# DORA aus der Perspektive von bankgeschäftlichen Prüfungen
* [*1 IKT-Risiken im Fokus der Finanzaufsicht*](#tar-1 "1 IKT-Risiken im Fokus der Finanzaufsicht")
* *[*2 DORA-Implikationen für die Finanzaufsicht*](#tar-2 "2 DORA-Implikationen für die Finanzaufsicht")*
* **[*Drittdienstleister*](#tar-3 "Drittdienstleister")**
* ***[*)*](#tar-4 ")")***
* ***[*3 Ausblick*](#tar-5 "3 Ausblick")***
* ***[*Literaturverzeichnis*](#tar-6 "Literaturverzeichnis")***
****Die Bedeutung der Digitalisierung ist in der Finanzindustrie erheblich gestiegen. Allerdings sind Daten sowie Informations- und Kommunikationstechnologien () nicht nur Treiber des Fortschritts, sondern auch Quellen materieller Risiken. Die Verflechtungen und Abhängigkeiten innerhalb des Finanzsektors sowie zwischen Finanzunternehmen* [\[1\]](#_ftn_root_1)*und -Drittdienstleistern haben sich intensiviert, was die Anfälligkeit für systemweite Störungen erhöht. So sehen sich Finanzunternehmen, die essenzielle Dienstleistungen für die Volkswirtschaft bereitstellen, mit einer wachsenden Bedrohung durch Cyberangriffe und -Störungen konfrontiert. Ein prägnantes Beispiel ist die globale Großstörung, die von einem Drittanbieter im Juli 2024 durch eine fehlerhafte Aktualisierung eines weit verbreiteten -Produkts verursacht wurde.****{#par-ai8eie}
***Diese Risiken, die sich aus der tragenden Rolle, zunehmenden Abhängigkeit und mannigfaltigen Gefährdungen von digitalen Systemen ergeben, können nicht durch herkömmliche finanzielle Sicherheitsnetze* [\[2\]](#_ftn_root_2)*abgefangen werden. In Deutschland haben insbesondere die -Rundschreiben der Mindestanforderungen an das Risikomanagement () seit 2005 sowie die Bankaufsichtlichen Anforderungen an die () seit 2017 das im geforderte angemessene Risikomanagement und somit die Erwartung der Aufsicht an die Banken konkretisiert, bevor die European Banking Authority () in 2019 ihrerseits Leitlinien für das Management von - und Sicherheitsrisiken veröffentlichte. In der Praxis gibt es neben erkennbaren Fortschritten weiterhin regelmäßig Schwachstellen und, aufgrund der dynamischen Entwicklung der Bedrohungslandschaft, kontinuierlichen Verbesserungsbedarf beim Betrieb, der Weiterentwicklung und der Sicherheit von -Systemen sowie im -Risikomanagement. Dies zeigen die aufsichtlichen Prüfungen der Bundesbank bei Banken sowie deren -Drittdienstleistern.***{#par-o49u23}
***Die Einführung des Digital Operational Resilience Act () markiert einen wesentlichen Wendepunkt im Umgang mit -Risiken und -Drittdienstleistungen. Die -Anforderungen zur digitalen operationalen Widerstandsfähigkeit nebst den weiteren in der Verordnung getroffenen Regelungen sind wesentlich und notwendig, um die Stabilität des Finanzsektors regulatorisch angemessen zu flankieren. Durch eine -weite und den gesamten Finanzsektor umfassende Harmonisierung der Anforderungen an die digitale operationale Resilienz durch den europäischen Gesetzgeber werden bestehende nationale und sektorspezifische Vorgaben wie unter anderem die ersetzt, was zu einer effizienteren und kohärenteren Risikomanagementlandschaft des Finanzsektors der führen soll.***{#par-oe2eu4}
***soll die Widerstandsfähigkeit des Finanzsektors stärken und ein einheitliches Schutzniveau etablieren. Finanzunternehmen müssen durch technisch-organisatorische Maßnahmen sicherstellen, dass sie auch bei Eintritt eines schwerwiegenden -Vorfalls arbeitsfähig bleiben und den Normalbetrieb wiederaufnehmen können. Somit werden sich -Sonderprüfungen der Bundesbank bei Banken sowie deren -Drittdienstleistern zukünftig insbesondere auf die Governance und Organisation, den -Risikomanagementrahmen einschließlich des -Drittparteienrisikos sowie der hierfür erforderliche -Systeme, -Protokolle und -Tools erstrecken. Aber auch die Behandlung, Klassifizierung und Berichterstattung -bezogener Vorfälle sowie das Testen der digitalen operationalen Resilienz in den Finanzunternehmen rücken stärker in den aufsichtlichen Fokus. Die Bundesbank kann bei der laufenden Überwachung der Implementierung der -Anforderungen in Finanzinstituten auf langjährige Erfahrungen aufbauen und wird ihre Expertise sowie Erkenntnisse aus aufsichtlichen Prüfungen gezielt einbringen. Finanzinstitute sind aufgefordert, einen robusten -Risikomanagementrahmen zu implementieren, der alle Aspekte der digitalen operationalen Resilienz und die -Drittdienstleister umfasst.***{#par-u1585a}
**1 -Risiken im Fokus der Finanzaufsicht** {#tar-1}
---------------------------------------------------
**-**Risiken stellen zunehmend eine Herausforderung für Finanzinstitute dar.** Finanzinstitute und andere Finanzmarktteilnehmer nutzen in hohem Maße Informations- und Kommunikationstechnologien, um Dienstleistungen zu erbringen, die für die Volkswirtschaft zentral sind. Hierfür binden sie verstärkt -Dienstleistungen Dritter in das Geschäftsmodell sowie in interne Prozesse ein. Durch die zunehmende Digitalisierung wächst auch das -Risiko, was das Finanzsystem anfälliger für Cyberangriffe oder -Störungen macht. Bei finanziellen Schieflagen können beispielsweise finanzielle Puffer oder sektorspezifische Mechanismen die Liquidität oder Solvenz eines Finanzinstituts stabilisieren, um damit die systemische Ansteckung anderer Finanzmarktakteure zu verhindern. Bei einer bedingten Schieflage ist dies anders. -Störungen lassen sich nicht allein durch finanzielle Puffer überwinden, sondern das betroffene Institut muss entsprechenden Schäden durch technisch-organisatorische Maßnahmen vorbeugen, sodass es auch bei Eintritt eines schwerwiegenden Ereignisses arbeitsfähig bleibt und den Normalbetrieb wiederaufnehmen kann. So lassen sich zum Beispiel durch eine Ransomware-Attacke verschlüsselte Kundendaten durch finanzielle Puffer nicht entschlüsseln. Vielmehr dürfen solche Angriffe keine Ansteckungseffekte auf Backups entfalten, was deren hinreichend wirksame physische oder logische Segmentierung erfordert. Hier müssen die Finanzinstitute besondere Fähigkeiten aufbauen und Prozesse, wie beispielsweise Notfallkonzepte und Wiederanlaufpläne, implementieren. Diese wurden auch jüngst im Cyber-Stresstest der vor dem Hintergrund eines schwerwiegenden, aber plausiblen Szenario eines Cyber-Sicherheitsvorfalls überprüft, dem sich 109 Banken im gesamten Single Shared Market () unterzogen haben.[\[3\]](#_ftn_root_3)**{#par-a348u3}
**-**Risiken resultieren zunehmend auch aus schwerwiegenden Cyberbedrohungen mit hohem Schadensrisiko.