regulation-dora.eu ENDEFRITES

Der Plan, mit dem Sie um drei Uhr morgens tatsächlich arbeiten

Die meisten Krisenpläne beschreiben eine Struktur. Dieses Paket regelt, was im Ernstfall Zeit kostet: wer was ohne Rückfrage entscheiden darf, ab welcher Schwelle eskaliert wird, wie Sie wieder zurückstufen und was ins Protokoll gehört, damit die Entscheidung sechs Monate später noch belastbar ist. Sie erhalten 15 editierbare Word-Dokumente und eine Aktivierungs- und Meldematrix in Excel.

Strukturiert auf Grundlage von ISO 22361:2022 und ISO 22320:2018. Beide sind Leitfäden: Eine Zertifizierung ist gegen keine der beiden Normen möglich, und wir sind keine Zertifizierungsstelle.

€149 zzgl. MwSt.
Jetzt kaufen

Sichere Zahlung über Stripe. Rechnung mit MwSt. wird automatisch erstellt.
Sofortiger Download nach der Zahlung. Der Link bleibt dauerhaft gültig.

Was dieses Paket entscheidet, und wo es bewusst aufhört

Krisenmanagement und Vorfallmeldung sind zwei verschiedene Produkte für zwei verschiedene Probleme. Dieses Paket beantwortet drei Fragen: Ist das ein Vorfall oder eine Krise, und wen berufen wir ein? Wer darf was entscheiden, ohne jemanden zu wecken? Wer muss wann informiert werden, von den Kunden über die Beschäftigten bis zur Öffentlichkeit?

Was es bewusst nicht tut: Es stuft einen Vorfall nicht nach Art. 18 als schwerwiegend ein, und es schreibt nicht die Meldung an die Aufsichtsbehörde. Die Aktivierungsmatrix sagt Ihnen, wann Sie die Prüfung nach Art. 18 anstoßen müssen, und weigert sich, sie selbst durchzuführen: Eine manuelle Eingabe startet die regulatorische Uhr, keine Formel. Für die Einstufung gibt es den kostenlosen Incident Analyzer, für Erst-, Zwischen- und Abschlussmeldung den Incident Report Generator. Die Meldepflichten selbst erklärt unser Leitfaden zur Vorfallmeldung.

Drei Dinge, die einen Plan von einem Dokument unterscheiden

Entscheidungsbefugnisse, in ruhigen Zeiten vereinbart. Verzögerung in der Krise ist selten Unwissen, sondern Unsicherheit darüber, wer entscheiden darf. Das Rahmendokument enthält eine Tabelle vorab genehmigter Entscheidungen mit Betrags- und Dauergrenzen, damit die Reaktion nicht hinter einem Genehmiger wartet, der schläft.

Prüfbare Kriterien, auch für den Weg nach unten. Vier Stufen mit prüfbaren Aussagen statt Adjektiven, dazu schriftliche Deeskalations- und Stand-down-Kriterien. Ohne sie bleiben Vorfälle wochenlang nominell offen, und niemand zieht Lehren daraus.

Ein Protokoll, das die Nachschau übersteht. Geprüfte Optionen. Bekannte Informationslücken. Was nicht gewählt wurde, und warum. Diese drei Spalten machen aus einem Tagebuch den Nachweis vertretbaren Ermessens, und genau diese drei fehlen fast immer.

Was DORA tatsächlich verlangt

Art. 11 Abs. 7 verlangt von Finanzunternehmen, die keine Kleinstunternehmen sind, eine Krisenmanagementfunktion. Werden die IKT-Geschäftsfortführungspläne oder die Reaktions- und Wiederherstellungspläne aktiviert, legt diese Funktion klare Verfahren für die interne und externe Krisenkommunikation nach Art. 14 fest. Mehr sagt die Vorschrift nicht: Wie die Funktion besetzt oder abgegrenzt wird, überlässt die Verordnung dem Unternehmen. Das Rahmendokument weist die Rollentrennung deshalb als Ihre eigene Kontrollentscheidung aus, nicht als Anforderung. Genau nach dieser Unterscheidung kann die Aufsicht im Prüfungsfall fragen.

Art. 14 ist eine Plan- und Richtlinienpflicht: Krisenkommunikationspläne müssen vorliegen, eine Frist je Vorfall setzt der Artikel nicht. Art. 11 Abs. 8 verpflichtet zusätzlich, Aufzeichnungen über die Tätigkeiten vor und während einer Störung zu führen. Das Entscheidungsprotokoll und der Lagebericht in diesem Paket sind genau dafür gebaut, mit einem durchgerechneten Beispiel.

