DORA-Vorfallreaktion: Ein Planspiel für das Leitungsorgan

1. Prüfen Sie Entscheidungen statt auswendig gelernter Vorschriften

Die schwierige Entscheidung für das Leitungsorgan bei einem schwerwiegenden Technologievorfall lautet selten: „Sollten wir das ernst nehmen?“ Eher geht es darum, ob eine geschäftliche Dienstleistung eingestellt, mit eingeschränkten Kontrollen weitergearbeitet, eine Notfallalternative finanziert oder eine Stellungnahme an Kunden abgegeben werden soll, obwohl die Fakten noch unvollständig sind. Eine Stabsübung macht diese Spannungen vor einem realen Vorfall sichtbar.

Die Artikel 17–19 von DORA behandeln das Vorfallmanagement, die Klassifizierung und die Meldung von Vorfällen. Artikel 17 sieht eine Eskalation an die zuständige höhere Führungsebene sowie die Unterrichtung des Leitungsorgans über schwerwiegende Vorfälle, deren Auswirkungen, die Reaktion darauf und zusätzliche Kontrollmaßnahmen vor. Dadurch übernimmt das Leitungsorgan nicht die operative Leitung der Vorfallbewältigung. Die Übung sollte prüfen, ob Zuständigkeiten und Eskalationswege ineinandergreifen.

Legen Sie drei praktische Ergebnisse fest: eine klare Entscheidung mit einer verantwortlichen Person, eine Meldeaufgabe mit einer dafür rechenschaftspflichtigen Person und eine Dokumentation der zum damaligen Zeitpunkt verfügbaren Fakten. Werten Sie die Übung nicht allein deshalb als bestanden, weil alle teilgenommen haben. Ein nützliches Ergebnis kann die Erkenntnis sein, dass bei einem Ausfall des Systems zur Identitätsverwaltung niemand auf das Meldeportal zugreifen kann.

Die nachstehende Übung ist fiktives Schulungsmaterial. Sie ersetzt weder technische Wiederherstellungstests noch ein vollständiges Resilienz-Testprogramm oder bedrohungsorientierte Penetrationstests. Die Dauer von 90 Minuten ist ein empfohlener Rahmen, kein aufsichtsrechtliches Minimum.

2. Trennen Sie Einstufung, Dringlichkeit und Eskalation an das Leitungsorgan

Ein Vorfall kann die Aufmerksamkeit der Führungsebene erfordern, bevor seine regulatorische Einstufung feststeht. Umgekehrt kann ein meldepflichtiger schwerwiegender Vorfall eine rasche Meldung erfordern, während die Wiederherstellungsarbeiten bereits erfolgreich verlaufen. Machen Sie keine der beiden Entscheidungen davon abhängig, ob die vorsitzende Person zur Freigabe einer Pressemitteilung verfügbar ist.

Die ausführlichen Einstufungsregeln stehen in der Delegierten Verordnung (EU) 2024/1772. Artikel 8 verknüpft die Betroffenheit kritischer Dienste mit bestimmten Wesentlichkeitskriterien; nicht jeder technische Ausfall ist automatisch ein schwerwiegender Vorfall. Die Regeln berücksichtigen auch wiederkehrende Vorfälle. Verwenden Sie ein freigegebenes Arbeitsblatt zur Einstufung, das die tatsächlichen Kriterien und Schwellenwerte anwendet, statt während der Sitzung eine Ampelbewertung zu improvisieren.

Übertragen Sie für die Übung einer teilnehmenden Person aus dem Compliance- oder Risikobereich die Verantwortung für die Einstufungsempfehlung und die zugrunde liegenden Fakten. Übertragen Sie der Einsatzleitung die Verantwortung für die operativen Prioritäten. Betrauen Sie eine zur Meldung befugte Person mit der Vorbereitung und Einreichung der betreffenden Meldung. Ihre tatsächliche Verteilung der Befugnisse kann davon abweichen; halten Sie sie vor der ersten Einspielung in die Übung schriftlich fest.

• Was ist über betroffene Dienste, Kunden, Transaktionen und Daten bekannt?
• Was ist eine Schätzung, wie wird sie begründet und wann wird sie aktualisiert?
• Welche Klassifizierungskriterien sind erfüllt, nicht erfüllt oder noch unklar?
• Wer kann entscheiden und handeln, wenn die übliche verantwortliche Person nicht verfügbar ist?

Erfassen Sie den tatsächlichen Zeitpunkt der Kenntnisnahme und den Zeitpunkt der Einstufung getrennt. Eine spätere Unterrichtung der Führungskräfte setzt die ab Kenntnisnahme laufende Frist nicht zurück. Auch die Feststellung eines Vorfalls und seine Einstufung als schwerwiegend sind unterschiedliche Ereignisse, deren zeitliche Abfolge genau dokumentiert werden muss.

