA-Verordnung sowie dem RTS zur Klassifikation von IKT-bezogenen Vorfällen.

Eine Frage hat mich jedoch länger beschäftigt, als ich zunächst dachte. Es geht um die Feststellung der meldepflichtigen „schwerwiegenden IKT-bezogenen Vorfälle“. Eine Grundvoraussetzung dafür ist, dass ein Vorfall das Kriterium der „Kritikalität der betroffenen Dienste“ gemäß Artikel 6 des RTS erfüllt. Nach meinem Verständnis fallen unter dieses Kriterium drei verschiedene Vorfallsarten:

1. IKT-Vorfälle mit Auswirkungen auf kritisch-wichtige Funktionen (KWF)
2. Vorfälle mit Auswirkungen auf lizenzierte Tätigkeiten
3. Cybersicherheitsangriffe

In vielen Quellen wird jedoch nur die Kategorie der Vorfälle mit Bezug zu kritisch-wichtigen Funktionen (1️⃣) in die Prüfung zur Meldepflicht einbezogen. Das erscheint mir nicht richtig zu sein, da Artikel 6 nicht nur Vorfälle mit KWF-Relevanz nach Artikel 6(a) berücksichtigt, sondern auch die beiden anderen Vorfallsarten gemäß Artikel 6(b) und 6(c).

Ich freue mich sehr auf eure Einschätzungen und bin auf eine hoffentlich aufschlussreiche Diskussion gespannt! 😊