Der Katalog der IKT-Sicherheitsmaßnahmen unter DORA

„ Bitte stellen Sie uns den aktuell gültigen Katalog der IKT-Sicherheitsmaßnahmen bereit. " Eine Frage aus DORA-Prüfungen nach § 44 KWG, die für Stirnrunzeln sorgt. Denn DORA kennt diesen Katalog nicht.

1. Eine Frage, die für Stirnrunzeln sorgt

„Bitte stellen Sie uns den aktuell gültigen Katalog der IKT-Sicherheitsmaßnahmen bereit.„

Eine Frage aus DORA-Prüfungen nach § 44 KWG, die für Stirnrunzeln sorgt. Denn DORA kennt diesen Katalog nicht. Häufig ergänzen die Prüfer ihre Dokumentenanforderung sogar um einen Klammerzusatz: Gemeint sei der frühere Sollmaßnahmenkatalog aus BAIT-Zeiten.

Da werden also zwei Begriffe benutzt, von denen keiner in DORA zu finden ist. Und doch ist die Aufsicht befugt, eine Erwartungshaltung zu formulieren und eine Antwort zu bekommen, in diesem Fall eine Dokumentenlieferung.

Weil das die neue Realität ist und weil ich in den letzten Wochen selbst mehrfach wieder über diesen Begriff gestolpert bin, habe ich mich noch einmal gründlich damit befasst, wie die Aufsicht eigentlich zu der Auffassung kommt, dass wir diesen Katalog haben sollten.

2. Das Dokument gibt es nicht

DORA schreibt vor, welche internen Dokumente es geben muss, und schreibt ihnen Mindestinhalte zu. Die BaFin hat das in ihrer Übersicht der Dokumentationsanforderungen zusammengetragen: gut 60 Mindestdokumente, darunter rund 25 Leit- und Richtlinien und knapp 20 Verfahren, dazu Strategien, Pläne, Register und Berichte. Der thematische Bogen reicht vom Assetmanagement über Kryptografie, Schwachstellen- und Patchmanagement, Protokollierung und Netzwerksicherheit bis zu Vorfallbehandlung, Geschäftsfortführung und Datensicherung.

Diese Präzision ist bemerkenswert. Jedes einzelne dieser Dokumente könnten die Prüfer anfragen, und jedermann und jederfrau wüsste sofort, was gemeint ist.

Ein Katalog der IKT-Sicherheitsmaßnahmen hingegen steht nicht in dieser Liste. Auch das Wort Sollmaßnahmenkatalog kommt auf den mehreren hundert Seiten von DORA und den anhängigen Rechtstexten nicht vor.

Gefragt wird trotzdem, und zwar regelmäßig. Die Erwartung muss also woanders herkommen.

3. Woher der Begriff kommt

Unter den BAIT hatte jedes Institut einen Sollmaßnahmenkatalog vorzuhalten. In Tz. 3.6 stand geschrieben, das Institut habe Anforderungen zu definieren, die zur Erreichung des jeweiligen Schutzbedarfs angemessen sind, und diese in geeigneter Form zu dokumentieren. Der Begriff stand also ausdrücklich im Aufsichtstext, und im Laufe der Jahre wurde jedem klar, was damit gemeint war.

Der Sollmaßnahmenkatalog hatte oftmals Vorgabencharakter. Er war in der Regel ein Anhang zur Informationssicherheitsleitlinie und enthielt konkrete technische und organisatorische Maßnahmen, die der Informationssicherheitsbeauftragte oder dessen Team definierten.

Gebaut wurde er meist aus ISO-27001/27002-Controls, hausspezifisch konkretisiert und den Schutzbedarfsstufen zugeordnet. Er war die Soll-Seite, gegen die geprüft wurde: gegen die eigenen internen Richtlinien und gegen den tatsächlichen Zustand der IKT-Systeme. Wurden dabei Lücken festgestellt, entstanden hieraus IT-Risiken, die der Risikoanalyse unterzogen wurden.