** Die Anzahl der im von signifikanten Instituten an die Aufsicht gemeldeten -Vorfälle ebenso wie die Meldungen schwerwiegender Zahlungssicherheitsvorfälle in Deutschland (-Meldungen) bleiben trotz zunehmender Bedrohungen in den vergangenen Jahren etwa konstant. Allerdings waren die Risiken im Bereich der Informations- und Kommunikationstechnologie vor zwei Jahrzehnten hauptsächlich auf Störungen beschränkt, die zwar die Arbeits- und Kundenzufriedenheit beeinflusst haben, aber von geringem Schadensausmaß waren. Ursächlich für -Meldungen sind noch immer überwiegend Fehler beim Betrieb sowie der Aktualisierung von -Systemen. Doch haben sich die Bedrohungsszenarien signifikant gewandelt: Organisierte Kriminalitätsgruppen und zunehmende geopolitische Spannungen haben Cyberangriffe zu einer ernstzunehmenden Gefahr werden lassen, die ein beträchtlich höheres Schadenspotenzial mit sich bringt. Bei einem Kontowechseldienstanbieter wurden in 2023 etwa Kontodaten von Kunden diverser Banken bei einem Hackerangriff erbeutet.[\[4\]](#_ftn_root_4) In jüngster Zeit haben sich die -Vorfälle aufgrund des Ausnutzens von Schwachstellen gehäuft: Hierbei gelingt es den Angreifern, schadhaften Programmcode in die Zielinfrastrukturen einzuschleusen. Auch die wesentlich erhöhte Zahl an unberechtigten Zugriffen spricht für Verbesserungspotenziale im Security Information und Event Management System ()[\[5\]](#_ftn_root_5), um nicht autorisierte Datenzugriffe oder Berechtigungsänderungen effektiv zu unterbinden.**{#par-ueu837}
{#par-e9u85e}
****
**[\[6\]](#_ftn_root_6)**{#par-i16137}
{#par-oui533}
****
****Digitalisierung und Vernetzung bergen auch Risiken für die Finanzstabilität.** Mit der Digitalisierung des Finanzsektors gehen auch stärkere Verflechtungen innerhalb dieses Sektors sowie grundlegende Abhängigkeiten von -Drittdienstleistern einher. Cyberangriffe oder Störungen bei -Drittdienstleistern oder der flächendeckende Einsatz von bestimmten -Produkten oder -Services stellen aufgrund ihrer Auswirkungen für den gesamten Finanzsektor eine zunehmende Gefahr für die Finanzstabilität dar. Ein aktuelles Beispiel hierfür ist die weltweite Großstörung, welche im Juli 2024 durch ein Update eines Produktes der Firma CrowdStrike ausgelöst wurde. Diese betraf weltweit über acht Millionen Geräte und beeinträchtigte teilweise wichtige und kritische Funktionen von hunderten Unternehmen, darunter auch Finanzinstitute.[\[7\]](#_ftn_root_7) Die weltweiten Auswirkungen zeigen deutlich, wie vernetzt die gesamte Finanzindustrie ist und wie groß die Abhängigkeiten von -Drittdienstleistern sind. Dabei können die tatsächlichen Risiken noch größer sein als auf den ersten Blick angenommen, da -Drittdienstleister ihrerseits durch Weiterverlagerungen auf dieselben kritischen -Drittdienstleister Konzentrationsrisiken erhöhen oder weil die Lieferketten der bezogenen -Services nicht hinreichend überwacht werden.**{#par-i8u6u8}
**2 -Implikationen für die Finanzaufsicht** {#tar-2}
----------------------------------------------------
### **2.1 Ein Blick zurück -- die nationale sektorspezifische Überwachung von -Risiken**
****Der klassische Ansatz zum Umgang mit operationellen Risiken zielt insbesondere darauf ab, ausreichend Eigenkapital für den Schadensfall vorzuhalten.** Daneben müssen qualitative Anforderungen an ein angemessenes Risikomanagement sicherstellen, dass sowohl die Eintrittswahrscheinlichkeit als auch die Schadenshöhe von -Vorfällen so weit begrenzt werden, dass die Risikotragfähigkeit laufend gegeben ist. In Deutschland haben die -Rundenschreiben seit 2005 sowie seit 2017 das im geforderte angemessene Risikomanagement und somit die Erwartung der Aufsicht an die Banken hinsichtlich einer angemessenen technisch-organisatorischen Ausstattung und des Notfallmanagements für -Systeme konkretisiert. Dies galt, bevor die in 2019 ihrerseits Leitlinien für das Management von - und Sicherheitsrisiken veröffentlichte. Diese Leitlinien wurden in den Novellen der sowie der von der in enger Zusammenarbeit mit der Bundesbank umgesetzt. Eben dies erfolgte in 2021 im Rundschreiben Zahlungsdienstliche Anforderungen an die ().[\[8\]](#_ftn_root_8)**{#par-ua882e}
****Die Prüfungen der Bundesbank zeigen trotz signifikanter Fortschritte bei den Instituten aufgrund der dynamischen Bedrohungslage anhaltenden Handlungsbedarf im**-**Risikomanagement auf.** Seit mehr als einem Jahrzehnt wird die Bundesbank regelmäßig unter anderem mit aufsichtlichen Vor-Ort-Sonderprüfungen beauftragt, die sich auf die Ordnungsmäßigkeit der Geschäftsorganisation gemäß der §§ 25a,b in Verbindung mit - beziehungsweise § 27 in Verbindung mit bei Finanzinstituten und deren -Drittdienstleistern erstrecken. Im Laufe dieser Zeit hat sich der Reifegrad es -Risikomanagements einschließlich des Managements von Auslagerungsrisiken in den geprüften Unternehmen mehrheitlich deutlich erhöht. Angesichts zunehmender Bedrohungen sind jedoch auch die Anforderungen an das Management von -Risiken gestiegen. Trotz der Fortschritte ermitteln Prüfungen nach wie vor wesentliche Schwachstellen, kritische Problembereiche und einen kontinuierlichen Verbesserungsbedarf im Hinblick auf den Umgang mit -Risiken. So wurden auch im Jahr 2023 Prüfungsfeststellungen in elementaren Bereichen des -Risikomanagements getroffen, wobei über die Hälfte dieser Feststellungen gewichtig oder schwerwiegend waren.**{#par-e2iaou}
### **2.2 Der Blick nach vorn -- als sektorübergreifende -Verordnung**
****Ein wesentliches Ziel von****ist es, die digitale operationale Widerstandsfähigkeit des gesamten Finanzsektors der****zu stärken.** Die Finanzunternehmen sollen insbesondere gegenüber Cyberangriffen oder -Störungen bei Finanzmarktteilnehmern und -Drittdienstleistern robuste Mechanismen etablieren, die ein einheitlich hohes Schutzniveau sicherstellen. verpflichtet die drei Europäischen Aufsichtsbehörden ()[\[9\]](#_ftn_root_9) zudem, Entwürfe für gemeinsame technische Regulierungs- sowie Durchführungsstandards für auszuarbeiten und diese an die Europäische Kommission zu übermitteln. Gleichzeitig erhält die Europäische Kommission die Befugnis, um diese Standards zu ergänzen oder diese Standards zu erlassen.**{#par-aa9ao2}
****Aufgrund der Harmonisierung der wichtigsten Anforderungen an die digitale operationale Resilienz durch den europäischen Gesetzgeber werden die nationalen sektoralen Anforderungen an die**-**Sicherheit im Finanzsektor in Deutschland aufgehoben.