Eine Störung als DORA-Vorfall eskalieren: einordnen, Erstmeldung vorbereiten, Fristen im Blick behalten

Diese Anleitung zeigt den Weg vom ersten Verdacht bis zur laufenden Meldekette: Eine Störung, an der ein externer Dienstleister beteiligt ist, wird als DORA-Vorfall eskaliert, im Reiter DORA eingeordnet, und die Erstmeldung wird vorbereitet. Wie Sie danach die Meldungen führen und als eingereicht vermerken, steht in Meldekette am Vorgang führen. Die Fristen erklärt der Überblick.

Beispiel: Der Dienstleister Beispiel Hosting GmbH betreibt das Auftragsportal der Beispiel GmbH. Das Portal ist seit dem Morgen nicht erreichbar. Julia Beispiel bearbeitet die Störung und hält sie für meldepflichtig.

Schritt 1: Den Vorgang eskalieren

Öffnen Sie die Störung in der Vollansicht. Im Reiter Übersicht steht die Karte Major Incident und DORA. Solange am Vorgang noch nichts eingeordnet ist, finden Sie dort den Knopf Als DORA-Vorfall eskalieren. Klicken Sie darauf.

Das Fenster nennt, was die Eskalation bewirkt:

• Es geht keine Meldung an die Aufsicht. Die Einordnung folgt im Reiter DORA.
• Die Einordnung als IKT-Vorfall braucht eine zweite Person (Vier-Augen-Prinzip).
• Die Meldefristen laufen ab der Einstufung bzw. ab Kenntnis des Vorfalls, nicht ab der Eskalation.

Tragen Sie unter Begründung (Pflicht) ein, warum Sie den Vorfall für DORA-relevant halten, und klicken Sie auf Eskalieren. Ohne Begründung bleibt der Knopf gesperrt. Die Begründung darf höchstens 2000 Zeichen lang sein.

Beispiel: „Auftragsportal bei der Beispiel Hosting GmbH seit 07:30 Uhr gestört, alle Kundinnen und Kunden betroffen.“

Danach meldet knooing Der Vorgang wurde als DORA-Vorfall eskaliert. Bitte ordnen Sie ihn jetzt im Reiter DORA ein. und nennt, wie viele Personen benachrichtigt wurden ({Anzahl} zuständige Personen wurden benachrichtigt.) oder dass niemand zusätzlich benachrichtigt werden konnte. Die Ansicht wechselt in den Reiter DORA.

Wer wird benachrichtigt? Die Personen mit Bearbeitungsrecht im Bereich Sicherheit & Compliance (die Compliance-Rolle) und die Einsatzleitung des Vorgangs (Incident Commander), sofern sie den Vorgang sehen und bearbeiten dürfen. Sie selbst erhalten keine Benachrichtigung. Die Benachrichtigung läuft wie alle anderen auch: Glocke immer, E-Mail je nach persönlicher Einstellung. Sie lässt sich nicht abbestellen.

Warum gibt es diesen Schritt? Wer einen Vorfall zuerst sieht, ist oft nicht die Person, die einordnet und meldet. Die Eskalation holt diese Personen früh dazu und hält fest, wer wann mit welcher Begründung eskaliert hat. Die Begründung steht nur im internen Verlauf des Vorgangs. Sie geht weder per E-Mail noch an ein Fremdsystem, und Meldende und Dienstleister sehen sie nicht.

Warum nur einmal pro Stunde? Sonst entstünde ein Dauerfeuer in einer Benachrichtigung, die niemand abstellen kann. Eskalieren Sie dieselbe Störung innerhalb einer Stunde erneut, lehnt knooing das ab: Dieser Vorgang wurde in der letzten Stunde bereits als DORA-Vorfall eskaliert. Die zuständigen Personen sind benachrichtigt. Die Einordnung folgt im Reiter DORA.

Liegt am Vorgang schon eine Einordnung, ein Antrag oder eine Einstufung vor, zeigt die Karte stattdessen den Knopf DORA-Stand: {Status}. Er springt in den Reiter DORA.

