Kontinuität wird zum neuen Cybersecurity-Maßstab auf Vorstandsebene

Eine Bank stoppt einen Cyberangriff, kann aber drei Tage lang einen Lieferanten nicht bezahlen. Das Sicherheitsteam wird von einem Erfolg sprechen, während der Vorstand den neuen Maßstab bereits verfehlt hat. Genau dieser Unterschied zwischen dem Stoppen eines Angriffs und dem Aufrechterhalten des Geschäftsbetriebs macht die Diskussion in Limassol so relevant.

Philenews berichtete am 13. Oktober vom Forbes Cyprus Next Gen Banking & Fintech Summit. Die Diskussionsteilnehmer waren sich einig: Neben der Abwehr von Angriffen wird inzwischen auch die operative Resilienz erwartet. Sie entwickelt sich zunehmend zum Maßstab, an dem Finanzinstitute gemessen werden.

Die meisten Berichte werden diesen Wandel auf den Bankensektor beschränken. Die wichtigere Erkenntnis ist jedoch, dass Banken lediglich die erste Branche sind, in der eine neue Kennzahl zum Einsatz kommt: eine zeitlich definierte, getestete und nachgewiesene Schwelle für die Aufrechterhaltung des Geschäftsbetriebs. Dieser Maßstab wird sich auch auf andere Branchen übertragen.

Die Messlatte verschiebt sich: von abgewehrten Angriffen zu aufrechterhaltenen Dienstleistungen

Nicholas Kattirtirtzis von Odyssey Cybersecurity erläuterte den Wandel am Beispiel von DORA. Finanzinstitute müssen nachweisen, dass sie Betriebsstörungen standhalten, den Betrieb wiederherstellen und ihre wesentlichen Dienstleistungen weiterhin erbringen können. Der Schutz ihrer IT-Systeme allein reicht nicht mehr aus. Wie er es formulierte: „Es geht nicht einfach darum, das IT-System wiederherzustellen. Es geht darum sicherzustellen, dass der Dienst weiterhin funktioniert.“

Dieser Satz sollte in jedem Sitzungssaal eines Vorstands hängen. Denn ein Wiederherstellungstest ist nicht vollständig, wenn er lediglich belegt, dass die zentrale Plattform wieder online ist, während der tatsächlich von Kunden genutzte Zahlungsdienst weiterhin ausfällt.

Die Geschäftsleitung muss wissen, wie lange kritische Dienstleistungen maximal nicht verfügbar sein dürfen, wie schnell sie wiederhergestellt werden können und ob die festgelegten Wiederherstellungsziele in Tests erreicht wurden. Die beruhigenden Aussagen im letztjährigen Notfall- und Kontinuitätsplan haben nur begrenzten Wert. Entscheidend sind die Ergebnisse eines Tests.

Bevor diese Anforderungen als bloße Checkliste behandelt werden, sollte zunächst geklärt werden, inwieweit das eigene Institut unter DORA fällt. Denn die konkreten Pflichten hängen von der Art der regulierten Dienstleistung ab. Die Übersicht zu den DORA-Anforderungen und regulatorischen Rahmenwerken ist ein geeigneter Ausgangspunkt, um diesen Geltungsbereich zu bestimmen.

Kontinuität wird zur Nachweisaufgabe

Kattirtirtirtisz betonte außerdem, wie wichtig es ist, die Wirksamkeit der Sicherheitskontrollen zu dokumentieren und die regulatorischen Compliance-Anforderungen aufeinander abzustimmen. Dadurch lässt sich auch der administrative Aufwand für Sicherheitsteams reduzieren.

Aus einer schriftlichen Zusicherung wird damit ein datiertes, durch Testergebnisse belegtes Verfahren. Genau diese Nachweise werden Aufsichtsbehörden, Auditoren und Kunden prüfen. Eine gut organisierte Dokumentation verhindert zudem, dass dieselbe Arbeit mehrfach erledigt werden muss.

Andreas Michaelides machte die rechtlichen Konsequenzen deutlich: Unternehmen und ihre Direktoren werden auch daran gemessen, was sie vor einem Vorfall getan oder versäumt haben. Die Fragen des Vorstands und die dokumentierten Antworten darauf werden Teil der späteren Nachweisführung.