** Dies betrifft sowohl die als auch die .[\[10\]](#_ftn_root_10) Obwohl die Kompetenz zur Regulierung aller Elemente der digitalen operationalen Resilienz beim europäischen Gesetzgeber liegt, wirkt die deutsche Finanzaufsicht in den gemeinsamen Gremien der bei der Ausgestaltung von technischen Regulierungs- und Durchführungsstandards sowie in den Q\&A Prozessen zu mit.**{#par-u97669}
****verstärkt die Anforderungen an die operative Resilienz, um die Stabilität bedeutender Finanzfunktionen zu gewährleisten.** verlangt von Finanzinstituten ein resilientes -Risikomanagement. Es gibt im deutschen Finanzsektor bereits hohe aufsichtliche Erwartungen an die -Sicherheit gemäß , und . Indes führt mit dem Fokus auf die digitale operationale Resilienz erweiterte Vorgaben und neue Schwerpunkte hinsichtlich der digitalen operationalen Widerstandsfähigkeit ein.[\[11\]](#_ftn_root_11) Diese zielen darauf ab, nicht allein die potenziellen Schäden infolge von -Störungen zu vermeiden oder auf ein tolerierbares Maß zu reduzieren, sondern insbesondere sicherzustellen, dass kritische und wichtige Funktionen des Finanzunternehmens auch in Krisensituationen fortgeführt oder zeitnah reaktiviert werden können. Damit sollen die Integrität und das ordnungsgemäße Funktionieren des Finanzmarktes unter allen Umständen gewährleistet werden.**{#par-u9ao95}
### **2.3 Lernfelder für zukünftige -Prüfungen**
#### **2.3.1 Governance und Organisation**
****Finanzinstitute sind dazu angehalten, eine wirksame****Governance****-Struktur und Organisationsform für das Management von**-**Risiken zu implementieren.** Der dafür erforderliche -Risikomanagementrahmen muss zentrale Elemente der digitalen operationalen Resilienz abdecken, darunter Identifizierung, Schutz und Prävention, Erkennung, Reaktion, Wiederherstellung sowie Backup und Restoration. Diese Elemente sollten durch zuverlässige, widerstandsfähige -Systeme sowie durch durchdachte Protokolle und Werkzeuge gestärkt werden. In Anbetracht der sich kontinuierlich wandelnden Cyberbedrohungen ist eine stetige Weiterbildung aller Mitarbeiterinnen und Mitarbeiter sowie eine permanente Weiterentwicklung des Risikomanagementansatzes notwendig. Im Fall eines Cyberangriffs oder -Vorfalls ist eine klare und umfassende Kommunikation mit allen relevanten Interessengruppen, einschließlich Aufsichtsbehörden, Kunden und der breiten Öffentlichkeit, unabdingbar. Ergänzende technische Regulierungsstandards spezifizieren die Vorgaben für bestimmte Bereiche des -Risikomanagements weiter.[\[12\]](#_ftn_root_12)**{#par-a18112}
{#par-a9o8e7}
****
**-**Kompetenz im Leitungsorgan wird unerlässlich.** Das Leitungsorgan, welches für Kredit- und Zahlungsinstitute sowohl die Geschäftsleitung als auch den Aufsichtsrat umfasst, trägt die uneingeschränkte und letztliche Verantwortung für das angemessene Management des -Risikos. Dies umfasst unter anderem die Definition der strategischen Ziele zur digitalen operationalen Resilienz des Instituts. Das Leitungsorgan hat hierzu selbst über ausreichende Kenntnisse und Fähigkeiten zu verfügen und muss diese regelmäßig auf dem aktuellen Stand halten, um die -Risiken und deren Auswirkungen auf das Finanzinstitut ausreichend verstehen und bewerten zu können. Hierzu sind regelmäßig speziell auf den Bedarf zugeschnittene Schulungen zu absolvieren.**{#par-u94852}
#### **2.3.2 -Risikomanagementrahmen**
****Governance** **- und Kontrollrahmen sind grundlegend für das ordnungsgemäße Management der**-**Risiken.** Nur ein umfassender, schriftlich fixierter -Risikomanagementrahmen kann die strategischen Vorgaben des Leitungsorgans verlässlich transportieren und ein hohes Niveau digitaler operationaler Resilienz nach dem Stand der Technik gewährleisten. Dieser Rahmen muss detaillierte Strategien, Leitlinien, Richtlinien, Verfahren und Kontrollmechanismen umfassen, die speziell auf die Identifikation, Bewertung, Steuerung und Überwachung von spezifischen -Risiken des Instituts abzielen. Um mit der sich laufend ändernden Bedrohungslandschaft Schritt zu halten, ist es unerlässlich, den Rahmen regelmäßig, mindestens jährlich zu überprüfen und zu aktualisieren. In den Finanzunternehmen sind zudem anlassbezogene Überprüfungen bei schwerwiegenden -bezogenen Vorfällen oder aufgrund aufsichtsrechtlicher Anweisungen oder Feststellungen erforderlich. Nur so können die Sicherheitsstrategien des Unternehmens kontinuierlich optimiert und die digitale operationale Widerstandsfähigkeit weiter gestärkt werden.**{#par-ii8eo2}
**Auf den -Risikomanagementrahmen sollten die Finanzunternehmen besonderes Augenmerk legen. Nicht zuletzt haben aufsichtliche Prüfungen der , und der letzten Jahre diesbezüglich wiederholt Schwächen aufgedeckt, insbesondere hinsichtlich der Vollständigkeit, des Detaillierungsgrades und der Aktualität der schriftlich fixierten Ordnung. -Finanzunternehmen sind künftig verpflichtet, den zuständigen Behörden auf Anfrage vollständige und aktuelle Informationen über ihre -Risiken und ihren -Risikomanagementrahmen vorzulegen.**{#par-o12iua}
{#par-ueia63}
****
#### **2.3.3 -Kontrollfunktion**
****Eine interne, unabhängige**-**Kontrollfunktion ist entscheidend für die effektive Überwachung von**-**Risiken und die Stärkung der digitalen operationalen Resilienz.** Mit der Einführung von ändern sich die regulatorischen Anforderungen. Die bisherigen Vorschriften in Deutschland, die gemäß grundsätzlich einen internen Informationssicherheitsbeauftragten () vorsahen, werden durch eine breiter gefasste -Kontrollfunktion ersetzt, die für das Management und die Überwachung des -Risikos zuständig ist. Die Implementierung einer unabhängigen -Kontrollfunktion ist für eine effektive Überwachung von -Risiken und zur Unterstützung des Leitungsorgans unerlässlich.**{#par-a83ou9}
****Zur Überwachung der institutseigenen**-**Landschaft ist es unerlässlich, dass die zuständige Kontrollfunktion die implementierten Prozesse und Produkte sehr gut kennt.** Daher ist es in der Regel. angebracht, diese -Kontrollfunktion nicht auszulagern, sondern sie innerhalb des Instituts zu belassen, um Synergien zu maximieren und eine schnelle Reaktionsfähigkeit bei -Vorfällen zu gewährleisten. Die interne Verankerung dieser Funktion fördert eine effektive Kontrolle über -Risiken und trägt maßgeblich zur Stärkung der operationalen digitalen Resilienz des Finanzinstituts bei.