DORA Incident Response: Ein Gremium-Übungsszenario

1. Testen Sie Entscheidungsfindung, nicht das reine Wiederholen von Vorschriften

Die schwierige Vorstandsentscheidung in einem schweren Technologievorfall ist selten „Sollen wir das ernst nehmen?“ Wahrscheinlicher ist, ob ein Geschäftsservice gestoppt, mit reduzierten Kontrollen gearbeitet, eine Notfall-Alternative finanziert oder eine Kundeninformation kommuniziert wird, während die Fakten noch unvollständig sind. Ein Tabletop-Übung legt diese Spannungen vor einem realen Vorfall offen.

DORA Artikel 17–19 behandelt Incident Management, Klassifizierung und Meldung. Artikel 17 sieht eine Eskalation an das zuständige obere Management sowie Informationen für das Leitungsorgan über erhebliche Vorfälle, deren Auswirkungen, Reaktionen und zusätzliche Maßnahmen vor. Daraus wird der Vorstand nicht automatisch operativer Incident Commander. Die Übung sollte prüfen, ob Zuständigkeiten und Eskalation ineinandergreifen.

Definieren Sie drei realistische Ergebnisse: eine klare Entscheidung mit einem Verantwortlichen, eine Berichtspflicht mit einer zuständigen Person und eine Aufzeichnung des aktuellen Kenntnisstandes. Ein Bestehen nur wegen Anwesenheit darf nicht gewährt werden. Das nützliche Ergebnis kann sein, festzustellen, dass niemand während eines Identitätssystemausfalls Zugriff auf das Berichtsportal hat.

Die nachstehende Übung ist fiktives Schulungsmaterial. Sie ersetzt weder technische Wiederherstellungstests noch ein vollständiges Resilienz-Testprogramm oder bedrohungsorientierte Penetrationstests. Die Dauer von 90 Minuten ist ein empfohlener Rahmen, kein aufsichtsrechtliches Minimum.

2. Trennen Sie Einstufung, Dringlichkeit und Eskalation an den Vorstand

Ein Vorfall kann sofortige Aufmerksamkeit der Führung erfordern, noch bevor seine regulatorische Einstufung feststeht. Umgekehrt kann ein meldepflichtiger Großvorfall eine zügige Benachrichtigung erfordern, während die Wiederherstellung bereits erfolgreich verläuft. Keine der beiden Entscheidungen sollte davon abhängen, dass der Vorstandsvorsitzende zur Freigabe einer Pressemitteilung verfügbar ist.

Die detaillierten Klassifizierungsregeln finden Sie unter Delegierte Verordnung (EU) 2024/1772. Artikel 8 kombiniert betroffene kritische Dienste mit festgelegten Wesentlichkeitsbedingungen; es ist keine Regel, dass jeder technische Ausfall automatisch einen schwerwiegenden Vorfall darstellt. Die Regeln behandeln auch wiederkehrende Vorfälle. Nutzen Sie ein genehmigtes Klassifizierungsblatt, das die tatsächlichen Kriterien und Schwellenwerte anwendet, anstatt während der Sitzung eine improvisierte Ampelbewertung zu vergeben.

Vergeben Sie für die Übung einer Compliance- oder Risikofachkraft die Verantwortung für die Klassifikationsempfehlung und deren Begründung. Der/die Leiter(in) des Vorfalls übernimmt operative Prioritäten. Eine(n) autorisierte(n) Meldebeauftragte(n) betrauen Sie mit der Erstellung und Einreichung der relevanten Benachrichtigung. Ihre tatsächliche Verteilung der Befugnisse kann abweichen; legen Sie diese vor dem ersten Simulationsimpuls schriftlich fest.

• Was ist über betroffene Dienste, Kunden, Transaktionen und Daten bekannt?
• Was ist eine Schätzung, wie wird sie begründet und wann wird sie aktualisiert?
• Welche Klassifizierungskriterien sind erfüllt, nicht erfüllt oder noch unklar?
• Wer kann entscheiden und handeln, wenn die übliche verantwortliche Person nicht verfügbar ist?

Erfassen Sie die tatsächliche Kenntniszeit und Klassifizierungszeit getrennt. Ein späteres Management-Briefing setzt die Awareness-Uhr nicht zurück. Ebenso sind die Feststellung eines Vorfalls und dessen Einstufung als gravierend verschiedene Ereignisse, die eine genaue Chronologie erfordern.

