Wer glaubt, die CRA-Risikobewertung mit dem DORA-Werkzeugkasten erledigen zu können, der irrt

Er kommt zu Ergebnissen, die er für die CRA-Compliance nicht verwenden kann, und akzeptiert Risiken, die sich nach dem CRA nicht akzeptieren lassen.

Klingt erst mal paradox, ist aber leider wohl die traurige Wahrheit unseres Regulierungsrahmens. Ich hatte lange angenommen, wir DORA-Leute könnten den CRA nahtlos an DORA andocken und hätten mit dem, was wir gemäß DORA erledigt haben, schon die halbe Miete drin.

Doch zumindest beim Thema Risikoanalyse lag ich damit falsch, denn Cyber-Risiken eines Produktes gemäß CRA werden nicht mit Fokus auf das Unternehmen bewertet, sondern mit Fokus auf Nutzer und Dritte. Dazu ein Beispiel …

Eine Bank, die eine eigene Banking-App anbietet, ist gemäß den Leitlinien der EU-Kommission Herstellerin im Sinne des Cyber Resilience Act. Kommt die App ab Dezember 2027 neu auf den Markt oder wird sie danach wesentlich geändert, braucht sie eine Risikobewertung nach Art. 13 CRA.

Im DORA-Risikoinventar ist die App ein IKT-Asset mit einem eigenen IKT-Risiko im Risikoregister. Bedrohungen treffen auf Schwachstellen, also auf unzureichend umgesetzte Maßnahmen aus dem Sollmaßnahmenkatalog. Bewertet wird, ob eine Bedrohung sie ausnutzen kann und welcher Schaden dem Haus droht. Liegt das Risiko innerhalb der Risikotoleranz, wird es akzeptiert.

Anders beim CRA. Der Normentwurf prEN 40000-1-2 zeigt, wohin es läuft:

• Bewertet wird der Schaden für die Kunden, die die App nutzen, und für Dritte, die betroffen sein könnten. Risiken, die das Finanzunternehmen selbst treffen, bleiben Gegenstand der IKT-Risikoanalyse nach DORA.
• Auch der Assetbegriff und die Bezugsobjekte der Risiken ändern sich. Bei DORA stehen die Risiken im Fokus, die durch den Einsatz von IKT für Informationswerte und Geschäftsprozesse des Unternehmens entstehen. Beim CRA geht es um die Cyberrisiken, die die Schutzziele der Daten und Funktionen des Produkts gefährden.
• Welches Restrisiko hinnehmbar ist, richtet sich nach Verwendungszweck des Produktes, Nutzern, rechtlichen Vorgaben und Stand der Technik. Risikotoleranz, Geschäftsstrategie und Kosten des Hauses sind dabei kein Maßstab.
• Am Ende der Risikobewertung steht nicht nur ein Kreuz in einer Risikomatrix, sondern eine Anwendbarkeitserklärung: welche grundlegenden Cybersicherheitsanforderungen gelten und wie sie umgesetzt sind, ähnlich dem Statement of Applicability aus der ISO 27001.

Für uns im IKT-Risikomanagement heißt das: Wir müssen unsere bisherigen Methoden hinterfragen und dort weiterentwickeln, wo sie den neuen Anforderungen nicht mehr gerecht werden.