**{#par-a5io28}
****Die**-**Kontrollfunktion soll im Einklang mit dem Modell der drei Verteidigungslinien**[\[13\]](#_ftn_root_13)**oder einem internen Modell für Risikomanagement und Kontrolle implementiert werden und ist speziell für die unabhängige Überwachung des**-**Risikos verantwortlich.** Indes hatte die deutsche Finanzaufsicht diese Anforderungen schon in den einschlägigen nationalen Rundschreiben verankert. Dennoch haben aufsichtliche Prüfungsergebnisse wiederholt Schwächen aufgezeigt, insbesondere hinsichtlich der erforderlichen Unabhängigkeit dieser Kontrollfunktion, der Angemessenheit der Berichtswege zum Leitungsorgan und der Verfügbarkeit der notwendigen Ressourcen für die effektive Aufgabenerfüllung.**{#par-iia27o}
#### **2.3.4 -Drittparteienrisikomanagement**
****Finanzunternehmen müssen die vollständige Kontrolle über ihr**-**Risiko behalten.** Das schließt die Kontrolle über solche Risiken mit ein, welche durch die Nutzung von -Drittdienstleistungen entstehen, die von -Drittdienstleistern oder deren Unterauftragnehmern bereitgestellt werden (-Drittparteienrisiko). Das gilt auch in Bezug auf kritische -Drittdienstleister, die dem europäischen Überwachungsrahmen unterliegen (siehe Exkurs -Überwachungsrahmenwerk). Die Einstufung als kritischer -Drittdienstleister stützt sich auf die Informationsregister der Finanzunternehmen, die alle vertraglichen Vereinbarungen zu bereitgestellten -Drittdienstleistungen enthalten. Im Fokus von steht ein breites Spektrum von -Drittdiensteistern, unter anderem Anbieter von Cloud-Computing, Software, Datenanalysen sowie Dienstleistungen aus Rechenzentren, aber auch Zahlungsdienste mit Zahlungsabwicklungstätigkeiten und den Betrieb von Zahlungsinfrastrukturen. Während sich durch den Bezug von -Drittdienstleistungen von spezialisierten Anbietern manche Risiken anders oder besser steuern lassen, entstehen durch die zunehmenden Verflechtungen mit Abhängigkeiten von anderen Unternehmen zusätzliche Risiken für das Institut aber auch für den Finanzmarkt.**{#par-e35783}
****Die Abhängigkeiten der Finanzunternehmen von einzelnen**-**Drittdienstleistern können zunehmen und gegebenenfalls auch in systemischen Abhängigkeiten des Finanzsektors resultieren.** Das Angebot von -Drittdienstleistungen entwickelt sich dynamisch in Breite und Tiefe weiter, und diese werden immer stärker in die Wertschöpfungskette von Finanzunternehmen integriert. Die Dynamik am Markt sorgt zudem dafür, dass einige -Drittdienstleister eine sehr große Marktmacht erlangen können, was es für die regulierten Finanzinstitute erschwert, bereits während der Vertragsverhandlungen beispielsweise die aufsichtlich geforderten Informations- und Prüfungsrechte in ausreichendem Maße zu implementieren und die Überwachung der -Risiken angemessen wahrzunehmen zu können.**{#par-o1a457}
****Um den regulatorischen Anforderungen in Bezug auf das**-**Drittparteienrisikomanagement zu entsprechen, stehen die Finanzunternehmen vor enormen Herausforderungen.** Denn in werden insbesondere die Anforderungen an das Management des -Drittparteienrisikos umfangreicher und detaillierter. Aber bereits in den Prüfungen gemäß nationalen sektorspezifischen Regelungen wurde häufig festgestellt, dass hinsichtlich der bestehenden aufsichtlichen Anforderungen unvollständige Verträge mit -Drittdienstleistern abgeschlossen und die Risiken aus dem Drittbezug von den Finanzunternehmen unzureichend bewertet und gesteuert werden.**{#par-a99u99}
****Das neue**-**Überwachungsrahmenwerk für kritische**-**Drittdienstleister**** {#tar-3}
-----------------------------------------------------------------------------------------
**Der gemeinsame Ausschuss der richtet das Überwachungsforum als Unterausschuss ein, der die Arbeit des gemeinsamen Ausschusses und der federführenden Überwachungsbehörden unterstützt. Kernelement des Überwachungsrahmens für kritische -Drittdienstleister sind die federführenden Überwachungsbehörden, die entweder durch , oder () gestellt werden. Eine kohärente operative Zusammenarbeit der federführenden Überwachungsbehörden wird durch das Joint Oversight Network sichergestellt, die hierfür ein gemeinsames Überwachungsprotokoll erstellen.**{#par-ui9687}
{#par-iui298}
****
**Die federführenden Überwachungsbehörden werden von einem gemeinsamen Überwachungsteam (sogenanntes Joint Examination Team, ) unterstützt, das für jeden kritischen -Drittdienstleister eingerichtet wird. Die setzen sich aus Mitarbeitenden der sowie der zuständigen Behörden zusammen, die die Finanzunternehmen beaufsichtigen, für die der kritische -Drittdienstleister -Dienstleistungen erbringt. Die federführende Überwachungsbehörde ist befugt, gegenüber einem kritischen -Drittdienstleister Empfehlungen auszusprechen, und dieser ist verpflichtet, dazu Stellung zu nehmen und die Bedenken der federführenden Überwachungsbehörde auszuräumen. In erster Linie soll ein kritischer -Drittdienstleister mit der federführenden Überwachungsbehörde nach Treu und Glauben zusammenarbeiten und diese bei ihrer Arbeit unterstützen, als Ultima Ratio sieht aber die Verhängung von Zwangsgeldern durch die federführende Überwachungsbehörde vor. Zudem kann die federführende Überwachungsbehörde es grundsätzlich öffentlich machen, wenn der kritische -Drittdienstleister sie nicht ausreichend oder fristgerecht über den Umgang mit Empfehlungen unterrichtet.**{#par-ai9i2o}
**Festgestellt werden gegenseitige Abhängigkeiten und etwaige hohe kritische Konzentrationen bei -Drittdienstleistern über die Auswertung der Register von Drittbezügen der beaufsichtigten Finanzunternehmen. Auf dieser Basis werden die kritischen -Drittdienstleister bestimmt. Die Überwachung durch die federführende Überwachungsbehörde soll insbesondere über einen ständigen Dialog mit diesen -Drittdienstleistern über deren -Risikosituation erfolgen. Zur Wahrnehmung ihrer Aufgaben und Überwachungstätigkeiten ist die federführende Überwachungsbehörde zu Auskunftsersuchen, allgemeinen Untersuchungen sowie Vor-Ort-Inspektionen bei den kritischen -Drittdienstleistern befugt. Dabei geht es um die Bewertung des Managements von -Risiken, die vom kritischen -Drittdienstleister auf die Finanzunternehmen übertragen werden können, weil sie -Drittdienstleistungen berühren, die kritische oder wichtige Funktionen von Finanzunternehmen unterstützen.**{#par-i4ieu3}
**In wird festgelegt, auf welche Bereiche des -Risikomanagements sich die Bewertung bei kritischen -Drittdienstleistern erstrecken soll. Die Bewertung des -Risikomanagements des kritischen -Drittdienstleisters erfolgt auf der Grundlage eines Überwachungsplans, und soll**{#par-o268e3}
* **die Sicherheit, Verfügbarkeit, Kontinuität, Skalierbarkeit und Qualität der Dienste berücksichtigen,**
