DORA und das Risikoprofil

habt ihr euch schon einmal gefragt, welche Rolle das „Risikoprofil“ gemäß DORA spielt und was genau dahinter steckt? Der Begriff taucht in der Verordnung gleich mehrfach und in verschiedenen Kontexten auf: das Gesamtrisikoprofil des Finanzunternehmens, das IKT-Risikoprofil des Finanzunternehmens und das Risikoprofil eines IKT-Assets oder IKT-Systems.

das Gesamtrisikoprofil des Finanzunternehmens,
das IKT-Risikoprofil des Finanzunternehmens und
das Risikoprofil eines IKT-Assets oder IKT-Systems.

Allein die Verwendungshäufigkeit dieses Begriffs deutet darauf hin, dass ihm eine zentrale Rolle zukommt. Grund genug für mich, dieser Thematik auf den Grund zu gehen. 😉

Was ist ein Risikoprofil?

Laut NIST stellt ein Risikoprofil eine priorisierte Übersicht der wichtigsten identifizierten Risiken dar, während ein Risikoregister eine vollständige Auflistung aller Einzelrisiken umfasst. Das Risikoprofil bietet somit eine fokussierte und aggregierte Sicht, während das Risikoregister als umfassende Dokumentation dient.

Das Gesamtrisikoprofil des Finanzunternehmens

Der Begriff „Gesamtrisikoprofil“ ist in der Finanzwelt bekannt, etwa aus den MaRisk AT 2.2. Hier heißt es:

„Zur Beurteilung der Wesentlichkeit hat sich die Geschäftsleitung regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken des Instituts zu verschaffen […] (Gesamtrisikoprofil).“

In der DORA-Verordnung wird das Gesamtrisikoprofil herangezogen, wenn es um die unternehmensspezifische und angemessene Ausgestaltung von Richtlinien, Verfahren, Protokollen und Tools für die IKT-Sicherheit geht. Die Sicherheitsanforderungen (z.B. an die Verschlüsselung oder Netzwerksicherheit) müssen also passend zum Gesamtrisikoprofil des Finanzunternehmens formuliert werden. Das zugrunde liegende Prinzip ist auch als „Proportionalitätsprinzip“ bekannt. Konkret kann dieses Risikoprofil bei folgenden Aspekten berücksichtigt werden:

bei der Ausgestaltung des IKT-Risikomanagementrahmens (vgl. Art. 1 RTS RMF),
bei der Ausgestaltung des IKT-Drittparteienrisikomanagements (vgl. Art. 1 RTS TPPol), und
bei der Ausgestaltung des Managements der Unterauftragnehmer (vgl. Art. 1 RTS Subcon).

Das IKT-Risikoprofil des Finanzunternehmens

Der Begriff „IKT-Risikoprofil“ ist uns aus der nationalen Aufsichtspraxis eher weniger geläufig, obwohl er in der Vergangenheit bereits eine wichtige Rolle gespielt hat – etwa bei der Festlegung von Prüfungsschwerpunkten in Sonderprüfungen der Aufsichtsbehörden.

In DORA wird dieser Begriff im Zusammenhang mit folgenden Themen verwendet:

Die IKT-Risiken sind zu überwachen, damit Änderungen, die sich auf das IKT-Risikoprofil auswirken könnten, rasch erkannt werden können (vgl. Art. 3 RTS RMF).
Im Bericht über die Überprüfung des IKT-Risikomanagementrahmens muss eine Zusammenfassung des bestehenden IKT-Risikoprofils dargestellt werden (vgl. Art. 27 RTS RMF).
Die Aufsichtsbehörden sollten bei der Bestimmung der TLPT-relevanten Finanzunternehmen unter anderem das spezifische IKT-Risikoprofil berücksichtigen (vgl. Art. 26 DORA-VO).

Methodik zur Ermittlung des IKT-Risikoprofils

Um das IKT-Risikoprofil angemessen berücksichtigen zu können, müssen wir eine Methodik zu dessen Ermittlung entwickeln. Glücklicherweise finden sich in der Europäischen Aufsichtsliteratur nützliche Hinweise. Die EBA-Leitlinien zur IKT-Risikobewertung im Rahmen des SREP-Prozesses präzisieren den Begriff und erläutern, wie Aufsichtsbehörden das IKT-Risikoprofil eines Instituts bewerten können. Demnach sollten folgende Unternehmensspezifischen Sachverhalte bewertet werden:

Relevanz von IKT-Störungen für die Finanzmarktstabilität
Anfälligkeit für Cyberangriffe
Anfälligkeit durch komplexe oder veraltete IKT-Systeme
Anfälligkeit infolge wesentlicher IKT-Änderungen
Bedeutung von Drittparteienrisiken durch IKT-Drittbezug
Anfälligkeit durch aggressive IKT-Kostensenkung
Anfälligkeit durch Standortfaktoren

Kurz gesagt: Die Aufsicht verschafft sich einen Überblick über das IKT-Risikoinventar des Finanzunternehmens und erstellt eine aggregierte Übersicht der wichtigsten IKT-Risiken entlang der sieben genannten Dimensionen. Dies führt zu einer „aufsichtlichen Perspektive“ auf das IKT-Risikoprofil des Finanzunternehmens.