3. Üben Sie die Meldezeiträume anhand eines praxisnahen Beispiels

Die folgende Zusammenfassung betrifft die Meldung schwerwiegender IKT-bezogener Vorfälle gemäß Artikel 5 der Delegierten Verordnung (EU) 2025/301. Verwenden Sie den tatsächlichen Gesetzestext und den Meldeprozess Ihrer zuständigen Behörde für einen Vorfall.

In unserem fiktiven Beispiel erfolgt die Awareness am Dienstag um 09:00 Uhr und die Hauptklassifizierung um 10:00 Uhr. Die reguläre Frist für die Erstbenachrichtigung ist Dienstag, 14:00 Uhr, vorbehaltlich der Pflicht zur frühestmöglichen Meldung. Erfolgt die Meldung am Dienstag um 11:30 Uhr, läuft die 72-Stunden-Frist für den Zwischenbericht bis Freitag, 11:30 Uhr. Ein nachfolgendes Zwischenupdate verschiebt den Referenzpunkt für die Monatsfrist des Abschlussberichts. Ein Monat ist dabei nicht als Kurzform für 30 Tage zu verstehen.

Es gibt keine generelle Wochenendregelung. Wo anwendbar, gestattet Artikel 5(4) eine Einreichung bis Mittag des nächsten Arbeitstags, wenn die Frist auf ein Wochenende oder einen Feiertag im Mitgliedstaat des meldenden Unternehmens fällt. Absatz 5 schließt Erst- und Zwischenmeldungen durch Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und andere Finanzunternehmen, die unter NIS2 als wesentlich oder wichtig eingestuft sind, aus. Nach Absatz 6 können Behörden auch andere bedeutende oder systemische Unternehmen nach deren Benachrichtigung ausschließen; diese Entscheidung gilt für Vorfälle, die nach der Mitteilung gemeldet werden. Überprüfen Sie die Anwendbarkeit, bevor Sie sich auf diese Erleichterung verlassen.

Kann eine Frist nicht eingehalten werden, informieren Sie die zuständige Behörde ohne unangemessene Verzögerung und spätestens bis zum maßgeblichen Termin, mit Begründung. Dies ist keine automatische Fristverlängerung.

4. Bereiten Sie Raum und Spielregeln vor

Laden Sie die oder den Vorsitzenden bzw. bevollmächtigte Führungskraft, eine:n Business-Service-Verantwortliche:n, den Incident Lead, Risiko-/Compliance, Rechtsabteilung, Kommunikation und eine:n Protokollierende:n ein. Beziehen Sie einen Vertreter der Anbieterverwaltung ein, falls die Dienstleistung von einer externen Plattform abhängt. In kleineren Organisationen kann eine Person mehrere Rollen abdecken; die Verantwortlichkeiten müssen jedoch klar benannt sein.

Senden Sie ein kurzes Vorbereitungspaket: den relevanten Geschäftsservice, Eskalationsplan, Wiederherstellungsziele, Meldeweg, aktuelle Kontaktliste und ein leeres Entscheidungsprotokoll. Bitten Sie die Teilnehmenden, die realen Abläufe der Organisation zu nutzen. Die Moderation steuert fiktive Fakten und die Übungszeit. Der Protokollant hält die getroffenen Entscheidungen fest, nicht ein vollständiges Gesprächsprotokoll.

Halten Sie Übungszeit getrennt von Szenariozeit. Eine fünfminütige Diskussion kann für eine Stunde im fiktiven Vorfall stehen, die Moderation muss den Zeitsprung jedoch ankündigen. Markieren Sie jede Nachricht und jeden Entwurf als „ÜBUNG“. Senden Sie keine Übungs-Mitteilungen an Regulatoren, Kundschaft oder Zulieferer, es sei denn, die Teilnahme ist abgesprochen. Nutzen Sie einen sicheren Mock-Abgabeweg.

Unsere fiktive Organisation bietet einen Kundenzahlungsdienst über eine externe Abwicklungsplattform an. Am Dienstag um 09:00 Uhr wird der Betrieb auf fehlgeschlagene Zahlungsabwicklungen aufmerksam. Die Ursache ist unklar. Für diese Übung hat die Organisation die unterstützte Funktion als kritisch oder wichtig eingestuft. Die Teilnehmer müssen dennoch die Kriterien für die Einstufung als Großvorfall anwenden; die Funktionsbezeichnung allein entscheidet dies nicht.