* **die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten einbeziehen,**
* **die -Risikomanagementstrategie, die -Geschäftsfortführungsleitlinie sowie die -Reaktions- und Wiederherstellungspläne umfassen und die Governance-Regelungen betrachten,**
* **die Prozesse für -bezogene Vorfälle, die Ermittlung, Überwachung, Meldung an Finanzunternehmen, Behandlung und Lösung einbeziehen,**
* **die Mechanismen zur wirksamen Wahrnehmung der Kündigungsrechte durch die Finanzunternehmen beinhalten, welche die Datenübertragbarkeit, Übertragbarkeit von Anwendungen und Interoperabilität sicherstellen sollen,**
* **das Testen von -Systemen und Infrastrukturen sowie die Kontrollen umfassen und**
* **die -Audits sowie die Übernahme einschlägiger Normen berücksichtigen.**
**Die kritischen -Drittdienstleister unterliegen jedoch nicht den Anforderungen, die an das -Risikomanagement der Finanzunternehmen richtet.**
#### **2.3.5 Identifizierung**
****Ein effektives**-**Risikomanagement benötigt vollständige und aktuelle Informationen über**-**Assets****.**[\[14\]](#_ftn_root_14) Ein effektives -Risikomanagement kann nur betrieben werden, wenn die zugrunde liegenden Informationen aktuell und korrekt sind. Nur wer seine Funktionen und Assets kennt, kann diese zielgerichtet vor Risiken schützen. Daher ist es grundlegend, die spezifischen -Risiken und kritischen und wichtigen Funktionen präzise zu bestimmen. Dabei sind die strategischen Vorgaben und das spezifische Geschäftsmodell zu berücksichtigen. -Systeme und Daten, die diese kritischen und wichtigen Funktionen unterstützen, müssen ein hohes Maß an digitaler operationaler Resilienz aufweisen. Um hohe Standards bezüglich Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit zu gewährleisten, sind klare Kriterien für die Bewertung der Kritikalität der Daten und -Systeme zu etablieren. Dies setzt voraus, dass umfassende und aktuelle Informationen über Daten und -Assets sowie über deren Interdependenzen vorliegen. Prüfungen der Bundesbank haben wiederholt Defizite hinsichtlich des Umfangs und der Vollständigkeit der Auswirkungs- und Kritikalitätsanalysen (sogenannte Schutzbedarfsanalyse) sowie der Aktualität der Informationen zu -Assets festgestellt. Künftig müssen Finanzunternehmen die entsprechenden Inventare ihrer -Assets und Risiken vorhalten und regelmäßig sowie bei wesentlichen Änderungen aktualisieren.**{#par-a7e2e6}
****Striktere Überwachung** **der Risiken von**-**Altsystemen.** -Systeme veralten, denn ab einem gewissen Zeitpunkt werden keine Ersatzteile für die Hardware oder Sicherheitsupdates für die Software mehr bereitgestellt. Werden -Altsysteme dennoch weiterbetrieben, bedürfen diese einer besonderen Aufmerksamkeit, da die fehlenden Sicherheitsupdates die Verwundbarkeit für Cyberangriffe erhöhen. Daher ist es zwingend erforderlich, den Lebenszyklus von -Systemen zu überwachen und zu steuern. Obwohl diese Problemstellung in der -Novelle 2021 hervorgehoben wurde, haben Prüfungen häufig gezeigt, dass diese Systeme unzureichend überwacht und gesteuert werden. verpflichtet zu einer gründlichen Risikobewertung bei der Integration von -Systemen sowie zu einer mindestens jährlichen Neubewertung.**{#par-o7a8i7}
#### **2.3.6 Schutz und Prävention sowie Erkennung**
**Nach der Identifikation kritischer Daten und -Systeme sind durchgehend Schutzmaßnahmen zu implementieren, die in allen Verarbeitungsstadien -- Speicherung, Übertragung und Verarbeitung -- wirksam sind. Regelmäßige Tests zur Wirksamkeit der implementierten Schutzmaßnahmen werden notwendig. Das Leitungsorgan hat die Aufgabe, eine Informationssicherheitsleitlinie zu verabschieden, die die grundlegenden Schutzanforderungen für Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit verbindlich vorschreibt. Auf dieser Basis müssen -Sicherheitsrichtlinien, -verfahren, -protokolle und -tools entwickelt werden, um die einzelnen Sicherheitsmaßnahmen weiter zu präzisieren. Beispielsweise sollen Netzwerksegmente und Geräte im Falle eines Cyberangriffs möglichst automatisch isoliert werden können und automatische Schwachstellenscans für -Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens wöchentlich durchgeführt werden.**{#par-ou2ueo}
**Neben diesen technischen und prozessualen Vorgaben ist dem Faktor Mensch Rechnung zu tragen und die notwendige Sensibilisierung für -Risiken zu schaffen. So hat eine Studie von Gartner 2022 ergeben, dass mehr als zwei Drittel aller Angestellten wissentlich gegen die Sicherheitsvorschriften verstoßen, um komfortabel arbeiten zu können.[\[15\]](#_ftn_root_15) Es ist also wichtig, dass die Sicherheitsmaßnahmen in die -Systeme integriert und dabei gleichzeitig möglichst einfach und praktikabel sind. Prüfungen haben wiederholt gezeigt, dass wichtige Sicherheitsmaßnahmen fehlten oder nicht effektiv umgesetzt wurden. Lücken in den Schutzmaßnahmen wurden aufgrund eines unzureichenden Schwachstellenmanagements nicht aufgedeckt und folglich nicht behoben, was Institute anfälliger für Cyberangriffe machte. Mit müssen Schutzmaßnahmen nun regelmäßig und unabhängig im Rahmen eines umfassenden Testprogramms überprüft werden.**{#par-oa4419}
****Bedrohungsgeleitete Penetrationstests (** **Threat-led Penetration Testing****)**** {#tar-4}
------------------------------------------------------------------------------------------------