Dieses Vorgehen lässt sich natürlich auch prima innerhalb des Unternehmens anwenden, um eine „hausinterne Perspektive“ zu entwickeln. Im einfachsten Fall greifen wir dazu auf unsere bestehenden IKT-Risikoinventare zurück, die alle identifizierten Einzelrisiken umfassen. Diese Risiken ordnen wir den sieben Dimensionen zu und aggregieren sie, um ein umfassendes Gesamtbild zu erhalten.

Klingt einfach – ist es aber in der Regel nicht! Der Prozess der Risikoaggregation kann zeitaufwendig sein und erfordert häufig konzeptionelle Vorarbeit. Daher empfehle ich, bei Bedarf einen vereinfachten Zwischenschritt zu gehen: Anstatt einer präzisen mathematischen Herleitung können zunächst Expertenschätzungen zur Ermittlung des Risikoausmaßes in den sieben Dimensionen genutzt werden. Eine einfache Bewertungsskala kann helfen, die Risikoexposition im Vergleich zum Branchendurchschnitt zu ermitteln:

• Das Risiko ist viel höher als in der Branche üblich (+2 Punkte)

• Das Risiko ist etwas höher als im Branchendurchschnitt (+1 Punkt)

• Das Risiko entspricht dem, was in der Branche üblich ist (+/- 0 Punkte)

• Das Risiko liegt etwas unter dem Branchendurchschnitt (-1 Punkt)

• Das Risiko ist viel niedriger als in der Branche üblich (-2 Punkte)

Das so erstellte IKT-Risikoprofil kann dann visualisiert werden, z.B. in einem Spinnendiagramm, um die Schwerpunkte des IKT-Risikomanagements darzustellen und den Handlungsspielraum für die Gestaltung der IKT-Sicherheitsanforderungen festzulegen.

Artikelinhalte — Beispielhaftes IKT-Risikoprofil

Das Gesamtrisikoprofil eines IKT-Assets oder IKT-Systems

Das Gesamtrisikoprofil eines IKT-Assets oder IKT-Systems scheint zunächst eines der größten Mysterien in der DORA-Verordnung darzustellen. Dieses Risikoprofil ist von zentraler Bedeutung, wenn es um folgende Sachverhalte geht:

• die Festlegung der Häufigkeit von Schwachstellenscans,

• die Priorisierung von Patches und Sicherheitsmaßnahmen,

• die Trennung und Segmentierung von Netzwerken,

• die Überprüfung von Firewall-Regeln,

• die Festlegung von Authentifizierungsverfahren, und

• die Gestaltung der Vorgaben zur physischen Sicherheit.

Die Frage, wie dieses Risikoprofil zu identifizieren ist, wird in der Literatur nur unzureichend behandelt. Die Aufgabe ist jedoch womöglich einfacher, als es auf den ersten Blick scheint!

Bereits in der Vergangenheit mussten wir auf Ebene einzelner Assets sogenannte Soll-Ist-Vergleiche durchführen, um spezifische IKT-Risiken für jedes Asset zu identifizieren. Grundlage hierfür war der sogenannte „Sollmaßnahmenkatalog“, der Schutzmaßnahmen für verschiedene Assettypen (wie Software, Hardware oder Netzwerke) definierte. Wurde eine Maßnahme nicht umgesetzt, galt dies als Schwachstelle, die das IKT-Risiko des jeweiligen Assets erhöhte.

Wenn nun alle Einzelrisiken, die sich aus technischen und organisatorischen Schwachstellen ergeben, thematisch zusammengefasst und aggregiert werden, entsteht ein Gesamtrisikoprofil, dass genutzt werden kann, um das Schutzniveau des IKT-Assets zu beschreiben, den Sicherheitsstatus zu bewerten und die notwendigen Sicherheitsmaßnahmen zur Risikominimierung festzulegen. Dies schließt natürlich auch die weiter oben genannten Handlungsfelder wie etwa die Häufigkeit von Schwachstellenscans oder die Priorisierung von Patches und Sicherheitsmaßnahmen ein.

Ich vermute, das war heute keine leichte Lektüre 😉 Aber ein fundiertes Grundverständnis der Begrifflichkeiten im Bereich IKT-Risikomanagement ist entscheidend, um in den DORA-Projekten die richtigen Entscheidungen zu treffen und Maßnahmen einzuleiten.

Ich bin gespannt auf eure Fragen, Sichtweisen und Anmerkungen zu diesem anspruchsvollen Thema – gerne wie immer hier in den Kommentaren oder auch im Private Chat.

Einen schönen Tag und bis bald!