Für Banken und andere Finanzinstitute im Land werden strengere Anforderungen an den Schutz digitaler Systeme, die Meldung von Cyberangriffen und die Gewährleistung der Kontinuität der Dienstleistungen für Kunden gestellt.
Der Aufsichtsrat der Bank von Albanien hat die neue Verordnung „Zur digitalen betrieblichen Nachhaltigkeit“ genehmigt, die den lokalen Rahmen an die DORA-Verordnung der Europäischen Union für die digitale Sicherheit des Finanzsektors anpasst.
Ziel ist es, dass Finanzinstitute ihre Dienstleistungen auch bei Cyberangriffen, Technologieausfällen, Systemausfällen oder Problemen durch externe Technologieunternehmen aufrechterhalten können.
Größere Vorfälle werden innerhalb von 4 Stunden gemeldet
Eine der wichtigsten Änderungen betrifft die Meldefristen für schwerwiegende technische Vorfälle.
Finanzinstitute müssen die erste Meldung so schnell wie möglich, spätestens jedoch vier Stunden nach der Einstufung des Vorfalls als schwerwiegend, an die Bank von Albanien senden. In jedem Fall kann die Meldung nicht später als 24 Stunden nach Kenntniserlangung des Vorfalls durch die Einrichtung erfolgen.
Der Zwischenbericht muss spätestens 72 Stunden nach der ersten Meldung eingereicht werden, auch wenn sich die Situation oder die Art und Weise des Vorfalls nicht geändert hat. Ein aktualisierter Bericht ist erforderlich, sobald der normale Betrieb der Einrichtung wieder aufgenommen wurde.
Der Abschlussbericht muss spätestens einen Monat nach dem Zwischenbericht bzw. nach dessen letzter Aktualisierung übermittelt werden. Es sollte die Analyse der Ursache des Vorfalls, der tatsächlichen Auswirkungen und der ergriffenen Maßnahmen umfassen.
Wenn ein schwerwiegender Vorfall die finanziellen Interessen von Kunden beeinträchtigt, muss die Bank oder das Finanzinstitut sie unverzüglich und ohne unangemessene Verzögerung informieren. Auch die Maßnahmen zur Folgenbegrenzung sollten den Auftraggebern bekannt gemacht werden.
Wenn ein Vorfall als schwerwiegend gilt
Die Verordnung definiert einige konkrete Grenzwerte für die Einstufung von Vorfällen. Ein Vorfall kann als schwerwiegend eingestuft werden, wenn er kritische Dienste betrifft und definierte Kriterien wie Anzahl der Kunden, Dauer, Datenverlust oder finanzielle Auswirkungen erfüllt.
Die Grenze für Kunden ist erreicht, wenn der Vorfall mehr als 10 % der Kunden betrifft, die den betreffenden Dienst nutzen, oder mehr als 100.000 Kunden.
Der Vorfall kann auch dann als wesentlich angesehen werden, wenn er mehr als 30 % der an den Dienst angeschlossenen Finanzkontrahenten betrifft oder wenn die Anzahl oder der Wert der betroffenen Transaktionen 10 % des Tagesdurchschnitts übersteigt.
Für die Dauer wird die Grenze erreicht, wenn der Vorfall länger als 24 Stunden andauert oder wenn ein Technologiedienst, der eine kritische Funktion unterstützt, länger als zwei Stunden unterbrochen ist.
Ein weiteres Kriterium ist das Ausmaß des Verlusts oder der Verletzung von Daten in mindestens zwei Ländern sowie die wirtschaftlichen Auswirkungen. Für Letzteres liegt die Schwelle bei umgerechnet 100.000 Euro.
Selbst geringfügige Vorfälle können zusammen als schwerwiegend eingestuft werden, wenn sie innerhalb von sechs Monaten mindestens zweimal auftreten, dieselbe offensichtliche Ursache haben und zusammengenommen die Klassifizierungsschwellenwerte erfüllen.
Finanzinstitute sollten jeden Monat prüfen, ob es wiederholt zu solchen Vorfällen gekommen ist.
Die Verantwortung liegt bei den Verwaltungsräten
Die Verordnung sieht Cyber-Sicherheit nicht ausschließlich in der Verantwortung der Technologieabteilungen. Die letztendliche Verantwortung für das Management technologischer Risiken liegt bei den Leitungsgremien von Banken und Finanzinstituten.
Die Vorstände müssen die Strategie zur digitalen Betriebsstabilität, den Grad der Risikotoleranz, Richtlinien zur Geschäftskontinuität, Pläne zur Wiederherstellung nach Vorfällen und das erforderliche Budget für die Systemsicherheit genehmigen.
Sie müssen außerdem Vereinbarungen mit externen Technologieunternehmen, Auditpläne und Mitarbeiterschulungsprogramme genehmigen und überprüfen.
Die Mitglieder der Leitungsgremien müssen regelmäßig geschult werden, damit sie die technologischen Risiken und die Auswirkungen verstehen, die ein Vorfall auf die Tätigkeit der Institution haben kann.
Das Technologierisikomanagementsystem sollte mindestens einmal im Jahr dokumentiert und überprüft werden. Es sollte auch nach größeren Vorfällen, Systemtests oder Empfehlungen der Bank von Albanien überprüft werden.
Für Institutionen, die nicht als Kleinstunternehmen gelten, wird das System regelmäßig einer internen Revision unterzogen. Institute sollten die Funktionen Risikomanagement, Kontrolle und Prüfung gemäß dem Modell der drei Verteidigungslinien trennen.