Schritt 2: Im Reiter DORA einordnen

Im Reiter DORA steht der Block Einordnung: IKT-Vorfall? Wählen Sie die passende Einordnung, zum Beispiel IKT-Vorfall (beeinträchtigt Verfügbarkeit, Integrität oder Vertraulichkeit von IKT-Systemen), und tragen Sie die Begründung ein. Die Begründung ist auch bei Kein IKT-Vorfall Pflicht: Ein „nein“ muss sich später genauso erklären lassen wie ein „ja“. Klicken Sie auf Zur Freigabe einreichen.

Die Einordnung gilt erst, wenn eine zweite Person sie unter Freigaben freigibt (Vier-Augen-Prinzip). Der Antrag wartet dort, und die zuständigen Personen werden benachrichtigt. Die Freigabe ist fristgebunden. Sprechen Sie die zweite Person bei knapper Zeit zusätzlich direkt an. Danach übernehmen Sie die Einordnung im Reiter mit Freigabe prüfen und übernehmen.

Warum zwei Personen? Ob ein Vorfall meldepflichtig ist, hat Folgen in beide Richtungen: eine versäumte Meldung ebenso wie eine unnötige. Eine zweite Sicht fängt Fehleinschätzungen ab.

Das Feld „Sicherheitsrelevant (Cyberangriff vermutet)“

Wählen Sie IKT-Vorfall, erscheint im Einordnungsformular zusätzlich das Ankreuzfeld Sicherheitsrelevant (Cyberangriff vermutet). Es entscheidet, was mit dem Vorgang weiter geschieht:

• Mit Haken wird der Vorgang nach der Freigabe als Sicherheitsvorfall gekennzeichnet und vertraulich geführt. Die Übergabe an Dienstleister ist gesperrt. Im Formular steht dazu: Sicherheitsrelevant: ja (Vorgang wird vertraulich, Übergabe an Dienstleister gesperrt).
• Ohne Haken bleibt der Vorgang normal sichtbar, und die Übergabe an Dienstleister bleibt offen: Sicherheitsrelevant: nein. Das ist der Normalfall bei einem reinen Ausfall bei einem IKT-Dienstleister.

Bei Erhebliche Cyberbedrohung gibt es kein Ankreuzfeld: Der Vorgang wird dort immer als Sicherheitsvorfall gekennzeichnet und vertraulich geführt.

Warum ist das ein eigenes Feld? Eine DORA-Meldepflicht und ein Cyberangriff sind zwei verschiedene Dinge. Fällt der Dienstleister nur aus, muss der Vorgang weiter mit ihm bearbeitet werden können. Vermuten Sie dagegen einen Angriff, soll nichts mehr unkontrolliert nach außen gehen, solange die Lage unklar ist. Näheres zur Kennzeichnung steht in Vorgang als Sicherheitsvorfall kennzeichnen.

Beispiel: Beim Ausfall des Auftragsportals gibt es keinen Hinweis auf einen Angriff. Julia Beispiel lässt das Feld frei, und die Übergabe an die Beispiel Hosting GmbH funktioniert weiter. Hätte das Netzwerk-Team ungewöhnliche Anmeldeversuche gemeldet, hätte sie den Haken gesetzt.

Schritt 3: Einstufen und die Erstmeldung vorbereiten

Nach der Einordnung legen Sie das Vorfallsprofil an und stufen den Vorfall ein, wie in Meldekette am Vorgang führen beschrieben. Ist der Vorfall schwerwiegend, legen Sie mit Erstmeldung anlegen die Erstmeldung an.

Einige Felder sind aus dem Vorgang vorbelegt. Neben jedem Vorschlag steht, woher er stammt (Vorgeschlagen aus …). Prüfen und ändern Sie ihn: Erst mit dem Speichern übernehmen Sie die Werte, und eingereicht wird nichts automatisch.