Diese Konstruktion hat eine ganze Generation von Prüfern und Informationssicherheitsbeauftragten im Finanzsektor geprägt, und sie hält sich bis heute. Beide Seiten suchen ein Instrument, das die enorme Bandbreite der Maßnahmen im Überblick hält und mit dem sich der Zustand der Informationssicherheit messen lässt, europäisch formuliert: der Stand der digitalen operationalen Resilienz.

Gewohnheit und Praktikabilität erklären also den Wunsch nach einem Katalog der IKT-Sicherheitsmaßnahmen. Sie erklären aber nicht, ob die Erwartung unter DORA noch einen Boden hat.

4. Die Suche nach dem Begriff

Wenn Prüfer nach dem Katalog oder nach IKT-Sicherheitsmaßnahmen fragen, ist mein erster Reflex natürlich ein Blick in die Verordnung und ihre ergänzenden Rechtstexte. Ich würde wetten, viele Fachkolleginnen und Fachkollegen haben es mir gleichgetan und waren vom Ergebnis gleichermaßen überrascht wie ich.

Der Begriff IKT-Sicherheitsmaßnahmen findet sich im Titel II des RTS zum IKT-Risikomanagement, also in dem Teil, der für die allermeisten Institute gilt, lediglich an einer einzigen Stelle: im Art. 17 zum Änderungsmanagement, wo zu bewerten ist, ob eine Änderung „zusätzliche IKT-Sicherheitsmaßnahmen erfordert“.

Eine Definition gibt es nicht, und auch keinen Erwägungsgrund, der den Begriff aufgreift. Nirgends im Hauptregime steht, was genau zusammen die IKT-Sicherheitsmaßnahmen eines Hauses bildet, und schon gar nicht, was einen Katalog dieser Maßnahmen ausmachen sollte.

Der Fund steht im vereinfachten IKT-Risikomanagementrahmen!

Genau diese Lücke füllt eine einzige Vorschrift, und die steht dort, wo man sie nicht sucht: im Titel III, dem vereinfachten Rahmen für Unternehmen nach Art. 16 Abs. 1 DORA. Dort trägt Art. 29 die Überschrift „Informationssicherheitsleitlinien und -maßnahmen“. Fast beiläufig wird der Begriff dort gleich mehrfach benutzt und geschärft:

„Auf der Grundlage ihrer in Absatz 1 genannten Informationssicherheitsleitlinie legen die … Finanzunternehmen IKT-Sicherheitsmaßnahmen zur Minderung ihres IKT-Risikos fest und setzen diese um … Die IKT-Sicherheitsmaßnahmen müssen alle in den Artikeln 30 bis 38 genannten Maßnahmen umfassen.“

Wer die alte BAIT noch im Kopf hat, erkennt die Konstruktion sofort. Die Informationssicherheitsleitlinie oben, darauf aufbauend die Maßnahmen zur Minderung des IKT-Risikos, also genau das, was damals in einem Sollmaßnahmenkatalog zu dokumentieren war. Und die Artikel 30 bis 38 machen deutlich, was zu diesen IKT-Sicherheitsmaßnahmen, also den Maßnahmen zur Minderung des IKT-Risikos, dazugehört:

• Klassifizierung von IKT-Assets,
• Risikomanagement,
• physische Sicherheit,
• Zugangskontrolle,
• Betriebssicherheit,
• Daten-, System- und Netzwerksicherheit,
• Sicherheitstests,
• Beschaffung und Wartung,
• Projekt- und Änderungsmanagement.

Derselbe thematische Bogen wie in der Dokumentenliste für normal große Institute, nur diesmal als IKT-Sicherheitsmaßnahmen benannt. Der Begriff existiert also. Er steht nur an einem unerwarteten Ort, und im Hauptregime bekommt dieselbe Sache einen anderen Namen: Dort werden all diese Maßnahmen in Form der geforderten IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools adressiert.

