Cybersecurity wird prüfbar: Warum Banken jetzt handeln sollten

Cybersecurity-Risikokultur

Die Risikokultur bildet das Fundament des Systems und zeigt sich daran, wie ein Institut im Alltag mit Cyber-Risiken umgeht. Sicherheitsbewusstsein muss in Entscheidungen und Arbeitsabläufen verankert sein und durch Awareness-Maßnahmen, Schulungen sowie klare Meldewege unterstützt werden. Cybersecurity darf dabei nicht allein der IT zugeordnet werden, sondern betrifft sämtliche relevanten Funktionen und die Leitungsebene.

Organisation des CSRMS

Zum CSRMS gehören Aufbau- und Ablauforganisation, Rollen, Verantwortlichkeiten, Schnittstellen und Ressourcen. Ein prüfungsfähiges System macht transparent, wer Risiken identifiziert, Maßnahmen umsetzt, Restrisiken akzeptiert und die unabhängige Überwachung übernimmt. Besondere Aufmerksamkeit verdienen ausgelagerte IT-Leistungen und komplexe Lieferketten, für die geeignete Steuerungs- und Kontrollmechanismen erforderlich sind.

Cybersecurity-Risikosteuerung

Auf Grundlage der Bewertung werden geeignete Maßnahmen ausgewählt und umgesetzt. Die Risikosteuerung umfasst präventive, detektive, reaktive und wiederherstellende Kontrollen. Dabei sollte jederzeit nachvollziehbar sein, welches Risiko adressiert wird, wer verantwortlich ist und wie die Wirksamkeit der Maßnahmen nachgewiesen wird.

Cybersecurity-Risikokommunikation

Cyber-Risiken und Vorfälle müssen rechtzeitig und adressatengerecht kommuniziert werden. Dafür sind Meldewege, Eskalationskriterien, Berichtsinhalte und Zuständigkeiten festzulegen. Zu einer wirksamen Kommunikationskultur gehören außerdem die interne Meldung von Sicherheitsbedenken sowie abgestimmte Prozesse für regulatorische Meldepflichten.

Ziele des CSRMS

Die Ziele des CSRMS leiten sich aus der Unternehmens- und Cybersecurity-Strategie sowie aus der Risikokultur ab. Eine zentrale Rolle spielt der Cybersecurity-Risikoappetit, der festlegt, in welchem Umfang Cyber-Risiken akzeptiert werden. Die Ziele sollten mit den Geschäfts- und Resilienzzielen abgestimmt und möglichst messbar formuliert sein.

Cybersecurity-Risikoidentifikation

Die Risikoidentifikation sollte regelmäßig, systematisch und nachvollziehbar erfolgen. Ausgangspunkt sind Geschäftsprozesse, Informationen, Anwendungen, Infrastrukturen sowie externe Abhängigkeiten. Neben bekannten Schwachstellen müssen auch neue Bedrohungslagen und Erkenntnisse aus Vorfällen, Tests und Prüfungen berücksichtigt werden.

Cybersecurity-Risikobewertung

Identifizierte Risiken sollten nach einer einheitlichen Methodik bewertet werden. Neben Eintrittswahrscheinlichkeit und Schadensausmaß sind Auswirkungen auf Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität zu betrachten. Szenariobasierte Analysen helfen insbesondere dort, wo nur begrenzte historische Erfahrungswerte vorliegen.

Überwachung und Verbesserung

Ein CSRMS muss kontinuierlich überwacht und an neue Bedrohungen, Technologien, Geschäftsmodelle und regulatorische Anforderungen angepasst werden. Erkannte Schwächen sollten priorisiert, mit Verantwortlichkeiten versehen und bis zur nachhaltigen Behebung nachverfolgt werden. Kontrolltests, Reviews, Prüfungen und Kennzahlen bilden die Grundlage für einen strukturierten Verbesserungsprozess.

Pläne allein genügen nicht

Das Gleiche gilt für Notfallmanagement und Incident Response. Entscheidend ist nicht nur, dass ein Plan existiert. Die Beteiligten müssen ihre Zuständigkeiten kennen, Abläufe müssen getestet, Erkenntnisse ausgewertet und Verbesserungen tatsächlich umgesetzt werden.

Schritt 1: Geltungsbereich und Zielbild festlegen

Am Anfang stehen der organisatorische und technische Geltungsbereich, die relevanten Geschäftsprozesse, die gesetzlichen Anforderungen und das angestrebte Prüfungsziel. Außerdem ist festzulegen, ob das gesamte CSRMS oder nur ein klar abgegrenzter Teilbereich betrachtet werden soll.

Schritt 3: Gap- und Reifegradanalyse durchführen

Die Analyse sollte nicht nur fehlende Dokumente erfassen, sondern die Angemessenheit der Konzeption, die tatsächliche Implementierung und die Verfügbarkeit belastbarer Evidenzen bewerten. Wesentliche Abweichungen werden risikobasiert priorisiert.

Schritt 5: Wirksamkeit testen und Evidenzen sichern

Kontrollen werden anhand geeigneter Stichproben, Testfälle, Kennzahlen oder Übungen überprüft. Nachweise sollten nachvollziehbar, versioniert und für den relevanten Zeitraum aufbewahrt werden.

Schritt 2: Bestehende Strukturen aufnehmen

Vorhandene Richtlinien, Prozesse, Rollen, Risikoregister, Kontrollen, Berichte und technische Nachweise werden den Grundelementen des CSRMS zugeordnet. Das schafft einen Überblick, macht bestehende Überschneidungen nutzbar und zeigt, wo noch Lücken bestehen.

Schritt 4: Maßnahmen umsetzen und Verantwortlichkeiten verankern

Für jede Maßnahme sollten Ziel, Verantwortlichkeit, Termin, benötigte Ressourcen, Abhängigkeiten und Nachweis definiert werden. Wesentliche Restrisiken und Verzögerungen sind dem zuständigen Entscheidungsgremium transparent vorzulegen.

Schritt 6: Readiness Assessment durchführen

Vor einer externen Prüfung empfiehlt sich eine strukturierte Prüfungsvorbereitung. Dabei wird beurteilt, ob Beschreibung, tatsächliche Umsetzung und Evidenzen konsistent sind und ob wesentliche Mängel rechtzeitig behoben oder transparent dargestellt wurden.

Mehr Transparenz für die Unternehmensleitung

Ein integriertes Berichtswesen schafft eine belastbare Sicht auf wesentliche Cyber-Risiken, Maßnahmenfortschritt und Restrisiken. Dadurch können Investitions- und Priorisierungsentscheidungen fundierter getroffen werden.

Stärkung der Widerstandsfähigkeit

Wenn Prävention, Erkennung, Reaktion und Wiederherstellung systematisch ineinandergreifen, kann ein Institut Cyber-Vorfälle besser bewältigen und kritische Leistungen verlässlicher aufrechterhalten.

Effizientere regulatorische Nachweisführung

Konsistente Prozesse und Evidenzen können Mehrfacharbeit reduzieren, wenn ähnliche Nachweise für Aufsicht, Abschlussprüfung, Interne Revision, Kunden oder Geschäftspartner benötigt werden.

Vertrauen und Differenzierung

Nachvollziehbare Governance und belastbare Wirksamkeitsnachweise können das Vertrauen von Kunden, Geschäftspartnern, Investoren und Aufsichtsorganen stärken. Ein Prüfungsurteil bietet zwar keine absolute Sicherheit. Es kann aber transparent machen, wie das Managementsystem ausgestaltet ist.