DORA-Prüfungen des Meldewesens IKT-pflichtiger Vorfälle auf Ebene des technischen Regulierungsstandards (Teil 1)

Regulatorische Anforderungen sowie Prüfungsfragen für die Interne Revision

• Axel Becker
• Maria Dzolic

Das DORA-Kapitel III umfasst die Verpflichtung, einen Managementprozess zu implementieren, der neben der Behandlung von IKT-bezogenen Vorfällen auch die Überwachung, Protokollierung und gegebenenfalls Meldung der Vorfälle umfasst. Einen IKT-bezogenen Vorfall definiert die Verordnung als ein von dem Finanzunternehmen nicht geplantes Ereignis, das die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunternehmen erbrachten Dienstleistungen hat (vgl. Art. 3 Nr. 8 und 10 DORA). Sämtliche Vorfälle müssen von Finanzunternehmen gemäß den in Artikel 18 DORA genannten Kriterien klassifiziert werden. Die genaue Ausgestaltung dieser Kriterien geschieht im entsprechenden RTS.