5. Führen Sie diese 90-minütige Agenda durch

Diese Agenda priorisiert Entscheidungen vor Folienpräsentationen. Die Moderation sollte langwierige technische Spekulationen unterbrechen und eine Entscheidung, eine Informationsanforderung oder eine konkrete Nachverfolgung einfordern. Nicht jede Unsicherheit für die Teilnehmenden auflösen: Zu bestimmen, welcher Nachweis gebraucht wird, ist Teil der Übung.

Wenn eine Entscheidung vertagt wird, sollte der Protokollführer festhalten, wer mit welchem Nachweis bis wann zurückkehrt. „Wir würden die Rechtsabteilung einbeziehen“ ist keine abgeschlossene Aktion, wenn niemand den Rechtskontakt, die zu klärende Frage oder den Zeithorizont benennt. Der gleiche Standard gilt für „Anbieter anrufen“ und „Wiederherstellungsplan aktivieren“.

6. Verwenden Sie drei Einwürfe, die einen echten Zielkonflikt erzwingen

Fügen Sie ein: Der Dienst fällt aus, die Ursache ist unklar.

Zum Szenariozeitpunkt 09:15 nehmen fehlgeschlagene Zahlungen zu. Der Lieferant bestätigt ein Plattformproblem, gibt aber keinen Wiederherstellungstermin an. Einige Kunden versuchen es erneut, was ein mögliches Abgleichsproblem verursacht. Das Operationsteam kann die Verarbeitung zeitweise beschränken, würde damit aber auch noch nicht betroffene Kunden stören.

Fragen Sie: Welcher Kundenschaden wird begrenzt, und welchen neuen Schaden könnte die Einschränkung verursachen? Wer darf den Service ändern? Welche Mindestfakten werden nun benötigt? Wie unterscheidet das Team eine verzögerte Transaktion von einer, die wiederholt werden muss? Das erwartete Ergebnis ist eine abgegrenzte operative Entscheidung, ein benannter Verantwortlicher und ein Überprüfungszeitpunkt, nicht eine Vermutung über die technische Ursache.

Zwei Impulse: Klassifizierung bestätigt und die übliche Meldungsperson ist nicht verfügbar.

Zum Szenariozeitpunkt 10:00 stellt der Moderator eine Bewertung bereit, die zeigt, dass die Voraussetzung betroffener kritischer Dienste und die geltenden Wesentlichkeitsschwellen erfüllt sind. Für die Übung klassifiziert das autorisierte Team den Vorfall um 10:00 als schwerwiegend. Der reguläre Reporting-Beauftragte ist nicht verfügbar. Die Vertretung hat das Einreichungsportal noch nie verwendet und weiß nicht, ob der Zugang funktioniert.

Bitten Sie die Teilnehmenden, den Meldeweg zu identifizieren und eine Übungs-Erstmeldung mit den verfügbaren Informationen auszufüllen. Unbekanntes wird ehrlich dokumentiert und zur Nachverfolgung zugeordnet. Was ist die Erstfrist? Wer reicht ein? Wer bestätigt den Eingang? Kann die Organisation ohne das nächste angesetzte Board-Meeting fortfahren? Nutzen Sie Durchführungsverordnung (EU) 2025/302 für die Reporting-Vorlagen und -verfahren; ein Entscheidungsprotokoll für eine Übung ersetzt das regulatorische Formular nicht.

Drei Impulse: Der Anbieter meldet die Wiederherstellung des Dienstes, das Vertrauen ist jedoch unvollständig.

Zum Szenariozeitpunkt 11:15 meldet der Lieferant, dass die Verarbeitung wiederhergestellt ist. Ein interner Abgleich hat noch nicht bestätigt, ob doppelte Vorgänge korrekt behandelt wurden. Ein Großkunde fordert öffentlich die Zusicherung, dass keine Datensätze betroffen sind. Der Service-Verantwortliche schlägt eine sofortige Wiederaufnahme vor; die Incident-Leitung fordert weitere Validierung.

