Verhältnismäßigkeit ist unter DORA in den meisten Häusern immer noch Bauchgefühl
Trotzdem habe ich bisher kaum eine strukturierte Bewertung gesehen, aus der sich nachvollziehbar ableiten lässt, wo eine stärkere und wo eine schlankere Ausgestaltung der IKT-Sicherheitsmaßnahmen begründbar ist.
Trotzdem habe ich bisher kaum eine strukturierte Bewertung gesehen, aus der sich nachvollziehbar ableiten lässt, wo eine stärkere und wo eine schlankere Ausgestaltung der IKT-Sicherheitsmaßnahmen begründbar ist.
In Art. 4 Abs. 1 DORA nennt der Gesetzgeber vier Parameter, die bei der Anwendung des Grundsatzes zu berücksichtigen sind:
- Größe
- Gesamtrisikoprofil
- Art und Umfang der Dienstleistungen, Tätigkeiten und Geschäfte
- deren Komplexität
Die Unternehmensgröße ist dabei noch der einfache Teil. Die könnte ich vermutlich aus dem Stegreif erklären. Bei den anderen drei würde ich mich nicht unbedingt sprechfähig fühlen.
❓ Was ist mit dem Gesamtrisikoprofil eigentlich gemeint?
❓ Woran bemisst sich Art und Umfang der Tätigkeiten?
❓ Wann ist ein Geschäft komplex?
Und vor allem: Was folgt daraus für die Ausgestaltung der IKT-Sicherheitsmaßnahmen?
Ich habe mich also drangemacht und die Parameter mit Kenngrößen unterlegt, die man tatsächlich bewerten kann. Alle aus Unterlagen, die das Finanzunternehmen längst hat.
Jede Kenngröße bekommt eine vierstufige Skala, angelehnt an die Logik, die uns aus Schutzbedarfsfeststellung und Risikobewertung vertraut ist.
Am Ende steht ein Verhältnismäßigkeitsprofil über alle vier Parameter. Im Karussell zeige ich es am Beispiel einer Musterbank.
Vorgeschrieben ist dieses Verfahren natürlich nirgends. Es ist mein Vorschlag, um die Entscheidung über die Ausgestaltung begründbar und überprüfbar zu machen.
Und damit lehne ich mich wie so oft bewusst ein wenig aus dem Fenster. 😉
Lasst uns das gerne diskutieren. Welche Kenngrößen fehlen euch und welche würdet ihr sofort wieder streichen?
Das zehnseitige Karussell aus dem Beitrag:
