Eine Störung im Zahlungssystem, ein ausgefallener Schnittstellen-Job, ein langsamer Datenbankserver: Für die IT sind das alltägliche Incidents. Seit DORA ist die entscheidende Frage jedoch eine andere, handelt es sich um einen meldepflichtigen IKT-Vorfall?

Genau hier liegt das Problem. Nicht jeder Incident ist ein IKT-Vorfall im Sinne von DORA. Aber viele Organisationen verfügen über keine strukturierte Klassifizierung, die diese Unterscheidung verlässlich, nachvollziehbar und auditfähig trifft. Die Folge: regulatorische Unsicherheit – und ein erhebliches Risiko in der Operational Resilience.

Warum DORA die bisherigen Incident-Prozesse verändert

DORA hebt das Incident Management aus der rein operativen IT-Welt auf eine regulatorische Ebene. Der Digital Operational Resilience Act verlangt, dass schwerwiegende IKT-Vorfälle erkannt, klassifiziert, dokumentiert und innerhalb enger Fristen an die Aufsicht gemeldet werden.

Damit steigen die Anforderungen an die Nachvollziehbarkeit deutlich. Jede Bewertungsentscheidung muss begründbar sein: Warum wurde ein Vorfall als schwerwiegend eingestuft – oder eben nicht? Welche Kriterien lagen zugrunde? Wer hat entschieden?

Hinzu kommen umfangreiche Dokumentationspflichten über den gesamten Lebenszyklus eines Vorfalls. Was im klassischen ITSM oft pragmatisch gehandhabt wurde, wird unter Audit-Gesichtspunkten zum prüfbaren Nachweis. Aufsicht und interne Revision erwarten konsistente, lückenlose und reproduzierbare Prozesse, keine Einzelfallentscheidungen aus dem Bauch heraus.

Das eigentliche Problem: Zu viele Incidents, zu wenig Transparenz

Regulierte Unternehmen im Finanzsektor verarbeiten täglich eine hohe Anzahl an Incidents. Die Herausforderung ist selten die Erfassung, sie ist die Bewertung.

In der Praxis erfolgt die Einstufung häufig manuell und stützt sich auf das Erfahrungswissen einzelner Mitarbeiter. Das führt zu unterschiedlichen Interpretationen desselben Sachverhalts: Was die eine Schicht als unkritisch einordnet, bewertet die nächste als potenziell meldepflichtig.

Fehlende Standards verschärfen das Bild. Ohne einheitliche Kriterien und klare Schwellenwerte entsteht kein belastbares Lagebild  und damit auch keine verlässliche Basis für die DORA-konforme Incident Classification. Transparenz über die tatsächliche Risikolage bleibt Stückwerk.

Von der Störung zur regulatorischen Bewertung

Der Schlüssel liegt in einer strukturierten, mehrstufigen Bewertung. Ein Incident durchläuft dabei eine definierte Entscheidungslogik: von der technischen Erstaufnahme über die Bewertung von Auswirkungen, etwa auf kritische Funktionen, Kunden, Daten oder Dauer – bis zur regulatorischen Einstufung anhand der DORA-Kriterien.

Entscheidend ist, dass diese Bewertung nicht in der IT verbleibt. Eine belastbare Risikoanalyse erfordert die frühzeitige Einbindung von Fachbereichen, Risikomanagement und Compliance. Erst das Zusammenspiel dieser Perspektiven macht eine fundierte Einstufung möglich.

Damit wird Incident Management zur Governance-Aufgabe. Es braucht klar definierte Rollen, Eskalationspfade und Verantwortlichkeiten – verankert in der IT Governance, nicht improvisiert im Tagesgeschäft.

Die Rolle von ServiceNow

ServiceNow kann hier ein zentraler Enabler sein, vorausgesetzt, die Prozesse werden konsequent neu gedacht und nicht nur abgebildet.

Die Stärke der Plattform liegt in der strukturierten Datenerfassung: einheitliche Felder, definierte Pflichtangaben und konsistente Kategorisierung schaffen die Grundlage für jede regulatorische Bewertung. Workflows führen den Vorfall entlang der definierten Entscheidungslogik und stellen sicher, dass kein Bewertungsschritt übersprungen wird.

Automatisierung entlastet dort, wo regelbasierte Vorbewertungen möglich sind, und beschleunigt Eskalationen unter Zeitdruck. Zugleich entsteht durch lückenlose Protokollierung die geforderte Nachvollziehbarkeit – jede Entscheidung wird mit Zeitstempel und Verantwortlichkeit dokumentiert.

Das Ergebnis ist Auditfähigkeit by Design: Prozesse, die nicht erst zum Prüfungstermin rekonstruiert werden müssen, sondern jederzeit belastbare Nachweise liefern.

Warum Testmanagement und Test Governance entscheidend sind

Ein oft unterschätzter Aspekt: Wer regulatorische Prozesse in ServiceNow abbildet, muss deren Funktionsfähigkeit nachweisen können. DORA verlangt nicht nur, dass Prozesse existieren, sondern dass sie nachweislich wirken.

Hier kommen Testmanagement und Test Governance ins Spiel. Strukturierte Testkonzepte stellen sicher, dass Klassifizierungslogik, Workflows und Eskalationen unter realistischen Bedingungen das tun, was sie sollen. Jede Anpassung an Regeln oder Schwellenwerten muss kontrolliert getestet und dokumentiert werden.

Test Governance schafft den Rahmen dafür: definierte Testprozesse, klare Verantwortlichkeiten und eine durchgängige Nachweisführung. Ohne diese Qualitätssicherung bleibt selbst der beste Prozess regulatorisch angreifbar, denn ein nicht getesteter Kontrollmechanismus ist im Audit nur eine Behauptung.

Fazit

DORA ist weit mehr als eine Compliance-Übung. Die Verordnung verschiebt den Fokus von der reinen Verfügbarkeit hin zu nachweisbarer Operational Resilience.

Im Zentrum stehen Governance und Transparenz. Unternehmen, die ihre Digitalisierung ernst nehmen, benötigen strukturierte, durchgängige Prozesse von der Störung bis zur regulatorischen Bewertung. ServiceNow kann dabei ein wichtiger Enabler sein – als Plattform, die Standards erzwingt und Nachvollziehbarkeit liefert.

Doch die eigentliche Herausforderung liegt häufig nicht in der Technologie, sondern in der richtigen Kombination aus Governance, Prozessen und Verantwortlichkeiten.