56 Botschaften, geschrieben bevor Sie sie brauchen

Der teuerste Satz einer Krise ist der improvisierte. Die Botschaftsbibliothek enthält 56 vorformulierte Botschaften: 14 Szenarien, jeweils für vier Zielgruppen ausformuliert, von den Kunden über die Beschäftigten bis zur Öffentlichkeit. Dazu kommen Holding Statements für die erste Stunde, ein Sprecherbriefing und ein Katalog feindseliger Fragen mit Antwortlinien.

Die Stakeholder- und Kommunikationsmatrix legt daneben fest, wer wann informiert wird und durch wen. In Deutschland heißt der wichtigste Adressat BaFin, in Österreich FMA. Die Matrix hält Kanal und Zuständigen fest, bevor jemand beides unter Zeitdruck suchen muss.

Wo das Paket in der Kette steht

Vor diesem Paket steht die Business-Impact-Analyse: Sie sagt, welche Dienste zählen und wie schnell sie zurück sein müssen. Dieses Paket regelt, was geschieht, wenn einer davon ausfällt. Danach kommt der Beweis: Art. 11 Abs. 6 verlangt, die IKT-Geschäftsfortführungspläne sowie die Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen. Das Crisis Exercise Programme liefert dafür die Übungsformate und die After-Action-Review.

Wer den Reifegrad seiner Vorkehrungen zuerst messen will, findet in den Assessment-Toolkits eine Bewertung mit 30 Fragen. Das Assessment misst; dieses Paket baut.

Den Plan beweisen: zum Übungsprogramm →

Häufige Fragen

Ist das Paket nach ISO 22361 oder ISO 22320 zertifiziert?

Nein, und nichts kann es sein. Beide Normen sind Leitfäden, keine Anforderungsnormen: Sie enthalten keine Konformitätsklausel, gegen die eine Zertifizierungsstelle prüfen könnte. Was ein Praktiker tun kann, ist dem Prozess zu folgen, den die Normen beschreiben. Genau das tut dieses Paket. Wir schreiben „strukturiert auf Grundlage von“ und meinen es wörtlich. Wir sind keine Zertifizierungsstelle.

Verlangt DORA eine Krisenmanagementfunktion?

Ja, für Finanzunternehmen, die keine Kleinstunternehmen sind. Art. 11 Abs. 7 verlangt eine Funktion, die bei Aktivierung der IKT-Geschäftsfortführungs- oder der Reaktions- und Wiederherstellungspläne klare Verfahren für die interne und externe Krisenkommunikation nach Art. 14 festlegt. Wie die Funktion besetzt oder abgegrenzt wird, sagt der Artikel nicht. Die Trennungspflicht in DORA ist Art. 6 Abs. 4, und sie betrifft IKT-Risikomanagement, Kontrolle und interne Revision, nicht das Krisenmanagement. Das Rahmendokument weist die Rollentrennung deshalb als eigene Kontrollentscheidung aus, nicht als Anforderung.

Erstellt das Paket unsere Meldung an die Aufsichtsbehörde?

Nein, mit Absicht. Dieses Paket entscheidet, ob Sie in einer Krise sind, wer führt und wer informiert werden muss. Die Einstufung als schwerwiegender Vorfall nach Art. 18 und der Inhalt von Erst-, Zwischen- und Abschlussmeldung folgen den technischen Meldestandards und sind ein anderes Produkt. Die Aktivierungsmatrix sagt Ihnen, wann Sie die Prüfung nach Art. 18 anstoßen müssen, und führt sie bewusst nicht selbst durch.

Warum ein Paket statt je Norm eines?

Weil das wertvollste Artefakt der ganzen Reihe die Eskalationsleiter ist: die Schwelle, an der der operative Einsatzleiter an den strategischen Krisenstab übergibt, was der Stab entscheiden darf und der Einsatzleiter nicht, und wie beim Stand-down zurückübergeben wird. Dieses Artefakt existiert nur, wenn beide Ebenen im selben Dokumentensatz stehen. Getrennt haben Sie zwei Hälften einer gebrochenen Kette, und der Bruch liegt genau dort, wo Organisationen im Ernstfall scheitern.

Sagt uns das Paket, ob wir ein Lösegeld zahlen sollen?

Nein. Diese Frage berührt Sanktionsprüfung, Strafverfolgung und Rechtsberatung und liegt ausdrücklich außerhalb des Anwendungsbereichs. Was das Paket leistet: Es verhindert, dass Ihr Sprecher die Frage schlecht beantwortet.

Brauchen wir Makros oder ein aktuelles Excel?

Weder noch. Keine Makros, und die Formeln verzichten auf dynamische Arrays. Die Aktivierungsmatrix verhält sich in LibreOffice Calc und in älteren Excel-Versionen identisch.

Diese Seite ist eine fachliche Hilfestellung, keine Rechtsberatung. · English version