**Mit dem Inkrafttreten von im Januar 2025 werden die bisher freiwilligen -Tests, nun als Threat-led Penetration Testing () bezeichnet, für bestimmte Finanzunternehmen in der verpflichtend. wird somit ein Instrument der Finanzaufsicht, das aber nicht primär auf die Erfüllung regulatorischer Anforderungen gerichtet ist, sondern durch dessen besonderen Lerncharakter den Unternehmen Potenzial für die Verbesserung der eigenen Widerstandsfähigkeit gegen Cyberangriffe aufzeigen soll.**{#par-e7i7o2}
**Die allgemeinen Anforderungen an die Durchführung von sind im technischen Regulierungsstandard ( on [\[1\]](#_ftn_44caa6ae_1)) festgelegt. Dieser orientiert sich eng an dem in der weitverbreiteten -Rahmenwerk[\[2\]](#_ftn_44caa6ae_2), das als eine „Durchführungsanleitung" für das konkrete Vorgehen bei einzelnen Tests dient. , kurz für „Threat Intelligence-Based Ethical Red Teaming", beinhaltet die Simulation realistischer Cyberangriffe auf kritische -Systeme von Finanzunternehmen durch „ethische Hacker" (Red Team Tester), basierend auf einer Bedrohungsanalyse. Dies ermöglicht eine realitätsnahe Erprobung des unternehmensspezifischen Sicherheitsniveaus. In Deutschland unterstützt das -Kompetenzzentrum der Bundesbank und das Cyber Team Deutschland (-) bereits seit 2020 die Durchführung von -Tests nach diesem Rahmenwerk. Die in fünf Jahren gesammelten Erfahrungen des - fließen nahtlos in die Umsetzung von unter ein.**{#par-aa6776}
**Gemäß kommen verschiedene Arten von Finanzunternehmen für die verpflichtende Durchführung von infrage, darunter Kreditinstitute, Versicherungen und Finanzmarktinfrastrukturen. Da ein fortgeschrittenes Instrument zur Stärkung der operationalen Resilienz ist, setzt es ein Mindestmaß an Reife des -Sicherheitsniveaus voraus. Nur so kann der Test effektiv durchgeführt werden und Nutzen stiften. Nicht alle genannten Finanzunternehmen müssen daher durchführen. Artikel 26 (8) legt drei Auswahlkriterien fest: (1) wirkungsbezogene Faktoren (Auswirkungen der Tätigkeiten des Finanzunternehmens auf den Finanzsektor), (2) Finanzstabilität und (3) -Risikoprofil und -Reifegrad. Der on detailliert diese Auswahlkriterien weiter aus und führt eine Unterscheidung in quantitative institutsbezogene und qualitative risikobezogene Kriterien ein.**{#par-u5io1e}
**Insbesondere fallen systemisch relevante Kreditinstitute (G- und O- gemäß Artikel 131 der Richtlinie 2013/36/) in den Anwendungsbereich des und müssen durchführen. In Deutschland betrifft dies hauptsächlich Kreditinstitute, die direkt von der beaufsichtigt werden. Der benennt Zentralverwahrer (Central Security Depository, ), zentrale Gegenparteien (Central Counterparty, ) und die größten Handelsplätze (Börsen) eines Mitgliedstaates sowie Versicherungen, Zahlungsinstitute und E-Geld-Institute, wenn sie bestimmte quantitative Kriterien erfüllen.**{#par-a816u3}
**Letztlich entscheidet die zuständige Aufsichtsbehörde, welche Finanzunternehmen die Kriterien erfüllen, und benachrichtigt diese im Vorfeld der Tests. Für bedeutende Kreditinstitute sind dies die , für Börsen die Börsenaufsichtsbehörden der Länder und für alle anderen Finanzunternehmen in Deutschland die . Die Anforderungen zu richten sich mehrheitlich an große, systemrelevante Finanzunternehmen. In der Regel haben diese Finanzunternehmen in der Vergangenheit bereits einen -Test durchgeführt und stehen bereits mit dem der Bundesbank in Kontakt.**{#par-uuu45i}
**Die operative Begleitung der wird nach heutigem Stand weiterhin durch das der Bundesbank erfolgen, das als erster Ansprechpartner für die Unternehmen fungieren und für die laufende Kommunikation während des verantwortlich sein soll. Um die Realitätsnähe der Tests zu wahren, muss die Durchführung im streng vertraulichen Rahmen stattfinden, und nur ein begrenzter Personenkreis im Unternehmen darf Kenntnis vom haben. Das unterstützt die Unternehmen mit seiner Expertise sowie Erfahrungen aus anderen Tests, um einen reibungslosen Ablauf der zu gewährleisten und die Lernerfahrung für die Unternehmen zu maximieren.**{#par-u148a9}
**Die Aufsichtsbehörden auf europäischer und auf nationaler Ebene werden aber künftig stärker in die Vorbereitung und Nachbereitung von eingebunden sein. Ebenso wird die Zusammenarbeit mit den bestehenden nationalen in den jeweiligen -Ländern intensiviert. Die Aufsichtsbehörden sind insbesondere bei der Identifikation, Planung und Anordnung der Tests sowie bei der Validierung des Testumfangs involviert. Nach Abschluss des erstellt das getestete Unternehmen einen Abschlussbericht und einen Behebungsplan, die an die Aufsichtsbehörden übermittelt werden, die die identifizierten Schwächen nachverfolgen.**{#par-ea454u}
**Die konkreten Aufklärungs- und Angriffsschritte bei werden von spezialisierten Dienstleistern, den Threat-Intelligence- und den Red-Teaming -Dienstleistern, durchgeführt. Der Threat-Intelligence-Dienstleister führt die Bedrohungsanalyse durch und erstellt realitätsnahe Angriffsszenarien. Der Red-Teaming-Dienstleister setzt diese Szenarien anschließend durch simulierte Cyberangriffe um. Der on definiert Mindestkriterien für deren Erfahrung und Expertise, die sich an den Anforderungen des -Rahmenwerks orientieren, diese konkretisieren sowie in einigen Aspekten erweitern. Damit wird sichergestellt, dass mit den höchsten Qualitätsstandards durchgeführt werden. Während der Threat Intelligence-Dienstleister in jedem Fall extern beauftragt sein muss, kann das Red Teaming unter bestimmten Bedingungen durch interne Tester erfolgen; allerdings muss jeder dritte durch externe Tester durchgeführt werden. Für von der direkt beaufsichtigte Kreditinstitute ist der Einsatz interner Tester gemäß Artikel 26 (8) nicht gestattet.**{#par-iai786}
1. **{#_ftn_44caa6ae_1} beispielsweise: [eba.europa.eu](https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/operational-resilience/joint-regulatory-technical-standards-specifying-elements-related-threat-led-penetration-tests), letzter Abruf: 16. August 2024.**
2. **{#_ftn_44caa6ae_2} Für weitere Informationen zu , siehe: [bundesbank.de](https://www.bundesbank.de/content/816986).**