3. Üben Sie die Anwendung der Meldefristen anhand eines durchgerechneten Beispiels

Die folgende Zusammenfassung betrifft die Meldung schwerwiegender IKT-bezogener Vorfälle gemäß Artikel 5 der Delegierten Verordnung (EU) 2025/301. Ziehen Sie bei einem Vorfall den maßgeblichen Gesetzestext heran und befolgen Sie das Meldeverfahren Ihrer zuständigen Behörde.

In unserem fiktiven Beispiel wird der Vorfall am Dienstag um 09:00 Uhr bekannt und um 10:00 Uhr als schwerwiegend eingestuft. Die reguläre Frist für die Erstmeldung endet am Dienstag um 14:00 Uhr; die Pflicht, so früh wie möglich zu melden, gilt weiterhin. Wird die Erstmeldung am Dienstag um 11:30 Uhr eingereicht, endet die 72-Stunden-Frist für den Zwischenbericht am Freitag um 11:30 Uhr. Eine spätere Aktualisierung des Zwischenberichts verändert den Bezugspunkt für die einmonatige Frist des Abschlussberichts. Ein Monat bedeutet nicht 30 Tage.

Es gibt keine pauschale Aussetzung der Fristen am Wochenende. Soweit anwendbar, erlaubt Artikel 5(4) die Einreichung bis zum Mittag des nächsten Arbeitstags, wenn die Frist auf ein Wochenende oder einen gesetzlichen Feiertag im Mitgliedstaat des meldenden Unternehmens fällt. Absatz 5 nimmt Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und anderen Finanzunternehmen, die nach NIS2 als wesentlich oder wichtig eingestuft sind, von dieser Erleichterung aus. Nach Absatz 6 können Behörden auch andere bedeutende oder systemrelevante Unternehmen nach entsprechender Benachrichtigung davon ausnehmen; diese Entscheidung gilt für Vorfälle, die nach der Benachrichtigung gemeldet werden. Prüfen Sie die Anwendbarkeit, bevor Sie sich auf die Erleichterung berufen.

Wenn Sie eine Frist nicht einhalten können, informieren Sie die zuständige Behörde unverzüglich und spätestens bis zum maßgeblichen Fristablauf. Erläutern Sie dabei die Gründe. Dadurch verlängert sich die Frist nicht automatisch.

4. Bereiten Sie die Teilnehmenden und die Übungsregeln vor

Laden Sie den Vorsitz oder eine bevollmächtigte Führungskraft mit Entscheidungsbefugnis, eine für den Geschäftsdienst verantwortliche Person, die Leitung der Vorfallbearbeitung, Vertretungen aus Risikomanagement oder Compliance, Recht und Kommunikation sowie eine Person für die Protokollführung ein. Beziehen Sie eine Vertretung des Lieferantenmanagements ein, wenn der Dienst von einer externen Plattform abhängt. In kleineren Organisationen kann eine Person mehrere Rollen übernehmen; legen Sie die Verantwortlichkeiten jedoch ausdrücklich fest.

Versenden Sie ein kurzes Vorbereitungspaket mit Angaben zur betroffenen Geschäftsdienstleistung, einer Übersicht der Eskalationswege, den Wiederherstellungszielen, dem Meldeweg, einer aktuellen Kontaktliste und einem leeren Entscheidungsprotokoll. Bitten Sie die Teilnehmenden, die tatsächlichen Verfahren der Organisation zu verwenden. Die Übungsleitung gibt die fiktiven Fakten vor und steuert den zeitlichen Ablauf der Übung. Die protokollführende Person hält Entscheidungen fest, nicht jedes Gespräch im Wortlaut.

Trennen Sie die Übungszeit von der Zeit im Szenario. Eine fünfminütige Diskussion kann einer Stunde im fiktiven Vorfall entsprechen; die Übungsleitung muss diesen Zeitsprung jedoch ankündigen. Kennzeichnen Sie jede Nachricht und jeden Entwurf mit „ÜBUNG“. Senden Sie keine Übungsmeldungen an eine Aufsichtsbehörde, einen Kunden oder einen Lieferanten, sofern deren Teilnahme nicht vereinbart wurde. Nutzen Sie einen sicheren, simulierten Meldeweg.

Unser fiktives Unternehmen bietet seinen Kunden einen Zahlungsdienst über eine externe Abwicklungsplattform an. Am Dienstag um 09:00 Uhr erfährt der Betriebsbereich von fehlgeschlagenen Zahlungsabwicklungen. Die Ursache ist unklar. Für diese Übung hat die Organisation die unterstützte Funktion als kritisch oder wichtig eingestuft. Die Teilnehmenden müssen dennoch die Kriterien für die Einstufung des Vorfalls als schwerwiegend anwenden; die Einstufung der Funktion allein entscheidet nicht darüber.

