Die Vorfälle müssen anhand der Angaben in jeder Akte eingestuft werden. Prüfen Sie die Auswirkungen und die beiden Klassifikationswege nach DORA. Jede Akte beschreibt einen eigenständigen Vorgang.
REGULÄRER WEG
VORAUSSETZUNG NACH ART. 6 ERFÜLLT+MINDESTENS 2 VON 6 SCHWELLEN ERREICHT
Mindestens eine der drei Voraussetzungen muss vorliegen:
Ein betroffener IKT-Dienst oder ein System unterstützt eine kritische oder wichtige Funktion.
Eine zulassungs-, registrierungs- oder aufsichtspflichtige Finanzdienstleistung ist beeinträchtigt.
Ein erfolgreicher, böswilliger und unbefugter Systemzugriff liegt vor.
Für die reguläre Einstufung müssen zusätzlich mindestens zwei der sechs regulären Schwellen erreicht sein. Beim Cyber-Sonderfall nach Art. 9 Abs. 5 Buchst. b genügt ein möglicher Datenverlust aus dem erfolgreichen unbefugten Zugriff. Ein fehlgeschlagener Angriff genügt nicht.
Der Cyber-Sonderfall nach Art. 8 Abs. 1 Buchst. a und Art. 9 Abs. 5 Buchst. b erfordert einen erfolgreichen, böswilligen und unbefugten Systemzugriff, der zu Datenverlusten führen kann. Ein abgewehrter Zugriffsversuch genügt nicht; ein tatsächlich nachgewiesener Datenabfluss ist hingegen nicht erforderlich.
Die 6 Kriterien (DORA-Referenz; ggf. zusätzliche Hausregeln)
Kunden / Gegenparteien / Transaktionen Eine gemeinsame Schwelle. Sie ist z. B. erreicht bei mehr als 10 % der Kunden des betroffenen Services, mehr als 100.000 Kunden, mehr als 30 % der zugehörigen finanziellen Gegenparteien, mehr als 10 % der täglichen Transaktionen oder mehr als 10 % des täglichen Transaktionswerts. Auch ein nach DORA als relevant eingestufter Kunde oder eine relevante finanzielle Gegenpartei kann die Schwelle auslösen.
Reputation Erreicht z. B. bei Medienberichterstattung, wiederholten Beschwerden verschiedener Kunden oder Gegenparteien, drohender Nichterfüllung regulatorischer Anforderungen oder einem materiellen Verlust von Kunden bzw. Gegenparteien.
Dauer / Downtime Erreicht bei einer Vorfalldauer von mehr als 24 Stunden oder bei mehr als 2 Stunden vollständiger oder teilweiser Nichtverfügbarkeit eines IKT-Services, der eine kritische oder wichtige Funktion unterstützt.
Geografie Die räumliche Ausbreitung wird als lokal, regional oder überregional im Geschäftsgebiet beschrieben. Sie dient hier zusätzlich der betrieblichen Lageeinschätzung. Die DORA-Geografieschwelle wäre erst bei Auswirkungen in mindestens zwei EU-Mitgliedstaaten erreicht und wird in diesen Vignetten nicht ausgelöst.
Daten / unbefugter Zugriff Erreicht, wenn Auswirkungen auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten die Geschäftsziele oder die Fähigkeit zur Erfüllung regulatorischer Anforderungen beeinträchtigen oder beeinträchtigen werden. Der oben genannte Sonderfall gilt für erfolgreichen böswilligen unbefugten Zugriff mit möglichem Datenverlust.
Wirtschaftliche Auswirkungen Erreicht bei Kosten und Verlusten von mehr als 100.000 € oder wenn dieser Betrag voraussichtlich überschritten wird.
Hausindividuelle Klassifikation: Die hier konfigurierten internen Eskalationsregeln können von DORA abweichen. Diese Hausbewertung ist keine eigenständige gesetzliche Meldepflicht. Die unveränderte DORA-Referenz wird bei der Auswertung zusätzlich ausgewiesen.
Vereinfachte Arbeitsdarstellung nach Delegierter Verordnung (EU) 2024/1772, insbesondere Art. 1–9.