1 https://www.bankingsupervision.europa.eu/press/interviews/date/2024/html/ssm.in240328~e66e047ea7.en.html

In den letzten Jahren gab es keinen Mangel an Artikeln, Blogs, Vorträgen, Veranstaltungen und Webinaren über DORA, den Digital Operational Resilience Act. Es ist schwer vorstellbar, dass irgendjemand in der Finanzdienstleistungsbranche die bevorstehenden Vorschriften der Europäischen Union nicht kennt. Und es ist noch schwieriger zu glauben, dass es irgendjemanden da draußen gibt, der nicht zumindest darüber nachgedacht hat, wie sich das auf seine Arbeit auswirken könnte.

Doch nur kurz vor dem Inkrafttreten von DORA scheinen sich nur wenige Unternehmen darüber im Klaren zu sein, wie sie diese bahnbrechende Verordnung angehen sollen.

Alle sind sich darüber im Klaren, dass neue Vorschriften erforderlich sind, da die Branche immer stärker auf IT angewiesen ist, die Zahl der digitalen

Angriffsflächen zunimmt und die Gefährdung durch Cyber-Sicherheitsbedrohungen steigt. Schließlich ist die Tatsache, dass sich die Zahl der Cybervorfälle im EU-Bankensektor im Jahr 2023 im Vergleich zu 20221 verdoppelt hat, kaum zu übersehen. Dennoch macht der Ernst der Lage die Medizin nicht leichter zu schlucken.

Mehr als Sicherheit: Eine Analyse der weiteren Auswirkungen von DORA

1

Natürlich wurden in den letzten Jahren eine Reihe von Gesprächen mit den Kunden über DORA geführt. Und obwohl sie mit ihren eigenen Cybersicherheitsvorkehrungen zufrieden sind, bleiben die Bedenken über die weitreichenden Auswirkungen von DORA bestehen. Schließlich bedeutet der Umfang der Vorschriften, dass es hier um viel mehr geht als um reine Verteidigung.

Vor diesem Hintergrund - und mit nur noch etwas mehr als 150 Tagen bis zum Inkrafttreten von DORA - werden sieben der häufigsten Herausforderungen im Zusammenhang mit DORA erörtert, die den Chief Information Security Officers (CISOs) heute unter den Nägeln brennen.

1. Die Lieferkette DORA unterstreicht die Notwendigkeit, die Risiken Dritter zu managen, um die operative Leistung zu verbessern. Der wohl entmutigende Teil der neuen Vorschriften ist, dass Finanzdienstleister für die Sicherheit ihrer gesamten Lieferkette verantwortlich sein werden.

Die Realität sieht so aus, dass DORA von den Finanzdienstleistern verlangt, dass sie an ihre Zulieferer enorme Anforderungen stellen. In vielen Fällen wird dies die Anwendung von „Knock-out“- Kriterien erfordern, bei denen jeder Lieferant, der nicht den angemessenen Schutzstandard nachweisen kann, von der Liste gestrichen wird.

Trotz der Störungen, die dies verursachen könnte, werden die Risiken einfach als zu extrem angesehen, um eine andere Vorgehensweise zu wählen.

2. Kultur DORA weist auch auf die Notwendigkeit eines tiefgreifenden kulturellen Wandels innerhalb der Finanzdienstleistungsbranche hin. In der Regel - und verständlicherweise - sind die Unternehmen des Sektors nur selten bereit, Vorfälle im Bereich der Cybersicherheit offenzulegen.

Schließlich riskieren sie damit in der Regel einen Imageschaden und geben anderen Cyberkriminellen ein Zeichen der Verwundbarkeit.

Das wird sich mit der neuen Verordnung ändern, die vorschreibt, dass alle schwerwiegenden Vorfälle öffentlich gemacht werden müssen. Diese Art von Offenheit steht im Widerspruch zu einigen tief verwurzelten Verhaltensweisen innerhalb der Branche und könnte sich als schwieriger zu überwinden erweisen als jede andere Herausforderung auf dieser Liste.

3. Berichterstattung Die Veröffentlichung erfolgreicher Angriffe wird nicht die einzige kommunikationsbezogene Änderung sein, die sich durch DORA ergibt. Nach den neuen Vorschriften sind Finanzdienstleistungsunternehmen auch verpflichtet, solche Vorfälle an eine „sachkundige Stelle“ innerhalb ihrer nationalen Regierung zu melden.

Auch dies stellt eine Herausforderung dar, da dieser Prozess stark von der technologischen Reife des jeweiligen Marktes abhängt. Nicht jedes Land verfügt über eine so kompetente Stelle wie das Information Commissioner’s Office (Großbritannien) oder die Federal Trade Commission (USA), und das könnte letztlich zu weiterer Verwirrung führen.