5. Nutzen Sie diesen Ablaufplan für 90 Minuten

Bei dieser Tagesordnung stehen Entscheidungen im Vordergrund, nicht Folienpräsentationen. Die moderierende Person sollte langwierige technische Spekulationen unterbrechen und eine Entscheidung, eine Angabe zum Informationsbedarf oder einen Folgeschritt mit benannter Zuständigkeit einfordern. Klären Sie nicht jede Unsicherheit für die Teilnehmenden: Zu entscheiden, welche Nachweise benötigt werden, ist Teil der Übung.

Wird eine Entscheidung vertagt, sollte die protokollführende Person festhalten, wer bis wann welche Nachweise vorlegen wird. „Wir würden die Rechtsabteilung einbeziehen“ ist keine abgeschlossene Maßnahme, wenn niemand die rechtliche Ansprechperson, die zu klärende Frage oder die verfügbare Zeit benennt. Dasselbe gilt für „den Anbieter anrufen“ und „den Wiederherstellungsplan aktivieren“.

6. Verwenden Sie drei Übungseinspielungen, die eine echte Abwägung erzwingen

Erste Szenarioeinspielung: Der Dienst fällt aus, doch die Ursache ist unklar

Um 09:15 Uhr im Szenario nehmen fehlgeschlagene Zahlungen zu. Der Anbieter bestätigt ein Plattformproblem, nennt aber keinen voraussichtlichen Wiederherstellungszeitpunkt. Einige Kunden versuchen erneut zu zahlen; dadurch könnten beim Abgleich der Transaktionen Probleme entstehen. Das Betriebsteam kann die Verarbeitung vorübergehend einschränken. Damit würden jedoch auch Zahlungen bisher möglicherweise nicht betroffener Kunden unterbrochen.

Fragen Sie: Welcher Kundenschaden wird begrenzt, und welchen neuen Schaden könnte die Einschränkung verursachen? Wer darf den Service ändern? Welche Mindestfakten werden nun benötigt? Wie unterscheidet das Team eine verzögerte Transaktion von einer, die wiederholt werden muss? Das erwartete Ergebnis ist eine abgegrenzte operative Entscheidung, ein benannter Verantwortlicher und ein Überprüfungszeitpunkt, nicht eine Vermutung über die technische Ursache.

Zweite Szenarioeinspielung: Die Einstufung ist bestätigt, und die üblicherweise für die Meldung zuständige Person ist nicht verfügbar

Zum Szenariozeitpunkt 10:00 legt die Übungsleitung eine Bewertung vor. Sie zeigt, dass die Bedingung hinsichtlich betroffener kritischer Dienste sowie die geltenden Wesentlichkeitsschwellen erfüllt sind. Für die Übung stuft das autorisierte Team den Vorfall um 10:00 als schwerwiegend ein. Die normalerweise für Meldungen zuständige Person ist nicht verfügbar. Die Vertretung hat das Meldeportal noch nie genutzt und weiß nicht, ob ihr Zugang funktioniert.

Bitten Sie die Teilnehmenden, den Meldeweg zu benennen und mit den verfügbaren Informationen eine Erstmeldung zur Übung auszufüllen. Dokumentieren Sie offen, was noch unbekannt ist, und legen Sie fest, wer diese Punkte klärt. Welche Frist gilt für die Erstmeldung? Wer reicht sie ein? Wer bestätigt den Eingang? Kann die Organisation handeln, ohne auf die nächste geplante Sitzung des Leitungsorgans zu warten? Nutzen Sie die Durchführungsverordnung (EU) 2025/302 für die Meldevorlagen und -verfahren; ein Entscheidungsprotokoll aus einer Übung ersetzt das aufsichtsrechtlich vorgesehene Formular nicht.

Dritte Szenarioeinspielung: Der Anbieter meldet, dass der Dienst wieder verfügbar ist, doch dies ist noch nicht ausreichend abgesichert

Zum Szenariozeitpunkt 11:15 meldet der Anbieter, dass die Verarbeitung wieder funktioniert. Der interne Abgleich hat noch nicht bestätigt, dass doppelte Versuche korrekt behandelt wurden. Ein Großkunde verlangt eine öffentliche Zusicherung, dass keine Datensätze betroffen sind. Die für den Dienst verantwortliche Person schlägt vor, den Betrieb sofort wieder aufzunehmen; die Einsatzleitung für den Vorfall möchte zusätzliche Prüfungen.

