Prozess für die Behandlung IKT-bezogener Vorfälle

In der Praxis

Die Erfassungspflicht ist weiter als die Meldepflicht

Gemeldet wird nach Artikel 19 nur, was schwerwiegend ist. Erfasst wird nach Artikel 17 Absatz 2 alles. Zwischen beidem liegt die Menge, aus der die Ursachenanalyse und der Lernprozess nach Artikel 13 überhaupt erst Material bekommen.

Wer nur das Meldepflichtige dokumentiert, hat in der Prüfung eine leere Liste und kein Argument. Die brauchbare Form ist niedrigschwellig: ein Eintrag je Vorfall, mit Zeitpunkt der Kenntnis, betroffener Funktion, Einstufung und Ursache. Mehr braucht es nicht, aber diese fünf Angaben braucht es bei jedem.

Buchstabe a: Frühwarnindikatoren sind kein Werkzeugkauf

Verlangt ist, dass der Prozess Frühwarnindikatoren einsetzt. Das ist keine Aufforderung, ein System anzuschaffen, sondern die Frage, woran Sie merken, dass etwas beginnt, bevor es ausfällt.

In kleinen Häusern sind die tragfähigsten Indikatoren einfach: die Anzahl fehlgeschlagener Anmeldungen, die Laufzeit des nächtlichen Batchlaufs, die Antwortzeit der Kernanwendung, die Zahl offener Tickets beim Dienstleister. Entscheidend ist nicht die Technik, sondern dass jemand benannt ist, der hinsieht, und dass festgelegt ist, ab wann er etwas tut.

Buchstabe c ist die Stelle, an der es nachts scheitert

Funktionen und Zuständigkeiten, die bei verschiedenen Arten von Vorfällen und Szenarien aktiviert werden müssen. Das Wort „aktiviert“ ist der Kern: Es geht nicht um ein Organigramm, sondern um eine Rufkette mit Namen, Nummern und Vertretung.

Prüfen Sie das an einem Sonntag um drei Uhr nachts gedanklich durch: Wer bemerkt es? Wen ruft er an? Was, wenn der nicht abnimmt? Wer darf entscheiden, dass abgeschaltet wird? Wenn eine dieser vier Fragen offen ist, ist der Prozess nicht fertig, egal wie gut das Dokument aussieht.

Buchstabe e verbindet den Vorfall mit der Geschäftsleitung

Zumindest schwerwiegende Vorfälle sind der zuständigen höheren Führungsebene zu melden und die Geschäftsleitung ist zu informieren, und zwar mit Auswirkungen, Gegenmaßnahmen und den zusätzlichen Kontrollen, die daraufhin einzurichten sind.

Der letzte Teil ist der, der meistens fehlt. Eine Vorfallmeldung an den Vorstand, die keine Aussage darüber enthält, was künftig anders läuft, erfüllt Buchstabe e nicht. Das ist zugleich die Brücke zu Artikel 5 Absatz 2 und zu den Lernprozessen des Artikels 13.

Der Prozess muss vor dem ersten Vorfall geschrieben und geübt sein

Artikel 17 verlangt nicht ausdrücklich eine Übung. Artikel 11 Absatz 6 verlangt Tests der Reaktions- und Wiederherstellungspläne, und Artikel 24 verlangt ein Testprogramm. Zusammengelesen heißt das: Ein Meldeprozess, den niemand je durchgespielt hat, wird beim ersten Ernstfall die Vier-Stunden-Frist reißen.

Eine Trockenübung von neunzig Minuten, einmal im Jahr, mit einem erfundenen Vorfall und einer echten Uhr, deckt mehr auf als jede Überarbeitung des Dokuments.