DORA · Art. 21
Zentrale Kontaktstelle
Zentrale Kontaktstelle für IKT-Vorfälle: Meldepflichten, Zuständigkeiten und organisatorische Anbindung.
Anforderung nach DORA Art. 21
Jedes Finanzunternehmen muss eine zentrale Kontaktstelle benennen, die für die Meldung schwerwiegender IKT-Vorfälle an die zuständige Behörde zuständig ist. Diese Stelle fungiert als Single Point of Contact (SPoC) für alle incidentbezogenen Kommunikationen mit der Aufsicht.
- →Aufgaben: Entgegennahme interner Vorfalldaten, Prüfung der Meldeschwellen, Koordination der Meldungen (24h/72h/1 Monat), Kommunikation mit der Aufsicht.
- →Organisation: Die Kontaktstelle ist typischerweise in der Compliance-Abteilung, im IKT-Risikomanagement oder im Incident-Response-Team angesiedelt.
- →Stellvertretung: Es muss eine mindestens eine Vertretung benannt werden, um die jederzeitige Erreichbarkeit sicherzustellen.
Meldewege und Fristen
Innerhalb von 24 Stunden nach Einstufung als schwerwiegender Vorfall. Die Kontaktstelle übermittelt die Erstmeldung an die zuständige Aufsichtsbehörde.
Nach 72 Stunden mit aktualisiertem Status, ersten Erkenntnissen und ergriffenen Maßnahmen.
Nach max. 1 Monat mit Root-Cause-Analyse, ergriffenen Korrekturmaßnahmen und Lessons Learned.