Noch

150 Tage bis zum Inkrafttreten

von DORA

2

4. Red-teaming Red-teaming, bei dem die Cybersicherheit eines Unternehmens wie bei einem echten Angriff getestet wird - ist bei vielen Finanzdienstleistern bereits üblich. Das Problem ist, dass diese Übungen nicht immer einen echten Angriff imitieren, sondern sich eher auf „Capture the Flag“-Aktivitäten auf verschiedenen Servern konzentrieren, anstatt die vernetzte Kette von Diensten zu testen, auf die ein Unternehmen angewiesen ist.

Hinzu kommt, dass die DORA vorschreibt, dass Finanzunternehmen alle drei Jahre fortgeschrittene Tests unter Verwendung von bedrohungsorientierten Penetrationstests (TLPT) durchführen müssen, was die Nachfrage nach qualifizierten Testern nur noch erhöhen wird. Da diese ohnehin knapp sind, wird sich dies wahrscheinlich auch auf die Kosten für diejenigen auswirken, die ihre Dienste in Anspruch nehmen wollen.

5. Cybersicherheitsübungen DORA enthält auch Bestimmungen zu Cybersicherheitsübungen als Teil der Anforderungen für Penetrationstests. Wie bei der obigen Anmerkung zum Red Teaming liegt der Schwerpunkt vieler dieser Übungen jedoch auf bestimmten Abteilungen und nicht auf der Organisation als Ganzes.

Auch hier geht es also um einen kulturellen Wandel - die Wahrnehmung muss sich weg vom Schutz einzelner Verantwortungsbereiche und hin zur Organisation als Ganzes ändern.

6. Dokumentation Die Dokumentationsanforderungen sind ein wesentlicher Bestandteil von DORA. Die Idee ist, dass Finanzdienstleister über solide Pläne verfügen, auf die sie zurückgreifen können, wenn ein größerer IT-Vorfall eintritt. Daher müssen die Unternehmen nachweisen, dass sie vorbereitet sind, indem sie Dokumente erstellen, in denen die Prozesse für das Incident Management und die Beziehungen zu externen IT-Dienstleistern beschrieben sind.

Dies kann für jede Organisation, die noch keine

Erfahrung mit einem Cybersicherheitsvorfall hat, eine Herausforderung darstellen. Schließlich weiß man nicht, was man nicht weiß – und so kann es schwierig sein, herauszufinden, an wen man sich im Falle eines Sicherheitsverstoßes wenden muss, wenn man das nicht bereits weiß.

7. Persönliche Haftung Eine größere persönliche Verantwortlichkeit war schon immer ein wesentliches Ziel von DORA. Sie weist die Mitgliedstaaten an, eine individuelle zivilrechtliche Haftung für Vorstandsmitglieder einzuführen, so dass diese persönlich haftbar gemacht werden können, wenn sie ihren Verpflichtungen gemäß DORA nicht nachkommen.

Die Verordnungen gehen sogar noch einen Schritt weiter. Sie gehen nicht ausdrücklich auf eine mögliche strafrechtliche Haftung ein, aber die Möglichkeit einer individuellen strafrechtlichen Haftung für Vorstandsmitglieder wird beibehalten. Obwohl dies nicht ausdrücklich im DORA erwähnt wird, müssen die Mitgliedsstaaten entscheiden, ob sie strafrechtliche Sanktionen verhängen wollen.

Unabhängig von ihrer Entscheidung wird diese Bedingung wahrscheinlich dazu führen, dass DORA auf der Tagesordnung der Führungsebene nach oben rückt - und Chief Information Security Officers mit einigen potenziell unangenehmen Fragen ihrer Kollegen konfrontiert werden.

DORA stellt eindeutig einen großen Schritt über die bisherigen Anforderungen an die Cybersicherheit in der Finanzdienstleistungsbranche hinaus dar. Und so verlockend es auch sein mag, anzunehmen, dass es - wie bei der DSGVO - eine Verzögerung geben wird, bevor Bußgelder verhängt werden, so kann doch niemand mit Sicherheit sagen, wann es zu einem verfolgbaren Verstoß kommen wird.

Je näher die Umsetzungsfrist rückt, desto mehr sollte man daran denken, dass - Wer sich immer noch mit einigen der größeren Herausforderungen von DORA herumschlägt, ist nicht allein.

© 2024 Check Point Software Technologies Ltd. Alle Rechte vorbehalten. 3