Jährliche Prüfung kritischer Systeme
Banken und andere Finanzinstitute, mit Ausnahme von Kleinstunternehmen, müssen ein umfassendes Programm zur Prüfung ihrer digitalen Widerstandsfähigkeit einrichten.
Alle Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sollten mindestens einmal im Jahr getestet werden.
Zu den Tests können Schwachstellenscans, Netzwerksicherheitsprüfungen, Lückenanalysen, Quellcodeüberprüfungen, Leistungstests, Simulationen von Angriffsszenarien und Systempenetrationstests gehören.
Für von der Bank von Albanien benannte Institute ist mindestens alle drei Jahre eine umfassendere Bedrohungsprüfung, bekannt als TLPT, erforderlich.
Diese Tests simulieren die Taktiken und Techniken echter Angreifer und sollten auf aktiven Produktionssystemen durchgeführt werden, die kritische Funktionen unterstützen. Abhängig vom Risikoprofil des Instituts kann die Bank von Albanien verlangen, dass Tests häufiger oder seltener durchgeführt werden.
Wenn kritische Systeme von externen Unternehmen verwaltet werden, sollten diese Unternehmen auch in die Tests einbezogen werden. Die Verantwortung für die Einhaltung der Regeln verbleibt jedoch bei der Bank bzw. dem Finanzinstitut.
Pläne zur Fortführung der Dienste nach den Anschlägen
Finanzinstitute sollten spezifische Pläne für die Geschäftskontinuität und Wiederherstellung nach technologischen Katastrophen entwickeln.
In den Plänen muss festgelegt werden, wie kritische Dienste weitergeführt werden, wie der Schaden begrenzt wird, wann Backup-Systeme aktiviert werden und wie die normale Aktivität wiederhergestellt wird.
Die Prüfung der Kontinuitäts- und Wiederherstellungspläne sollte mindestens einmal jährlich und nach wesentlichen Änderungen in den Technologiesystemen durchgeführt werden.
Die Tests sollten Cyber-Angriffsszenarien, den Wechsel von primärer Infrastruktur zu Backup-Systemen, die Wiederherstellung von Backups und den Betrieb sekundärer Rechenzentren umfassen.
Unternehmen, die keine Kleinstunternehmen sind, sollten außerdem eine spezielle Funktion zum Krisenmanagement und Verfahren zur Kommunikation mit Mitarbeitern, Kunden, Behörden und anderen Beteiligten schaffen.
Banken müssen Aufzeichnungen über die Maßnahmen führen, die vor und während Unterbrechungen ergriffen wurden, während die Bank von Albanien möglicherweise eine Schätzung aller durch größere Vorfälle verursachten Kosten und Verluste anfordern muss.
In die Schadensberechnung einbezogen werden gestohlene Gelder, Kosten für den Austausch von Hard- und Software, zusätzliche Personalkosten, Kundenentschädigungen, Umsatzeinbußen, Rechtskosten sowie Kommunikations- und Beratungsleistungen.
Verträge mit Technologieunternehmen unterliegen strengerer Kontrolle
Ein wichtiger Teil der Regulierung bezieht sich auf die Abhängigkeit des Finanzsektors von externen Unternehmen, die Technologiedienstleistungen anbieten, darunter Datenspeicherung und -verarbeitung, Computerinfrastruktur und Cloud-Dienste.
Vor Vertragsabschluss sollten Finanzinstitute die Risiken, die Sicherheitsstandards des Unternehmens, die Möglichkeit der Unterauftragsvergabe und die Orte, an denen die Daten verarbeitet oder gespeichert werden, bewerten.
In Verträgen sollte der Speicherort der Daten, die Art und Weise der Wiederherstellung und Rückgabe im Falle eines Konkurses oder einer Dienstunterbrechung, das Serviceniveau und die Unterstützung, die der Anbieter im Falle eines Vorfalls leisten muss, klar festgelegt werden.
Die Bank von Albanien und das Finanzinstitut sollten uneingeschränktes Recht haben, auf die Anbieter zuzugreifen, diese zu prüfen und zu prüfen, die kritische Funktionen unterstützen. Diese Anbieter müssen auch bei erweiterten Sicherheitstests kooperieren.
Banken sollten zudem Ausstiegsstrategien so gestalten, dass sie den Vertrag kündigen und zu einem anderen Anbieter oder einem internen System wechseln können, ohne die Dienstleistungen für die Kunden zu unterbrechen.
Verträge müssen gekündigt werden, wenn der Anbieter schwerwiegende Verstöße begeht, schwerwiegende Sicherheitslücken aufweist, die Servicequalität beeinträchtigt oder die Bank von Albanien an der Ausübung ihrer Aufsicht hindert.
Auch wenn Technologiedienstleistungen ausgelagert werden, trägt das Finanzinstitut weiterhin die volle Verantwortung für deren Sicherheit und Betrieb.
Die Verordnung nähert sich europäischen Standards an
Die neue Verordnung gleicht das europäische DORA-Gesetz und mehrere andere technische Standards der Europäischen Union für die Klassifizierung und Meldung von Vorfällen, die Kontrolle externer Anbieter und die Bewertung von Verlusten durch Angriffe oder technische Mängel an.
Die Umsetzung wird von der Aufsichtsabteilung der Bank von Albanien überwacht.
Mit Inkrafttreten der Verordnung wird die Weisung 2024 „Zur Meldung schwerwiegender Störfälle“ aufgehoben. Der neue Beschluss wurde heute im Amtsblatt veröffentlicht und tritt in 15 Tagen in Kraft. /ekofin.al
Join The Discussion