Fragen Sie, worauf sich die Belege zur Wiedereröffnung stützen und wer verbleibende operative Risiken akzeptieren kann. Kann der Dienst gestuft wieder öffnen? Was lässt sich jetzt kommunizieren? Was braucht die zuständige Behörde an Updates? Legen Sie Rückkehrbedingungen, einen Governance-Owner und einen konkreten nächsten Berichtstermin fest. Belohnen Sie nicht die schnellste Wiedereröffnung, wenn die Beteiligten nicht erklären können, wie Kundendaten geprüft werden.

7. Führen Sie ein Entscheidungsprotokoll, das die Begründung zeigt

Ein gutes Protokoll ermöglicht die Nachvollziehbarkeit, warum mit unvollständigen Informationen eine nachvollziehbare Entscheidung getroffen wurde. Es unterscheidet Annahme und Entscheidung und identifiziert Änderungsberechtigte. Das folgende Beispiel ist fiktiv und illustriert eine Erfassungsmethode, nicht die empfohlene Vorgehensweise für jeden Zahlungsfall.

Erfassen Sie in der Incident-Chronologie Awareness-, Klassifikations- und Einreichzeitpunkte zusätzlich zum Protokoll. Verwenden Sie eine konsistente Zeitzone. Bewahren Sie die Quelle erheblicher Fakten auf und erhalten Sie frühere Schätzungen bei Änderungen. Eine korrigierte Kundenauswirkung darf nicht die ursprüngliche Entscheidungsgrundlage stillschweigend überschreiben.

8. Beobachtungen in nachvollziehbares, evidenzbasiertes Maßnahmen-Tracking überführen

Beginnen Sie das Debriefing mit Beobachtungen: Welche Entscheidung wurde verzögert, welche Information war nicht beschaffbar und welcher Prozess konnte nicht demonstriert werden? Vermeiden Sie pauschale Aussagen wie „Kommunikation war schlecht“ ohne Beispiel. Fragen Sie die Teilnehmenden, welche Entscheidungen sich geändert hätten, wenn der Vorfall außerhalb der üblichen Arbeitszeiten begonnen oder ihre gewohnten Kollaborationsmittel betroffen hätte.

Behalte die Szenarioversion, Anwesenheit und Rollen, Materialentscheidungen, das Klassifizierungsarbeitsblatt, Benachrichtigungsentwürfe, beobachtete Lücken und Folgebeschlüsse bei. Schütze das Paket entsprechend seiner Sensitivität. Ziel ist der nützliche organisationale Lerneffekt, nicht die unnötige Verbreitung echter Kundeninformationen oder Lieferantengeheimnisse.

Diese Ziele sind beispielhafte Managemententscheidungen, keine gesetzlichen Fristen. Benennen Sie einen Prüfer für die Abschlusskontrolle und behalten Sie nicht aufgelöste Restrisiken. Wesentliche Erkenntnisse fließen ein in die Vorstandsbericht-Dashboard. Falls die Übung eine externe Abhängigkeit ohne glaubwürdige Alternative aufdeckt, verwenden Sie die Leitfaden zu Risiken durch Dritte um den Befund mit Verträgen, Konzentration und Ausstiegsplanung zu verbinden.

9. Verknüpfen Sie Führungskräfteschulung mit dem nächsten Nachtest

Der nützlichste Folgeschritt ist eine kleinere Übung, die eine behobene Schwäche nachweist. Wenn die erste Runde ein Zugriffsproblem bei der Meldung zeigte, demonstrieren Sie den Weg des Stellvertreters. Bei Unklarheit über die Wiederinbetriebnahme eines Dienstes testen Sie die Freigabebedingungen erneut. Wiederholen Sie nicht einfach die gleiche Präsentation mit den gleichen offenen Lücken – das bringt keine neue Sicherheit.

Nutzen Sie die Leitfaden zu DORA-Gremiumstrainingsanforderungen um die Übung an die fortlaufende Weiterbildung der Unternehmensleitung anzubinden. BlueTeam Academy’s DORA Board & Executive Training führt die Governance-Konzepte für Führungsteams in Finanzunternehmen innerhalb des DORA-Anwendungsbereichs ein. Kursabschluss oder Anwesenheitsnachweis stellt keine organisatorische Compliance fest. Ergänzen Sie diese Grundlage mit Ihrem eigenen Service-Kontext, beobachteten Entscheidungen und verifizierten Verbesserungen.