Artikel 17 DORA-VO – Prozess für die Behandlung IKT-bezogener Vorfälle

(1) Finanzunternehmen bestimmen einen Prozess für die Behandlung IKT-bezogener Vorfälle, richten diese ein und wenden sie an, um IKT-bezogene Vorfälle

• zu erkennen,
• zu behandeln und
• zu melden.

(2) Finanzunternehmen erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen.

Finanzunternehmen richten angemessene Verfahren und Prozesse ein,

• um die kohärente und integrierte Überwachung, Handhabung und Weiterverfolgung IKT-bezogener Vorfälle zu gewährleisten,
• um sicherzustellen, dass Ursachen ermittelt, dokumentiert und angegangen werden,
• um das Auftreten solcher Vorfälle zu verhindern.

(3) Durch den in Absatz 1 genannten Prozess für die Behandlung IKT-bezogener Vorfälle

a) werden Frühwarnindikatoren eingesetzt;

b) werden Verfahren zur

• • Ermittlung,
  • Nachverfolgung,
  • Protokollierung,
  • Kategorisierung und Klassifizierung

IKT-bezogener Vorfälle entsprechend ihrer Priorität und Schwere und entsprechend der Kritikalität der betroffenen Dienste entsprechend den in Artikel 18 Absatz 1 genannten Kriterien eingerichtet;

c) werden Funktionen und Zuständigkeiten zugewiesen, die bei verschiedenen Arten von IKT-bezogenen Vorfällen und -Szenarien aktiviert werden müssen;

d) werden gemäß Artikel 14 Pläne für die Kommunikation

• • mit Personal,
  • externen Interessenträgern und
  • Medien

sowie

• • für die Benachrichtigung von Kunden,
  • für interne Eskalationsverfahren, einschließlich IKT-bezogener Kundenbeschwerden, und
  • für die Bereitstellung von Informationen an andere Finanzunternehmen, die als Gegenparteien fungieren,

ausgearbeitet, je nach Sachlage;

e) wird sichergestellt, dass zumindest schwerwiegende IKT-bezogene Vorfälle der zuständigen höheren Führungsebene gemeldet werden und die Geschäftsleitung informiert wird, wobei die Auswirkungen und Gegenmaßnahmen und zusätzliche Kontrollen erläutert werden, die infolge dieser IKT-bezogenen Vorfälle einzurichten sind;

f) werden Verfahren für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen eingerichtet, um Auswirkungen zu mindern und sicherzustellen, dass die Dienste zeitnah verfügbar und sicher werden.