5. Der Rechtsanker

Damit ist zumindest auf der inhaltlichen Ebene klar, was gemeint ist. Bleibt die Frage nach der Pflicht: Verlangt DORA irgendwo, diese Maßnahmen in etwas wie einem Katalog zusammenzutragen?

Der Anker steht in Art. 3 RTS zum IKT-Risikomanagement, Buchstabe c:

„Festlegung von Maßnahmen für die Behandlung von IKT-Risiken, die erforderlich sind, um diese unter die Risikotoleranzschwelle nach Buchstabe a zu senken.“

Und auch hier gilt: Wer die alte BAIT-Anforderung im Kopf hat, liest dieselbe Anweisung. Dort hieß es:

„Das Institut hat Anforderungen zu definieren, die zur Erreichung des jeweiligen Schutzbedarfs angemessen sind, und diese in geeigneter Form zu dokumentieren (Sollmaßnahmenkatalog).“

Anforderungen ermitteln, festlegen, dokumentieren. Die Fortschreibung ist wörtlich genug, damit ein Prüfer sie zu seiner Erwartungshaltung erklären kann. Kein Rechtssatz verlangt den Katalog als eigenständiges Dokument, aber er bleibt die zweckmäßige Erfüllungsform dieser Pflicht.

6. Was sich wirklich geändert hat

Wenn die Pflicht dieselbe geblieben ist, stellt sich die Frage, was sich überhaupt geändert hat. Genau hier liegt der eigentliche Bruch zur alten Welt, und ich finde, wir haben ihn bislang nicht klar genug benannt.

Die BAIT war prinzipienorientiert. Sie verpflichtete die Institute, ihren Sollmaßnahmenkatalog selbst zu erstellen: auf Grundlage anerkannter Standards, in eigener Verantwortung ausgestaltet und auf das jeweilige Haus zugeschnitten.

DORA geht einen anderen Weg. Der europäische Gesetzgeber definiert den Mindestbestand der IKT-Sicherheitsmaßnahmen heute selbst. Was früher von den Instituten aus Standards abgeleitet werden musste, ist nun weitgehend unmittelbar im Gesetz und den ergänzenden technischen Regulierungsstandards beschrieben.

DORA ist damit der gesetzliche Mindest-Sollmaßnahmenkatalog.

Gänzlich neu ist dabei allerdings nichts, und das wundert auch kaum. Denn der Gesetzgeber macht es nicht anders als wir früher. Die wenigsten Institute haben ihre Sollmaßnahmenkataloge jemals auf der grünen Wiese entwickelt, sie wurden regelmäßig aus den Controls der ISO 27001 beziehungsweise 27002 abgeleitet und anschließend an die Besonderheiten des Hauses angepasst. Wer die fachlichen Regelungsbereiche von DORA durchgeht, erkennt genau diese Herkunft wieder: eine Art Best of der ISO, ergänzt um einige Vorgaben, die dem Gesetzgeber besonders wichtig waren.

Für uns besteht der Unterschied damit vor allem in der Quelle, aus der wir unseren Katalog der IKT-Sicherheitsmaßnahmen abschreiben. Früher war es die ISO 27001/27002, heute ist es DORA.

Und auch die Pflicht zur Konkretisierung der Maßnahmen ist geblieben. Wie früher sind die gesetzlichen Vorgaben zu ergänzen und zu konkretisieren, etwa zu Speicherfristen für Protokolldaten, zur Häufigkeit von Datensicherungen in Abhängigkeit von der Kritikalität oder zur Abstufung von Sicherheitsmaßnahmen nach Klassifizierung. Diese Konkretisierungs- und Festlegungspflichten sind ihrerseits prüfbare Anforderungen. Das Gesetz verlangt, dass die Entscheidungen getroffen, dokumentiert und verankert werden. Den konkreten Inhalt bestimmt weiterhin das Finanzunternehmen.

