Resilienz von Finanzunternehmen Digital Operational Resilience Act: Cybersicherheit in der EU

Anbieter zum Thema

mod IT Services GmbH

G DATA CyberDefense AG

Fsas Technologies GmbH

XOPERO SOFTWARE S.A.

Eine aktuelle Sicherheitslücke demonstriert die zunehmende Bedrohung von Cyberattacken für den Finanzsektor. Ein neuer Gesetzesentwurf der EU soll nun die Widerstandsfähigkeit von europäischen (Finanz)Unternehmen stärken.

Von einer Sicherheitslücke in der Datenübertragungssoftware „MOVEit“, die vor allem in der Finanzbranche eingesetzt wird, sind aktuell mehr als 40 Länder betroffen, allein in Deutschland mehr als 100 Unternehmen – Tendenz steigend. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Datenabflüsse bestätigt. Auch die US-amerikanische Cybersicherheitsbehörde CISA und die britische Sicherheitsbehörde warnen vor der Bedrohung.

Dass Finanzunternehmen als Teil der kritischen Infrastruktur besonders von Cyberattacken bedroht sind, zeigt eine Untersuchung des Sicherheitsunternehmens Yeswehack. Demnach waren 93 Prozent aller Finanzunternehmen in der DACH-Region im Jahr 2022 regelmäßig Opfer von Hackerangriffen.

Einheitliche Regeln mit DORA

Im europäischen Raum existiert jedoch kein einheitlicher Rechtsrahmen, um die Cyber-Sicherheit im Finanzsektor zu organisieren. Mit dem „Digital Operational Resilience Act“ (DORA) möchte die Europäische Union (EU) nun die Regelungen harmonisieren und europäische Finanzunternehmen und deren Dienstleister für Informations- und Kommunikationstechnologie (ITK) gegen Cyberattacken wappnen. Durch DORA soll sichergestellt werden, dass die Unternehmen über angemessene Sicherheitssysteme verfügen, damit der Betrieb im Fall eines Angriffs reibungslos weiterlaufen kann.

Mit der neuen EU-Verordnung werden die Regelungen zur Cybersicherheit nicht nur unternehmensübergreifend harmonisiert, sondern auch grenzübergreifend. Mitgliedstaaten haben mit der Verabschiedung von DORA keinen Anlass mehr, im Alleingang nationale Vorschriften und Standards zu erlassen.

Vor allem international tätige Finanzunternehmen erhalten dadurch Rechtsklarheit zu Vorschriften für digitale Resilienz. Die Verordnung ist am 16. Januar 2023 in Kraft getreten und wird am 17. Januar 2025 angewendet.

Änderungen auch für ITK-Drittdienstleister

Es ist zu erwarten, dass die Verordnung mehr als 22.000 Unternehmen betreffen wird. Dabei gilt DORA nicht nur für alle auf EU-Ebene regulierten Finanzunternehmen, wie Banken, Kreditinstitute, Ratingagenturen und Anbieter von Krypto-Dienstleistungen, sondern auch für Unternehmen die ITK-bezogene Dienstleistungen für diese Finanzunternehmen erbringen.

Zu diesen ITK-Drittdienstleistern zählen beispielsweise Cloud-Speicheranbieter. Ziel ist es, Cyberbedrohungen entlang der gesamten Wertschöpfungskette zu mindern. Denn die Cybersicherheit großer Unternehmen kann auch durch Schwachstellen in den Netzwerken der Dienstleister bedroht sein, wenn Hacker dadurch Zugriff auf sensible Daten erhalten.

Um den Anforderungen von DORA bis zum Januar 2025 nachzukommen, müssen alle betroffenen Unternehmen Sicherheitsmaßnahmen in fünf Bereichen vornehmen:

• im ITK-Risiko-Management,

• in der Berichterstattung über ITK-bezogene Vorfälle,

• im Management des ITK-Drittparteienrisikos,

• in der digitalen operationellen Widerstandsfähigkeit

• und dem Informationsaustausch.

ITK-Risiko-Management

DORA verpflichtet Unternehmen dazu, einen umfassenden Rahmen für das ITK-Risiko-Management zu schaffen und diesen zu dokumentieren. Dazu gehört die Entwicklung von geeigneten Plänen, um auf mögliche digitale Störungen vorbereitet zu sein, sowie die Nutzung von ITK-Systemen, die anormale Aktivitäten sofort erkennen.

Berichterstattung über ITK-bezogene Vorfälle

Künftig müssen alle ITK-bezogenen Vorfälle unverzüglich an die zuständigen EU-Behörden gemeldet werden. Dazu sollte ein Management-Prozess eingerichtet werden, der Vorfälle überwacht und protokolliert. Das inkludiert Pläne zur Klassifizierung, Bewältigung und Berichterstattung dieser Vorfälle.

