Finanzinstitute sind besorgt über KI-gestützte Angriffe – hier erfahren Sie, was DORA von Ihnen erwartet

KI-gestützte Cyberbedrohungen sind längst keine theoretische Gefahr mehr. Finanzinstitute in ganz Europa prüfen derzeit intensiv die Auswirkungen immer leistungsfähigerer Tools, mit denen Schwachstellen in großem Umfang identifiziert und ausgenutzt werden können, und die Aufsichtsbehörden beobachten die Entwicklung aufmerksam.

Die Europäische Zentralbank hat deutlich gemacht, dass Cyberangriffe eine ernsthafte und wachsende Bedrohung für Banken und Finanzmarktinfrastrukturen darstellen und dass angesichts der starken Vernetzung innerhalb des Finanzsektors bereits ein einziger Angriff die Stabilität des gesamten Ökosystems gefährden kann. Für Organisationen, die in diesem Umfeld tätig sind, reicht Besorgnis allein nicht aus. Im Rahmen von DORA sind konkrete Maßnahmen erforderlich.

Warum der Finanzsektor in Alarmbereitschaft ist

Banken und Finanzinstitute sehen sich einer besonderen Kombination von Risiken gegenüber: komplexen IT-Umgebungen, umfangreichen Abhängigkeiten von Drittanbietern und einem Profil, das sie zu besonders attraktiven Zielen macht. Die Einführung von KI in diesem Umfeld verstärkt jedes einzelne dieser Risiken. Schwachstellen werden schneller entdeckt, Angriffe werden stärker automatisiert durchgeführt, und die Hürden für böswillige Akteure sind niedriger denn je. Das Ergebnis ist ein volatileres und unvorhersehbareres Umfeld – eines, für dessen Bewältigung herkömmliche, regelmäßige Sicherheitsüberprüfungen nie konzipiert wurden.

Antwort von DORA: Betriebskontinuität

DORA wurde genau für diese Art von Umfeld konzipiert. Anstatt Mindeststandards festzulegen, die einmalig erfüllt werden müssen, schafft es einen Rahmen für kontinuierliche Bereitschaft, der sich auf fünf Schlüsselbereiche stützt:

1. IKT-Risikomanagement
2. Meldung von Sicherheitsvorfällen
3. Prüfung der digitalen Betriebsresilienz
4. Risikomanagement in Bezug auf Dritte
5. Informationsaustausch

Zusammen ergeben diese eine Verpflichtung zur Bereitschaft; es reicht nicht aus, lediglich Richtlinien zu haben, sondern es muss auch nachgewiesen werden, dass diese funktionieren.

Vom Bewusstsein zur Verantwortung

Eine der bedeutendsten Veränderungen im Rahmen von DORA betrifft die Frage, wo die Rechenschaftspflicht liegt. Von den Führungsgremien wird erwartet, dass sie die Verantwortung für das Risikomanagement übernehmen, sicherstellen, dass angemessene Kontrollmechanismen vorhanden sind, und die Compliance-Maßnahmen überwachen. Dies ist kein IT-Thema, das an ein technisches Team delegiert wird. Es handelt sich um eine Führungsaufgabe, und die Aufsichtsbehörden werden entsprechende Nachweise dafür erwarten.

Die Herausforderung bei der Umsetzung

DORA zu verstehen ist eine Sache. Es umzusetzen ist eine andere. Viele Unternehmen haben Schwierigkeiten damit, regulatorische Anforderungen in umsetzbare Kontrollmaßnahmen zu übertragen, die Dokumentation auf dem neuesten Stand zu halten und die Zusammenarbeit zwischen Teams und Systemen einheitlich zu koordinieren. Ohne eine klare Struktur werden Compliance-Maßnahmen reaktiv – sie werden erst vor einem Audit in Angriff genommen, anstatt als kontinuierlicher Prozess gepflegt zu werden. Dieser Ansatz birgt echte Risiken, sowohl in operativer Hinsicht als auch im Hinblick auf regulatorische Risiken.

Schaffung einer tragfähigen Grundlage

Um die DORA-Anforderungen zu erfüllen, sind ein klarer Überblick über Risiken und Kontrollmaßnahmen, festgelegte Prozesse für die Reaktion auf Vorfälle, eine kontinuierliche Überwachung und Bewertung sowie eine zentralisierte Dokumentation und Berichterstattung erforderlich. Dabei geht es nicht nur darum, die Anforderungen der Aufsichtsbehörden zu erfüllen; vielmehr ist dies die Voraussetzung dafür, dass eine Organisation auch dann tatsächlich sicher funktionieren kann, wenn etwas schiefgeht.

Eine sich verändernde Bezugsgrundlage

Die KI legt die Messlatte für das, was Sicherheit bedeutet, immer höher. Finanzinstitute können sich nicht mehr auf regelmäßige Überprüfungen oder vereinzelte Maßnahmen verlassen. Die Organisationen, die in diesem Umfeld bestehen werden, sind jene, die kontinuierliche Transparenz, koordiniertes Handeln und nachweisbare Kontrollen in ihre täglichen Abläufe integrieren – und nicht jene, die Compliance lediglich als eine Aufgabe betrachten, die abgehakt werden muss.

Im Rahmen von DORA wird Resilienz nicht als gegeben vorausgesetzt. Sie muss aufgebaut, aufrechterhalten und nachgewiesen werden. Für Führungsteams, die im Rahmen von DORA persönlich verantwortlich sind, ist der Einsatz der richtigen Instrumente keine Option, sondern eine Notwendigkeit. Trustlinks bietet Ihnen den Überblick, die Dokumentation und die Sicherheit, die Sie benötigen, um die Einhaltung der Vorschriften aktiv zu steuern und nicht nur darüber zu berichten.