Fragen Sie, welche Nachweise die Wiederaufnahme des Betriebs stützen und wer verbleibende operative Risiken akzeptieren darf. Kann der Dienst schrittweise wieder aufgenommen werden? Was lässt sich jetzt zutreffend kommunizieren? Welche aktualisierten Informationen benötigt die zuständige Behörde? Legen Sie Bedingungen für die Rückkehr zum Normalbetrieb fest, benennen Sie eine verantwortliche Person für die weitere Validierung und vereinbaren Sie einen konkreten nächsten Besprechungstermin. Belohnen Sie nicht die schnellste Wiederaufnahme, wenn die Teilnehmenden nicht erklären können, wie die Kundendatensätze geprüft werden.

7. Führen Sie ein Entscheidungsprotokoll, das die Begründung zeigt

Ein gutes Protokoll macht nachvollziehbar, warum bei unvollständiger Informationslage eine vertretbare Entscheidung getroffen wurde. Es sollte Entscheidungen von Annahmen unterscheiden und festhalten, wer die Entscheidung ändern darf. Das folgende Beispiel ist fiktiv und veranschaulicht eine Dokumentationsmethode, keine empfohlene Reaktion auf jeden Vorfall im Zahlungsverkehr.

Halten Sie zusätzlich zum Protokoll in der Chronologie des Vorfalls fest, wann er bekannt wurde, wann er eingestuft wurde und wann Meldungen eingereicht wurden. Verwenden Sie durchgehend dieselbe Zeitzone. Bewahren Sie die Quellen wesentlicher Fakten auf und behalten Sie frühere Schätzungen bei, wenn sich diese ändern. Eine korrigierte Zahl zu den Auswirkungen auf Kunden darf nicht stillschweigend die Zahl überschreiben, auf der die ursprüngliche Entscheidung beruhte.

8. Leiten Sie überprüfbare Maßnahmen aus den Beobachtungen ab

Beginnen Sie die Nachbesprechung mit Beobachtungen: Welche Entscheidung wurde verzögert, welche Information ließ sich nicht beschaffen und welcher Prozess konnte nicht vorgeführt werden? Vermeiden Sie pauschale Schlussfolgerungen wie „Die Kommunikation war schlecht“, ohne ein Beispiel zu nennen. Fragen Sie die Teilnehmenden, welche Entscheidungen anders ausgefallen wären, wenn der Vorfall außerhalb der üblichen Arbeitszeiten begonnen oder ihre gewohnten Werkzeuge zur Zusammenarbeit betroffen hätte.

Bewahren Sie die Szenarioversion, die Angaben zu Anwesenheit und Rollen, die wesentlichen Entscheidungen, das Arbeitsblatt zur Klassifizierung, die simulierten Meldungen, die beobachteten Lücken und die Entscheidungen zu Folgemaßnahmen auf. Schützen Sie diese Unterlagen entsprechend ihrer Vertraulichkeit. Ziel ist, dass die Organisation daraus lernt, nicht die unnötige Weitergabe echter Kundeninformationen oder von Lieferantengeheimnissen.

Diese Termine sind beispielhafte Festlegungen der Geschäftsleitung, keine gesetzlichen Fristen. Benennen Sie eine Person, die den Abschluss prüft, und dokumentieren Sie verbleibende Restrisiken. Übernehmen Sie wesentliche Erkenntnisse in das Dashboard für Berichte an das Leitungsorgan. Zeigt die Übung eine externe Abhängigkeit ohne tragfähige Alternative, nutzen Sie den Leitfaden zu Risiken durch Dritte als Hilfe, um die Erkenntnis mit Verträgen, Konzentrationsrisiken und der Ausstiegsplanung zu verbinden.

9. Verknüpfen Sie die Schulung der Führungskräfte mit dem nächsten Wiederholungstest

Die nützlichste Folgemaßnahme ist eine kleinere Übung, die nachweist, dass eine Schwachstelle behoben wurde. Wenn die erste Übung ein Zugriffsproblem bei der Berichterstattung aufgedeckt hat, zeigen Sie, wie die Stellvertretung Zugriff erhält. Wenn unklar war, unter welchen Bedingungen eine Dienstleistung wieder aufgenommen werden darf, testen Sie die Freigabebedingungen erneut. Dieselbe Präsentation mit denselben ungelösten Lücken zu wiederholen, liefert kaum zusätzliche belastbare Erkenntnisse.

Nutzen Sie den Leitfaden zu den DORA-Schulungsanforderungen für Leitungsorgane als Grundlage, um die Übung mit der laufenden Weiterbildung des Leitungsorgans zu verbinden. Der Kurs der BlueTeam Academy «DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte» vermittelt Führungsteams in Finanzunternehmen, die in den Anwendungsbereich von DORA fallen, die Konzepte der Unternehmensführung. Ein Kursabschluss oder Teilnahmenachweis belegt nicht die Compliance der Organisation. Ergänzen Sie diese Grundlage um die Rahmenbedingungen Ihrer eigenen Dienste, beobachtete Entscheidungen und überprüfte Verbesserungen.