Alle fordern Verhältnismäßigkeit. Doch kaum jemand kann erklären, was eigentlich verhältnismäßig ist

Ihr kennt das: In der Prüfung wird die Ausgestaltung einer IKT-Sicherheitsmaßnahme beanstandet. Ihr haltet sie für angemessen, der Prüfer sieht es anders.

Ihr kennt das: In der Prüfung wird die Ausgestaltung einer IKT-Sicherheitsmaßnahme beanstandet. Ihr haltet sie für angemessen, der Prüfer sieht es anders. Fast schon ein Running Gag. 😅

Aber woran machen wir fest, was angemessen ist? Sobald man das konkret bestimmen will, wird die Diskussion unscharf. Die sachgerechte Ausgestaltung wirkt plötzlich wie ein Moving Target. 🎯

Ein unbefriedigender Zustand – gerade jetzt, wo Proportionalität überall in den Mittelpunkt rückt: bei DORA, in der MaRisk-Novelle, in Prüfungsgesprächen. Der Weg führt weg von One-size-fits-all, hin zu begründeten, hausindividuellen Regelungen.

Doch mehr Freiheit bedeutet auch mehr Begründungslast.

Ein Blick in Art. 4 Abs. 1 DORA hilft. Dort nennt der Gesetzgeber vier Parameter, die bei der Anwendung des Grundsatzes zu berücksichtigen sind:

Größe
Gesamtrisikoprofil
Art und Umfang der Dienstleistungen, Tätigkeiten und Geschäfte
deren Komplexität

Klingt überschaubar. Die Schwierigkeit beginnt bei der Operationalisierung.

Bei der Größe lässt sich noch leicht bestimmen, was gemeint ist – und erklären, warum sie die Ausgestaltung beeinflusst. Aber was ist mit den anderen Parametern?

❓ Wie beeinflusst das Gesamtrisikoprofil die Verhältnismäßigkeit?
❓ Wie bewertet man Art und Umfang der Tätigkeiten?
❓ Wann ist eine Dienstleistung oder ein Geschäftsmodell komplex?

Und vor allem: Was folgt daraus für die konkrete Ausgestaltung der IKT-Sicherheitsmaßnahmen??

Auch ich habe diese Fragen in meiner DORA-Werkstatt lange nach hinten geschoben. Ich wollte erst den Mindestumfang verstehen und mich später um Proportionalität kümmern. Doch ist nicht gerade der Mindestumfang eine Frage der Verhältnismäßigkeit?

Wer entscheidet also, was angemessen und verhältnismäßig ist?

Zunächst das Finanzunternehmen selbst. Es muss seine Ausgestaltung herleiten und begründen – die Aufsicht prüft nach Art. 4 Abs. 3 DORA, wie der Grundsatz angewendet wurde.

Verhältnismäßigkeit braucht damit eine nachvollziehbare Begründungskette: Warum ist genau diese Ausgestaltung für genau dieses Haus angemessen?

Dafür braucht es mehr als einzelne Argumente zu einzelnen IKT-Sicherheitsmaßnahmen. Es braucht eine dokumentierte Einschätzung der eigenen Ausgangslage, auf die man immer wieder zurückgreift.

Ich nenne das ein Verhältnismäßigkeitsprofil.

Eine strukturierte Bewertung der vier Parameter, aus der sich ableiten lässt, wo stärkere und wo schlankere Ausgestaltung begründbar ist. An genau dieser Methode arbeite ich gerade und den ersten Entwurf zeige ich euch (hoffentlich) bald. 😉

Wie macht ihr das heute? Habt ihr für die Angemessenheit eurer Ausgestaltung mehr als die Unternehmensgröße?