****Die rechtzeitige Erkennung von anomalen Aktivitäten und Verhalten ist ein unverzichtbarer Bestandteil einer proaktiven Verteidigung.** In Anbetracht der komplexen und sich stetig weiterentwickelnden Bedrohungslandschaft ist es unumgänglich, Mechanismen zu implementieren, die es ermöglichen, ungewöhnliche Aktivitäten und Verhaltensweisen in -Systemen sowie bei den Nutzern schnell zu identifizieren und effektiv darauf zu reagieren. Es ist daher erforderlich, alle relevanten Informationen der -Systeme fortlaufend zu erfassen, sicher zu speichern und sorgfältig zu analysieren. Werden Muster identifiziert, die Angreifer häufig verwenden oder die vom Normalzustand abweichen, muss ein automatisierter Alarm ausgelöst und von spezialisiertem Personal umgehend auf potenzielle -Vorfälle hin überprüft werden.**{#par-eu12i8}
**In der Vergangenheit wurde bei -Prüfungen festgestellt, dass nicht alle notwendigen Informationen erfasst wurden oder dass die gesammelten Daten nicht in angemessener Weise und ohne die nötige Zeitnähe analysiert wurden. fordert künftig ein, dass genügend Ressourcen und passende -Tools vorgehalten sowie klare Zuständigkeiten und Verantwortlichkeiten festgelegt werden.**{#par-i2i543}
#### **2.3.7 Reaktion und Wiederherstellung sowie Backups**
****Umfassende Notfallpläne und regelmäßige Tests der Pläne halten Institute funktionsfähig.** Trotz umfassender präventiver Schutzmaßnahmen und proaktiver Strategien zur Erkennung von -Störungen und Cyberangriffen muss die Möglichkeit einer Beeinträchtigung der -Systeme in Betracht gezogen werden. Deshalb müssen effektive Notfallpläne vorgehalten werden, um kritische oder wichtige Funktionen im Falle von -Störungen und Angriffen aufrechtzuerhalten, Schäden zu begrenzen und den Betrieb schnell wiederherzustellen. Die Pläne haben sofortige Eindämmungsmaßnahmen sowie auf alle relevanten Situationen angepasste Reaktions- und Wiederherstellungsverfahren inklusive der dafür notwendigen Ressourcen zu beinhalten. Hierfür sind effektive Kommunikationsstrategien für interne und externe Stakeholder sowie Behörden zu etablieren. Die ausreichend detaillierten Notfallpläne sind regelmäßig auf ihre Wirksamkeit zu testen; ein Bereich, in dem die Aufsicht noch Verbesserungspotenzial bei den beaufsichtigten Instituten sieht. Mit werden die notwendigen Szenarien nun nochmals deutlich detaillierter vorgegeben und die Tests der Pläne verbindlich eingefordert.**{#par-a33ei2}
****Robuste****Backups****und Wiederherstellungstools sind für Finanzinstitute fundamental, um katastrophale Schäden zu minimieren.** Angesichts der zunehmenden Bedrohung durch Ransomware, bei der die Angreifer sowohl operative Daten als auch Backups von Unternehmen verschlüsseln und ein Lösegeld für die Entschlüsselung verlangen, ist es von größter Wichtigkeit, sich mit robusten Backup-Strategien, abgestimmten Backup-Zyklen und wirksamen Methoden zur Datenwiederherstellung und Systemreparatur zu wappnen. Diese, in bankaufsichtlichen Prüfungen teilweise vermissten, Maßnahmen sind entscheidend, um im Falle eines Angriffs die Betriebsunterbrechungen zu verkürzen und potenziell katastrophale Datenverluste und die damit einhergehenden Schäden zu minimieren. geht die die Gefahr von Ransomware an, indem unter anderem. die Backups durch physische und logische Trennung von den Produktionssystemen besser vor Angreifern geschützt werden müssen.**{#par-ue5963}
#### **2.3.8 Bedrohungsinformationen und Kommunikation**
****Aktiver Informationsaustausch über Cyberbedrohungen und****Lessons Learned****aus Vorfällen verbessern die eigene Sicherheitslage.** Die sich ständig wandelnde Cyber-Bedrohungslandschaft erfordert von Unternehmen mehr, als einmalig ihren -Risikomanagementrahmen zu entwickeln und diesen zu aktualisieren. Vielmehr ist eine kontinuierliche Informationsbeschaffung über Schwachstellen und Bedrohungen notwendig, um die eigene Resilienz zu stärken. Darüber hinaus muss das Risikomanagementrahmenwerk regelmäßig, insbesondere nach gravierenden -bezogenen Vorfällen oder bei der Aufdeckung von Defiziten, auf Verbesserungsmöglichkeiten hin evaluiert und daraufhin unter Umständen adjustiert werden. Vergangene Prüfungen haben häufig aufgezeigt, dass Finanzinstitute externe Bedrohungsinformationen unzureichend nutzen und somit kein akkurates Bild der individuellen Sicherheitslage besitzen. empfiehlt nun, dass sich Institute aktiv in Netzwerken zum Austausch von Informationen und Erkenntnissen über Cyberbedrohungen engagieren.**{#par-o2u56e}
****Kommunikationspläne und klare Zuständigkeiten bei**-**Störungen vermindern Reputationsrisiken.** -Störungen und Cyberangriffe können neben finanziellen Schäden erheblichen Reputationsverlust verursachen. In der Vergangenheit wurde nicht immer angemessen auf -Vorfälle reagiert, indem verspätet oder uneinheitlich mit relevanten Stakeholdern kommuniziert wurde. schreibt nun vor, dass spezifische Kommunikationspläne für alle relevanten Interessensgruppen, einschließlich Kunden, andere Finanzunternehmen und die Öffentlichkeit, bereitgehalten werden. Zudem ist eine eindeutige Verantwortlichkeit für die Kommunikation im Falle von -Vorfällen zu definieren.**{#par-au3u82}
**3 Ausblick** {#tar-5}
-----------------------
**Wir befinden uns im digitalen Zeitalter, in der Informations- und Kommunikationstechnologien essenziell für Finanzunternehmen sind, die hochgradig miteinander vernetzt und voneinander abhängig sind. Es ist daher unerlässlich, den damit einhergehenden Risiken durch digitale operationale Resilienz zu begegnen. Mit wird ein bedeutender Meilenstein hinsichtlich des Managements von -Risiken im Finanzsektor gesetzt.**{#par-a64666}
**Unternehmen profitieren von einem harmonisierten Risikomanagementansatz, der die Risiken aus -Drittdienstleistungen einbezieht, wodurch der Finanzsektor im Umgang mit -Drittdienstleistern gestärkt wird. Gleichzeitig ist es unerlässlich, dass in den beaufsichtigten Instituten das Verständnis weiterwächst, dass die Implementierung und Aufrechterhaltung eines robusten -Risikomanagementrahmens nicht ausschließlich eine Frage der Erfüllung regulatorischer Vorgaben darstellt. Vielmehr liegt es im eigenen fundamentalen Interesse der Institute, solche soliden Risikomanagementpraktiken zu etablieren und zu pflegen.**{#par-ou91e4}
**Die deutsche Aufsicht hat sich in der Vergangenheit immer aktiv für ein effektives und praxisorientiertes -Risikomanagement der Institute eingesetzt. Insbesondere die Erkenntnisse aus Prüfungen und aus Dialogen mit Finanzunternehmen und -Drittdienstleistern sind wertvolle Grundlagen, um die zukünftigen Herausforderungen im Umgang mit -Risiken zu identifizieren und die Weiterentwicklung regulatorischer Vorgaben praxisnah voranzubringen.**{#par-a1uui7}
**trägt zur Sicherung der Integrität, Verfügbarkeit und Vertraulichkeit der Informations- und Kommunikationssysteme der beaufsichtigten Finanzunternehmen bei und schützt somit vor potenziellen finanziellen Verlusten, Reputationsrisiken und anderen operationellen Risiken, die aus -bezogenen Bedrohungen resultieren können. Angesichts der dynamischen Entwicklung durch die Digitalisierung und der sich ständig verändernden Bedrohungslage ist jedoch absehbar, dass zukünftige Anpassungen an der Regulierung erforderlich sein werden. Der europäische Gesetzgeber plant daher, bis zum Jahr 2028 zu überprüfen und einen Bericht darüber sowie gegebenenfalls einen Gesetzgebungsvorschlag vorzulegen.**{#par-i1a961}
**Literaturverzeichnis** {#tar-6}
---------------------------------