7. Eine Sicht, keine zweite Regelwelt

Wenn nun also DORA selbst der Sollmaßnahmenkatalog ist, was bleibt dann von unseren alten Sollmaßnahmenkatalogen übrig, die wir in den Häusern bislang geführt haben und noch immer führen?

Hier lohnt eine Präzisierung. DORA liefert den Mindestbestand, aber DORA ist kein Katalog. Es ist das Gesetz, das definiert, welche Maßnahmen wir in unserem Anweisungswesen regeln müssen.

Daraus ergeben sich zwei Aufgaben für den Katalog des Hauses.

1. Er sammelt ein. Was DORA über viele verschiedene Strategien, Richtlinien und Verfahren verteilt, trägt er wieder zusammen und macht die dort verstreuten technischen und organisatorischen IKT-Sicherheitsmaßnahmen als Ganzes sichtbar. Konsolidierung, so würde ich es nennen.
2. Er ergänzt. Denn die Konkretisierungen, die das Gesetz dem Haus überlässt, gehören ebenfalls hinein, um den Überblick zu behalten. Dazu kommt alles, was neue Bedrohungen und Schwachstellen erzwingen und was so in keinem Rechtstext steht. Der Katalog ist damit mehr als die Summe des gesetzlichen Mindestbestands.

Was er dagegen nicht mehr sein kann: eine zweite oder gar übergeordnete Regelungsschicht. Er ist eine zweite Sicht auf dieselben Anforderungen. Denn verbindlich werden IKT-Sicherheitsmaßnahmen an genau einem Ort, nämlich in der schriftlich fixierten Ordnung, dem Anweisungswesen des Hauses. Der Katalog folgt ihm und nimmt nichts auf, was nicht den Freigabeweg durchlaufen hat.

8. Die Herausforderung

Genau daraus entsteht jedoch ein praktisches Problem: redundante Daten. Jede IKT-Sicherheitsmaßnahme existiert zweimal, einmal als verbindliche Regelung im Anweisungswesen und einmal als Eintrag im Sollmaßnahmenkatalog. Beide müssen dauerhaft konsistent bleiben. Andernfalls laufen sie auseinander, und am Ende ist unklar, welche Regelung tatsächlich gilt.

Deshalb braucht es eine klare Governance. Änderungen am Anweisungswesen und am Sollmaßnahmenkatalog dürfen nicht unabhängig voneinander erfolgen, sondern müssen aufeinander abgestimmt und zeitgleich umgesetzt werden.

In der Theorie klingt das einfach. In der Praxis ist es das selten.

Denn die gesamte Architektur hängt an Gremienläufen. Richtlinien werden in vielen Finanzunternehmen über Monate hinweg abgestimmt und beschlossen, der Sollmaßnahmenkatalog folgt diesen Änderungen anschließend. Gleichzeitig verändern sich Bedrohungslage, Technologien und Angriffsvektoren, insbesondere durch den Einsatz von KI, innerhalb weniger Tage oder Wochen.

Die sauberste Katalogarchitektur hilft deshalb wenig, wenn sie der Bedrohungslage dauerhaft hinterherläuft.

Vielleicht besteht die eigentliche Herausforderung unter DORA heute gar nicht mehr darin, die richtigen IKT-Sicherheitsmaßnahmen zu definieren. Den europäischen Mindeststandard liefert das Regelwerk bereits. Sie liegt vielmehr darin, diesen Mindeststandard und die eigenen Konkretisierungen schneller fortzuentwickeln, als sich die Bedrohungslage verändert.

Wie Finanzunternehmen ihre Governance und ihr Anweisungswesen auf dieses Tempo ausrichten können, ist eine eigene Diskussion. Eine fertige Antwort habe ich darauf nicht. Aber genau diese Frage gehört spätestens bei der nächsten Überprüfung des IKT-Risikomanagementrahmens nach Art. 6 Abs. 5 DORA auf den Tisch.