Eine Erlaubnisnorm, keine Pflicht
Kapitel VI der Verordnung (EU) 2022/2554 besteht aus einem einzigen Artikel. Artikel 45 verpflichtet Finanzunternehmen nicht zum Informationsaustausch, sondern stellt klar, dass und unter welchen Bedingungen er zulässig ist. Diese Klarstellung hat einen praktischen Grund: Bis dahin bestand Unsicherheit, ob der Austausch von Angriffsindikatoren zwischen Wettbewerbern datenschutz-, geheimnisschutz- und kartellrechtlich tragfähig ist.
Der Gegenstand ist in Absatz 1 beschrieben: Informationen und Erkenntnisse über Cyberbedrohungen, einschließlich Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Cybersicherheitswarnungen und Konfigurationstools. „Indikatoren für Beeinträchtigungen“ ist der amtliche deutsche Wortlaut für das, was im Betrieb Kompromittierungsindikatoren oder Indicators of Compromise heißt: technische Spuren wie Hashwerte, IP-Adressen oder Domainnamen, an denen sich ein Angriff wiedererkennen lässt.
Die drei Bedingungen
| Bedingung | Anforderung |
|---|---|
| Zweck | Der Austausch zielt darauf, die digitale operationale Resilienz zu stärken: sensibilisieren, die Verbreitung von Bedrohungen einschränken oder verhindern, Verteidigungsfähigkeiten, Erkennungstechniken, Abmilderungsstrategien sowie Reaktions- und Wiederherstellungsphasen unterstützen |
| Kreis | Der Austausch erfolgt innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen |
| Form | Der Austausch wird durch Vereinbarungen umgesetzt, die den potenziell sensiblen Charakter der Informationen schützen und Verhaltensregeln unterliegen, in deren Rahmen Geschäftsgeheimnisschutz, Datenschutz nach der Verordnung (EU) 2016/679 und Leitlinien für die Wettbewerbspolitik vollumfänglich befolgt werden |
Die dritte Bedingung ist der eigentliche Kern. Ein informeller Chat unter Kollegen erfüllt sie nicht. Verlangt ist eine schriftliche Grundlage mit Verhaltensregeln, die die drei genannten Rechtsbereiche ausdrücklich adressiert.
Was in eine Austauschvereinbarung gehört
Artikel 45 Absatz 2 nennt die Punkte, die in den Vereinbarungen festzulegen sind: die Voraussetzungen für die Teilnahme, gegebenenfalls die Einzelheiten zur Einbindung staatlicher Behörden und die Eigenschaft, in der sie eingebunden werden, die Einbindung von IKT-Drittdienstleistern sowie operative Aspekte einschließlich der Nutzung spezieller IT-Plattformen.
Weitere Regelungen kommen hinzu, die die Verordnung nicht ausdrücklich verlangt, ohne die eine Gemeinschaft aber nicht funktioniert: ein Klassifizierungsschema für die Weitergabe von Informationen, Regeln zur Anonymisierung oder Aggregation von Fallbezügen, Vorgaben zu Aufbewahrung und Löschung, Verantwortlichkeiten für die Qualitätssicherung geteilter Indikatoren und ein Verfahren für den Ausschluss von Teilnehmern.
Anzeigepflicht gegenüber der Aufsicht
Absatz 3 enthält die einzige echte Pflicht des Artikels: Finanzunternehmen teilen den zuständigen Behörden ihre Einbindung in solche Vereinbarungen mit, sobald ihre Mitwirkung bestätigt wurde beziehungsweise endet und diese Beendigung in Kraft ist. Wer einer Austauschgemeinschaft beitritt, sollte diese Mitteilung deshalb von Anfang an mitplanen.
Abgrenzung zur freiwilligen Meldung von Cyberbedrohungen
Der Informationsaustausch nach Artikel 45 ist vom Meldeweg des Kapitels III zu trennen. Nach Artikel 19 Absatz 2 können Finanzunternehmen erhebliche Cyberbedrohungen freiwillig der zuständigen Behörde melden, wenn sie die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden für relevant halten. Das ist ein Weg zur Aufsicht. Artikel 45 regelt dagegen den horizontalen Austausch zwischen Marktteilnehmern. Beide Wege können nebeneinander genutzt werden und verfolgen unterschiedliche Zwecke.
Von beidem wiederum zu unterscheiden ist die Pflicht zur Meldung schwerwiegender IKT-bezogener Vorfälle nach Artikel 19 Absatz 1. Sie ist nicht freiwillig.
Warum sich der Aufwand lohnt
Bedrohungsinformationen sind der einzige Rohstoff im IKT-Risikomanagement, der an Wert gewinnt, wenn man ihn teilt. Ein Indikator, der in einem Haus einen Vorfall auslöst, kann in fünf anderen einen verhindern. Artikel 13 Absatz 1 verlangt ohnehin Kapazitäten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen zu sammeln und deren wahrscheinliche Auswirkungen auf die eigene Resilienz zu untersuchen. Eine Austauschgemeinschaft ist eine der wenigen Quellen, die dabei Bedrohungslagen zeigt, die das eigene Haus noch nicht getroffen haben.
Der Nutzen stellt sich allerdings nur ein, wenn die Organisation empfangsbereit ist. Geteilte Indikatoren müssen in Erkennungssysteme einfließen, geteilte Taktiken in Szenarien für Tests und Übungen, geteilte Warnungen in den Prozess für die Behandlung IKT-bezogener Vorfälle. Wer Informationen nur entgegennimmt und ablegt, hat den Aufwand ohne den Ertrag.
Wie Rizzqo den Anschluss an die eigene Umgebung herstellt
Eine geteilte Bedrohungsinformation ist erst dann wertvoll, wenn sich beantworten lässt, ob sie die eigene Umgebung betrifft. Genau dafür braucht es einen gepflegten Bestand. In Rizzqo ist DORA als Anforderungskatalog mit 73 Kontrollen hinterlegt, und die Anforderungen hängen an den Systemen, Diensten und Dienstleistern, für die sie gelten. Trifft eine Meldung über eine ausgenutzte Schwachstelle ein, ist die betroffene Technologie im Bestand auffindbar, samt der primären Werte, die darauf aufsetzen, und der benannten Verantwortlichen.
Die Konsequenz lässt sich in derselben Umgebung weiterführen: als Risikobewertung mit Eintrittswahrscheinlichkeit und Schadenshöhe oder als Maßnahme mit hinterlegter Risikominderung, die in Jira bearbeitet werden kann.