Management des ITK-Drittparteienrisikos

Bei vertraglichen Vereinbarungen müssen Finanzunternehmen und ITK-Dienstleister Regelungen zum Abschluss, zur Erfüllung und Beendigung des Arbeitsverhältnisses nachkommen. Außerdem etabliert DORA einen Aufsichtsrahmen für kritische ITK-Dienstleister, die entscheidend zur Betriebsfähigkeit des Finanzsektors beitragen. Sie sollen durch die European Supervisory Authorities (ESA) überwacht werden. Eine Liste kritischer ITK-Anbieter wird jährlich veröffentlicht.

Digitale operationelle Widerstandsfähigkeit

Ab sofort sollten Unternehmen Programme implementieren, die regelmäßig die Abwehrbereitschaft und Schwachstellen des IT-Sicherheitssystems testen. Werden bei den Tests Lücken erkannt, müssen umgehend Strategien zur Klassifizierung und Behebung erarbeitet werden. Je nach Größe und Risikoprofil des Unternehmens bestehen verschiedene Anforderungen an diese Tests. So werden für kleinere Unternehmen Standardtests der ITK-Werkzeuge und -Systeme genutzt, für größere Häuser hingegen Tests auf der Grundlage von Threat-Led Penetration Testing (TLPT).

Informationsaustausch

Nicht nur die Unternehmen müssen künftig ITK-bezogenen Vorfälle melden, sondern die EU-Aufsichtsbehörden teilen ihrerseits relevante anonymisierte Informationen über Cyberrisiken. DORA soll Finanzunternehmen zudem veranlassen, Vereinbarungen zum Austausch von Informationen über Cyberbedrohungen zu treffen. Durch den Informationsaustausch soll das Bewusstsein für ITK-Risiken gestärkt und Methoden zur Erkennung von Bedrohungen optimiert werden.

So werden Unternehmen DORA-konform

Um alle Anforderungen der Verordnung bis 2025 zu erfüllen, sollten Finanzunternehmen und ITK-Dienstleister zunächst umfangreiche Gap-Analysen durchführen. Dabei wird die eigene IT-Sicherheit auf Lücken geprüft. Fallen Schwachstellen auf, sollte ein sicheres Netzwerk auf Basis eines stabilen Schwachstellen-Managements und automatisierten Penetrationstests eingerichtet werden.

Schwachstellen-Management-Tools sollten regelmäßige, professionelle Scans durchführen und Alarm schlagen, wenn etwas mit einer Konfiguration nicht stimmt oder Passwörter unsicher sind. Werden Sicherheitslücken bereits mit einem etablierten Schwachstellenmanagement-Prozess kontrolliert, sind im nächsten Schritt Penetrationstests (auch Pentesting genannt) sinnvoll.

Beim Pentesting werden die Vorgehensweisen von Hackern imitiert und Exploits ausgeführt. Schwachstellen werden also tatsächlich ausgenutzt und es kann ermittelt werden, welcher Schaden daraus entstehen würde. Sicherheitslücken, die auf dem ersten Blick nicht bedrohlich aussehen, können sich nämlich als äußerst kritisch erweisen. Herkömmliche Schwachstellen-Scanner haben nicht die Fähigkeit, dies zu ermitteln.

SIEM-Werkzeuge

Eine weitere Maßnahme zur DORA-Konformität sind sogenannte SIEM-Tools (Security Information and Event Management). Dabei handelt es sich um automatisierte Sicherheitstechniken, die Daten auf Anomalien prüfen – und zwar in Echtzeit. SIEM-Tools sind fester Bestandteil von Security Operation Centers (SOC).

Ein SOC besteht aus einem unternehmensinternen oder externen Team von IT-Sicherheitsexperten, die das IT-Netzwerk eines Unternehmens rund um die Uhr überwachen. So wird sichergestellt, dass Bedrohungen auf Anhieb erkannt werden und der größtmögliche Schaden aufgrund der schnellen Reaktion abgewendet werden kann.

Die Umsetzung von DORA bedeutet für die betroffenen Unternehmen Abstimmungs-, Schulungs- und Implementierungsaufwände. Daher sollten Finanzinstitute und ITK-Dienstleister so früh wie möglich angemessene Sicherheitsmaßnahmen implementieren. So bietet DORA die Chance auf langfristige Cybersicherheit: Denn ein Schaden durch Cyberattacken verursacht höhere Kosten als die Investition in Sicherheitsmaßnahmen.

(ID:49639372)