Der Aufbau dieser Dokumentation ist eine Aufgabe, die im Rahmen einer Beratung zu Cybersicherheit und Governance angegangen werden kann. Ein solcher Beratungsansatz setzt bei den tatsächlichen Entscheidungen der Geschäftsleitung an und arbeitet rückwärts, um die dafür erforderlichen Nachweise zu identifizieren.

Für ein kleines Sicherheitsteam ist die verfügbare Kapazität häufig der Engpass. Es gibt keine eigene Abteilung für regulatorische Angelegenheiten, die die DORA-Zuordnung übernehmen könnte, und keine freien Stunden, um Dienstleistungen zu testen, die im Geschäftsalltag selten im Mittelpunkt stehen.

Der pragmatische Ansatz besteht darin, Dienstleistungen zu unterscheiden, deren Ausfall unmittelbar zu Umsatzeinbußen führt, und sie von weniger kritischen Leistungen abzugrenzen. Anschließend wird für jede Dienstleistung ein Wiederherstellungsziel festgelegt. Getestet wird zuerst, was für das Unternehmen am wichtigsten ist.

Für Lieferantenbeziehungen gilt derselbe Maßstab

Solon Houtris warnte davor, dass Outsourcing weder Risiken noch regulatorische Verpflichtungen beseitigt. Finanzinstitute bleiben verantwortlich, auch wenn Cloud-Anbieter, Softwarelieferanten und externe Partner Teile des Betriebs übernehmen.

Sicherheitsbewertungen sollten bereits vor Vertragsabschluss beginnen und während der gesamten Geschäftsbeziehung fortgesetzt werden. Dazu gehören vertragliche Schutzmaßnahmen, laufende Überwachung und Notfallpläne für den plötzlichen Ausfall eines Lieferanten.

Wenn Ihr Unternehmen einen Finanzdienstleister oder ein Fintech-Unternehmen beliefert, sollten Sie mit einem Fragebogen rechnen, der innerhalb einer festgelegten Frist Angaben zur getesteten Wiederherstellungszeit und zum Datum der letzten Übung verlangt.

Wenn Sie Cloud-Dienste nutzen, auf die eine Bank angewiesen ist, gilt derselbe Grundsatz für Sie: Sie müssen Ihre eigene Kontinuitätsschwelle kennen, denn die Bank wird einen messbaren Nachweis verlangen.

Die zunehmende Verbreitung von KI-Modellen und automatisierten Systemen erweitert die Lieferantenlandschaft zusätzlich. Jede weitere Abhängigkeit erschwert die Überwachung und erhöht die Bedeutung einer sorgfältigen Risikobewertung vor Vertragsabschluss.

Eine Frage, die auf die Tagesordnung des Vorstands gehört

Eine der sinnvollsten Maßnahmen für das laufende Quartal besteht darin, dem Vorstand eine konkrete Frage vorzulegen: Kennen wir für jede Dienstleistung, die wir als kritisch einstufen, die maximal tolerierbare Ausfallzeit, die zuletzt getestete Wiederherstellungszeit und das Datum dieses Tests?

Wenn diese Informationen fehlen, muss der Vorstand über die Finanzierung der erforderlichen Tests entscheiden.

Philenews zufolge waren die nationalen Rechtsvorschriften zur Durchsetzung von DORA und zur Verhängung von Sanktionen in Zypern noch nicht verabschiedet. Diese Übergangsphase sollte genutzt werden, um Kontinuitätsschwellen festzulegen und die erforderlichen Testnachweise zu sammeln, bevor die Durchsetzung der Vorschriften beginnt. Die Verpflichtungen selbst sind bereits definiert.

Fehlt dem Vorstand eine fachkundige Stimme für Cybersicherheit, kann ein Virtual CISO die Arbeit an den Kontinuitätsschwellen verantworten, ihre Einhaltung nachverfolgen und die Ergebnisse so aufbereiten, dass die Geschäftsleitung daraus konkrete Entscheidungen ableiten kann.

Wenn eine Kontinuitätsschwelle erstmals im Rahmen einer aufsichtsrechtlichen Prüfung relevant wird, kann die Dokumentation aus der Zeit vor dem Vorfall darüber entscheiden, ob lediglich Rückfragen gestellt werden oder ein formeller Prüfungsbefund entsteht.

Existiert diese Dokumentation heute noch nicht, beginnt die Arbeit mit einer einzigen kritischen Dienstleistung und einem datierten Test.