**Tremmel, S. (2024), Vermeidbares Übel -- Hergang und Folgen des CrowdStrike-Vorfalls, c´t, Nr. 18/2024, S. 14 f.**{#par-e667o4}
{#par-i6e199}
1. **{#_ftn_root_1} Gemäß Artikel 2 (2) werden die in Artikel 2 (1) , Buchstaben a bis t genannten Unternehmen zusammen als „Finanzunternehmen" bezeichnet, hierzu zählen unter anderem Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen und Emittenten wertreferenzierter Token.**
2. **{#_ftn_root_2} Wie beispielsweise private oder öffentliche Einlagensicherungssysteme.**
3. **{#_ftn_root_3} Siehe: [bankingsupervision.europa.eu](https://www.bankingsupervision.europa.eu/press/pr/date/2024/html/ssm.pr240726~06d5776a02.de.html) sowie [bankingsupervision.europa.eu](https://www.bankingsupervision.europa.eu/press/publications/html/ssm.faq_cyber_resilience_stresstest~3a948c6d73.de.html), letzter Abruf: 23. August 2024.**
4. **{#_ftn_root_4} Siehe: [handelsblatt.com](https://www.handelsblatt.com/finanzen/banken-versicherungen/banken/hackerangriff-kontowechsel-datenleck-mehr-als-144-000-datensaetze-gestohlen-diese-banken-sind-am-staerksten-betroffen/29501770.html), letzter Abruf: 26. August 2024.**
5. **{#_ftn_root_5} Hierbei handelt es sich um ein System, dass Sicherheitsinformationen sowie Ereignisse (wie etwa Zugriffe) in einer -Infrastruktur sammelt, analysiert und überwacht. Siehe: [csrc.nist.gov](https://csrc.nist.gov/glossary/term/security_information_and_event_management_tool), letzter Abruf: 26. August 2024.**
6. **{#_ftn_root_6} Fußnote zu Schaubild 4.1: Bei einer sogenannten "verteilten DoS-Attacke" (Distributed Denial of Service, kurz ) kommt anstelle eines einzelnen Angriffssystems eine Vielzahl von unterschiedlichen -Systemen in einem großflächig koordinierten Angriff zum Einsatz. Durch massenhafte Anfragen, beispielsweise an eine Website oder einen Server, wird versucht, die Zielressource zu überlasten. Aufgrund der hohen Anzahl der gleichzeitig angreifenden Rechner sind die Angriffe besonders wirksam. [bsi.bund.de](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/DoS-Denial-of-Service/dos-denial-of-service_node.html), letzter Abruf: 26. August 2024.**
7. **{#_ftn_root_7} beispielsweise: Tremmel (2024).**
8. **{#_ftn_root_8} beispielsweise: [bundesbank.de](https://www.bundesbank.de/content/598580), letzter Abruf: 16. August 2024.**
9. **{#_ftn_root_9} European Banking Authority (), European Securities and Markets Authority (), European Insurance and Occupational Pensions Authority ().**
10. **{#_ftn_root_10} Vgl.: „Machen Sie sich jetzt startklar für ", [bafin.de](https://www.bafin.de/ref/19734584), letzter Abruf: 16. August 2024.**
11. **{#_ftn_root_11} Ergebnisse der Arbeitsgruppen der Industrie, der Deutschen Bundesbank und der in: Hinweise zur Umsetzung von im -Risikomanagement und -Drittparteienrisikomanagement, [bafin.de](https://www.bafin.de/ref/19752822), letzter Abruf: 16. August 2024.**
12. **{#_ftn_root_12} () 2024/1774 on *specifying risk management tools, methods, processes, and policies and the simplified risk management framework* ( L, 25. Juni 2024) sowie () 2024/1773 on *specifying the detailed content of the policy regarding contractual arrangements on the use of services supporting critical or important functions provided by third-party service providers* ( L, 25. Juni 2024).**
13. **{#_ftn_root_13} Vgl.: European Banking Authority, [Final Report on Guidelines on Internal Governance under Directive 2013/36/](https://www.eba.europa.eu/sites/default/files/document_library/Publications/Guidelines/2021/1016721/Final%20report%20on%20Guidelines%20on%20internal%20governance%20under%20CRD.pdf). Letzter Abruf: 26. August 2024. Die Geschäftsbereiche gehen im Rahmen der ersten Verteidigungslinie Risiken ein und sind für ihr operatives Management direkt und dauerhaft verantwortlich. Die zweite Verteidigungslinie bilden die Risikomanagementfunktion und die Compliance-Funktion. Die unabhängige interne Revision als dritte Verteidigungslinie führt risikobasierte und allgemeine Prüfungen durch und überprüft die internen Governance-Regelungen, -Prozesse und -Mechanismen, um sicherzustellen, dass sie solide und wirksam sind, umgesetzt und einheitlich angewendet werden.**
14. **{#_ftn_root_14} Assets bezeichnen "eine Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt", vgl.: , Artikel 3, Nummer 7.**
15. **{#_ftn_root_15} Vgl.: 2022 Gartner Drivers of Secure Behavior Survey, [gartner.com](https://www.gartner.com/en/newsroom/press-releases/2022-03-07-gartner-identifies-top-security-and-risk-management-trends-for-2022), letzter Abruf: 16. August 2024.**
*[MaRisk]: Mindestanforderungen an das Risikomanagement
*[ZAG]: Zahlungsdiensteaufsichtsgesetz
*[DE]: Deutschland
*[TCT]: TIBER Cyber Team
*[EBA]: Europäische Bankenaufsichtsbehörde
*[SIIs]: systemically important institutions
*[RTS]: regulatory technical standard
*[CDR]: Commission Delegated Regulation
*[PSD2]: Payment Services Directive 2
*[CSD]: central securities depository
*[SIEM]: Security Information and Event Management
*[ISB]: Informationssicherheitsbeauftragte/r
*[KWG]: Gesetz über das Kreditwesen
*[DORA]: Digital Operational Resilience Act
*[TIBER]: Threat Intelligence-Based Ethical Red Teaming
*[TLPT]: Threat-led Penetration Testing
*[DDoS]: Distributed Denial of Service
*[OJ]: Official Journal
*[ESAs]: European Supervisory Authorities
*[ESMA]: European Securities and Markets Authority
*[BaFin]: Bundesanstalt für Finanzdienstleistungsaufsicht
*[TCTs]: TIBER Cyber Teams
*[IT]: Informationstechnologie
*[**IKT**]: Informationstechnologie und Telekommunikation
*[EZB]: Europäische Zentralbank
*[SSM]: Single Supervisory Mechanism
*[**EU**]: Europäische Union
*[EU]: Europäische Union
*[CCP]: central counterparty
*[EIOPA]: European Insurance and Occupational Pensions Authority
*[IKT]: Informationstechnologie und Telekommunikation
*[BAIT]: Bankaufsichtliche Anforderungen an die IT
*[**IT**]: Informationstechnologie
*[JET]: Joint Examination Team
*[JETs]: Joint Examination Teams
*[**DORA**]: Digital Operational Resilience Act
*[ZAIT]: Zahlungsdiensteaufsichtliche Anforderungen an die IT von Zahlungs- und E-Geld-Instituten
*[Vgl.]: Vergleiche
*[ICT]: information and communications technology