Zwei Felder sind für diesen Ablauf wichtig:

• Beschreibung des Vorfalls wird aus Titel und Beschreibung des Vorgangs vorbelegt.
• Beteiligte IKT-Drittdienstleister schlägt die Dienstleister vor, die am Vorgang beteiligt sind: zuerst die aktiven Dienstleister des Vorgangs (der primäre vor den mitwirkenden), dazu der Betreiber des verknüpften Ticketsystems, zum Beispiel bei einer ServiceNow-Verknüpfung. Jeder Eintrag zeigt Name und Rolle und ob der Dienstleister im Lieferantenstamm geführt oder nicht im Lieferantenstamm geführt wird. Weitere Dienstleister fügen Sie mit Name des Dienstleisters, optional Rolle (optional), zum Beispiel Betreiber des Ticketsystems und Hinzufügen hinzu. Ist kein Dienstleister beteiligt, lassen Sie das Feld leer (Kein Dienstleister beteiligt.).

Dasselbe Feld gibt es im Zwischen- und im Abschlussbericht.

Warum die Dienstleister angeben? Eine Meldung soll zeigen, welche Drittparteien beteiligt waren. Wer im Lieferantenstamm geführt wird, ist mit dem Vertrag und der Bewertung im Register verbunden. Ein frei eingetragener Name ist es nicht, und knooing kennzeichnet das ausdrücklich.

Beispiel: Vorgeschlagen wird Beispiel Hosting GmbH mit der Rolle Dienstleister des Vorgangs (primär), im Lieferantenstamm geführt. Julia Beispiel ergänzt nichts und speichert.

Schritt 4: Die Frist im Vorgangskopf verfolgen

Solange eine Meldung offen ist, zeigt der Kopf des Vorgangs ein Abzeichen mit der nächsten Frist, zum Beispiel Erstmeldung fällig in 5 Std. oder Erstmeldung überfällig. Die Farbe folgt der Ampel: grau bei mehr als 24 Stunden, gelb bei weniger als 24 Stunden, rot nach Fristende. Ein Klick auf das Abzeichen öffnet den Reiter DORA. Ohne offene Meldung, nach dem Abschlussbericht und für Personen ohne das nötige Recht erscheint es nicht.

Warum im Kopf? Die Frist soll sichtbar sein, ohne dass jemand den Reiter öffnen muss. Wer an der Störung arbeitet, sieht so jederzeit, wie viel Zeit bleibt.

Schritt 5: Zwischen- und Abschlussbericht

Mit der Erstmeldung beginnt die nächste Stufe. Mit Zwischenbericht anlegen und später Abschlussbericht anlegen führen Sie die Kette fort. Das Vorgehen ist in Meldekette am Vorgang führen beschrieben. Die Erinnerungen an offene Fristen erklärt Erinnerungen an Meldefristen verstehen.

Wenn etwas nicht klappt

• Ich sehe den Knopf Als DORA-Vorfall eskalieren nicht. Der Vorgang ist keine Störung, ist ein untergeordneter Vorgang, Ihnen fehlt das Recht Bearbeiten, Sie nutzen einen Dienstleister-Zugang, oder am Vorgang liegt schon eine Einordnung vor. Dann steht dort DORA-Stand: {Status}.
• Eskalieren ist grau. Die Begründung fehlt.
• Die Eskalation konnte nicht gespeichert werden. Die Eskalation konnte nicht gespeichert werden. oder Eine Eskalation als DORA-Vorfall braucht eine Begründung. Prüfen Sie die Begründung und versuchen Sie es erneut.
• Niemand wurde benachrichtigt. Es gab keine Person, die zusätzlich benachrichtigt werden konnte. Es gibt dann keine Person mit Bearbeitungsrecht im Bereich Sicherheit & Compliance und keine Einsatzleitung, die den Vorgang sehen darf. Sprechen Sie die zuständigen Personen direkt an. Die Eskalation ist trotzdem festgehalten.
• Die Einordnung konnte nicht eingereicht werden. Die Einordnung konnte nicht zur Freigabe eingereicht werden. Prüfen Sie, ob die Begründung ausgefüllt ist.
• Die Einordnung konnte nicht übernommen werden. Die Einordnung konnte nicht übernommen werden - liegt bereits eine erteilte Freigabe vor? Die zweite Person muss unter Freigaben zuerst freigeben.
• Die Übergabe an einen Dienstleister ist gesperrt. Der Vorgang ist als sicherheitsrelevant gekennzeichnet. Eine Eskalation allein sperrt nichts. Siehe ServiceNow: Anhänge mitsenden.