Von Cyber Security zu Cyber Resilience
Wie widerstandsfähig sind Unternehmen gegen Cyberangriffe? Unsere Studie in Kooperation mit Lünendonk gibt Antworten – jetzt herunterladen.
Studie herunterladenMaßnahmen für verschiedene Szenarien im Notfallplan hinterlegen
Darüber hinaus kann es sinnvoll sein, auf einzelne Szenarien abgestimmte Maßnahmen im Notfallhandbuch zu ergänzen. Denn je nach Geschäftsmodell können zum Beispiel bei einem IT-Ausfall Maßnahmen erforderlich sein, die sich von anderen Notfällen (wie Hackerangriffen, Ransomware-Attacken oder Energie-Blackouts) deutlich unterscheiden können.
Diese Empfehlung betrifft insbesondere auch Kommunikationsmaßnahmen. Denn ein IT-Ausfall, der durch automatische und in der Praxis oft nicht geprüfte Content-Updates hervorgerufen wird, kündigt sich nicht an, und seine Ursachen sind schwer zu ermitteln.
Abstimmungsprobleme und lange Wege: Ein Notfall offenbart schnell Defizite
In unserer Beratungspraxis zeigt sich zudem, dass bei einem Notfall schnell Defizite offenbart werden, wenn kein ganzheitlicher Ansatz verfolgt wird. Denn die Prozesse im Business Continuity Management sind häufig nicht mit denen des Security Incident Management und dem allgemeinen Problem Management harmonisiert. Daher sind die Entscheidungswege in manchen Fällen zu lang.
Häufig liegt hier auch ein wesentlicher Grund dafür, dass die Krisenkommunikation nicht die Qualität erreicht, die sie haben sollte. Kommunikative Maßnahmen werden oft erst dann ergriffen, wenn man sich sehr sicher ist, um welche Krisensituation es sich handelt.
Entsprechend viele Personen werden daher eingebunden und Recherchen vorgenommen. Wichtiger wäre in vielen Fällen jedoch, möglichst umgehend Kunden und Geschäftspartner über IT-Ausfälle zu informieren, um Orientierung zu geben und Verärgerung zu vermeiden.
MaRisk und DORA definieren Mindestanforderungen – besser ist es, mehr zu leisten
Die Vorgaben der Mindestanforderungen an das Risikomanagement (MaRisk) verpflichten Banken und Finanzdienstleister, Risiken für das operative Kerngeschäft zu erfassen und Notfallpläne im Rahmen des BCM vorzuhalten. Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Union außerdem für den Finanzsektor eine Regulierung für die Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz geschaffen. Gesetzgeber und Aufsichtsbehörden drängen also längst auf Verbesserungen.
Unsere Beobachtungen zeigen, dass sich viele Institute lediglich an den gesetzlichen Mindestanforderungen orientieren. Ratsam ist das nicht. Denn die Anforderungen abstrahieren vom Geschäftsmodell und den Besonderheiten der Institute.
Einmal jährlich Systeme und Prozesse testen – das reicht nicht aus
So verpflichtet DORA Banken und andere Finanzdienstleister beispielsweise dazu, die Notfall- und Wiederherstellungspläne ihres BCM mindestens einmal jährlich sowie bei wesentlichen Änderungen der IKT-Systeme zu testen. Und zum ersten Mal hat die EZB Anfang des Jahres die von ihr beaufsichtigten Institute mit einem Cyber-Stresstest auf erforderliche Maßnahmen geprüft.
Einmal jährlich – das sollte von den meisten Banken und Finanzdienstleistern als absolute Mindestanforderung interpretiert werden. Denn der Ausfall der IT in zentralen Wertschöpfungsbereichen eines Finanzinstituts führt nicht nur zu finanziellen Einbußen, sondern auch zu Vertrauens- und Reputationsverlusten bei Kunden. Auch das haben einige vom IT-Ausfall im Juli 2024 betroffene Unternehmen zu spüren bekommen.
