IKT-Risiken und IKT-Risikotoleranzschwelle

Liebe DORA-Community, seit letzter Woche sind die Schulungsfolien aus meiner DORA-Werkstatt für euch verfügbar. Einige Folien benötigen vielleicht noch etwas mehr Erklärung und Kontext.

Liebe DORA-Community,

seit letzter Woche sind die Schulungsfolien aus meiner DORA-Werkstatt für euch verfügbar. Einige Folien benötigen vielleicht noch etwas mehr Erklärung und Kontext. Aus diesem Grund habe ich heute einen Beitrag zum Thema IKT-Risikomanagement vorbereitet, der einige der wichtigsten Abbildungen aus meinen Schulungsfolien im Detail erläutert.

In einem erstem fachspezifischen Beitrag kurz vor dem Jahreswechsel hatte ich bereits das Thema IKT-Risikobewertung und -behandlung aufgegriffen. Es handelt sich dabei um eines der zentralen Themen für die Sicherstellung der digitalen operationalen Resilienz nach DORA. Besonders deutlich wird hier die sogenannte „Akzentverschiebung“ von der klassischen Informationssicherheit hin zu einer deutlich stärkeren Betonung des IKT-Risikomanagements.

Was genau damit gemeint ist, lässt sich relativ einfach erklären: Bislang stand in unserer nationalen IT-Regulierung das Thema „Informationssicherheit“ im Vordergrund. Es bestand ein enger Bezug zur BSI-Grundschutz-Methodik, bei der zur Erreichung eines bestimmten „Basisschutzes“ definierte Sollmaßnahmen zwingend umgesetzt werden mussten. Darauf aufbauend wurden in einem zweiten Schritt Risikoanalysen durchgeführt, um für besonders schützenswerte Assets weiterführende Sicherheitsmaßnahmen abzuleiten.

Diese Logik ist gemäß DORA nicht mehr vorgeschrieben. Stattdessen beginnt die Sicherstellung der digitalen operationalen Resilienz nun mit der Ermittlung kritischer oder wichtiger Funktionen (kwF) sowie der Identifikation unterstützender Assets und deren Kritikalitätsbewertung. Diese Informationen dienen als Grundlage für die ersten Risikoanalysen. Erst im zweiten Schritt werden auf Basis der identifizierten Risiken die geeigneten Maßnahmen zur Risikobehandlung abgeleitet.

Um eine „DORA-konforme“ Risikobewertung zu erstellen, fordert Artikel 3 des RTS Risk Management die Identifikation von Schwachstellen und Bedrohungen, die potenziell die IKT-Assets und -Prozesse des Unternehmens gefährden könnten. IKT-Risiken entstehen dabei durch die negativen Auswirkungen, die auftreten könnten, wenn Bedrohungen bestehende Schwachstellen gezielt ausnutzen.

Im Einklang mit DORA müssen sowohl quantitative als auch qualitative Werte ermittelt werden, um die Wahrscheinlichkeit und den möglichen Schaden der identifizierten Risiken zu bewerten und eine fundierte Risikoeinschätzung vorzunehmen.

Für die identifizierten IKT-Risiken müssen, wenn erforderlich, geeignete Maßnahmen definiert werden, um diese unter die sogenannte Risikotoleranzschwelle zu senken. Dies führt uns zu einem weiteren zentralen Konzept nach DORA, das wir in ähnlicher Form bereits aus dem Management operationeller Risiken kennen.

Die IKT-Risikotoleranzschwelle definiert das Risiko, das ein Finanzunternehmen für eine bestimmte Zeit akzeptieren kann, ohne seine langfristige Existenz zu gefährden. Man kann sich diese Schwelle als einen „Risikotoleranz-Korridor“ auf der Risikomatrix vorstellen. Dieser Korridor trennt die Risiken, die innerhalb des akzeptablen Risikobereichs – also des Risikoappetits – liegen, von den untragbaren Risiken, die das Überleben des Unternehmens ernsthaft bedrohen könnten. Diese Schwelle muss von jedem Finanzunternehmen individuell festgelegt und in Übereinstimmung mit seiner Risikobereitschaft definiert werden.

• IKT-Risiken, die innerhalb des Risikoappetits bzw. der Risikobereitschaft des Unternehmens liegen, können grundsätzlich ohne sofortige Risikobehandlungsmaßnahmen akzeptiert werden.
• IKT-Risiken, die jedoch im Risikotoleranz-Korridor liegen, müssen gemäß DORA aktiv reduziert werden, um sie unter die Risikotoleranzschwelle zu senken. Hierzu sind geeignete Maßnahmen zur Risikobehandlung festzulegen, die beispielsweise aus unserem Sollmaßnahmenkatalog abgeleitet werden können.
• Der rote Bereich stellt die nicht-tolerierbaren IKT-Risiken dar, die das Unternehmen existenziell gefährden könnten. Diese Risiken sollten, wenn möglich, gar nicht eingegangen werden.

Alle identifizierten IKT-Risiken müssen in ein Risikoinventar aufgenommen und regelmäßig, mindestens jedoch jährlich, überprüft werden. Dies stellt sicher, dass die ursprüngliche Risikoeinschätzung weiterhin gültig ist. Dabei lassen sich zwei Gruppen von IKT-Risiken unterscheiden:

• IKT-Risiken, die unterhalb der Risikotoleranzschwelle liegen, und
• IKT-Risiken, die die Risikobereitschaft überschreiten.

Für die zweite Gruppe muss gewährleistet sein, dass diese Risiken nur von Personen oder Funktionen eingegangen und akzeptiert werden dürfen, die dazu „befugt“ sind. Diese Befugnis zur Risikoakzeptanz leitet sich häufig aus der Zeichnungskompetenz ab, die mit dem zu akzeptierenden Risiko im Einklang stehen sollte.

Nun stellt sich noch die Frage, was das Ganze mit dem IKT-Risikoprofil zu tun hat, über das ich im letzten Artikel gesprochen habe. Auch das lässt sich einfach erklären: Das IKT-Risikoprofil stellt eine aggregierte Sicht auf alle IKT-Risiken im Risikoinventar dar. Die Einzelrisiken werden den übergeordneten IKT-Risikokategorien zugeordnet und für jede dieser Kategorien wird ein „Risikoausmaß“ aus der Gesamtperspektive des Unternehmens ermittelt.

Dieses Profil sollte als Steuerungsinstrument verwendet werden, besonders wenn es darum geht, die Schwerpunkte und die Ausgestaltung des IKT-Risikomanagementrahmens oder des IKT-Drittparteienrisikomanagements festzulegen. Das Prinzip dahinter ist simpel: Je größer das Risikoausmaß einer Kategorie, desto mehr Ressourcen und Aufmerksamkeit müssen in deren Management investiert werden. Weniger ausgeprägte Kategorien erfordern entsprechend weniger Aufmerksamkeit.

Das ist Risikomanagement in seiner reinsten Form: Wir fokussieren uns auf die entscheidenden Herausforderungen und vermeiden es, uns in den vielen kleinen Details von IKT-Risiken zu verlieren, die keine wesentliche Bedeutung für die digitale operationale Resilienz des Gesamtunternehmens haben.

Die Informationen und Grafiken in diesem Artikel sowie viele weitere hilfreiche Visualisierungen und Anforderungen zur DORA-Verordnung finden Sie in meinem Schulungsfoliensatz. Weitere Details und Informationen dazu findet ihr auf meiner Website 🙂

Ich freue mich wie immer über Feedback, Kommentare und Fragen. Habt einen schönen Tag und bis bald.