Was ist Informationsaustausch zu Cyberbedrohungen?
Informationsaustausch zu Cyberbedrohungen bezeichnet das Teilen von Angriffswissen unter Finanzunternehmen auf Grundlage von Artikel 45 der Verordnung (EU) 2022/2554, dem Digital Operational Resilience Act (DORA). Wie er sich in die übrigen Pflichten einfügt, zeigt der DORA-Leitfaden.
„Indikatoren für Beeinträchtigungen“ ist der amtliche deutsche Ausdruck für Indicators of Compromise. Gemeint sind technische Spuren wie Hashwerte, IP-Adressen oder Domainnamen, an denen sich ein Angriff wiedererkennen lässt.
Artikel 45 erlaubt den Austausch; Pflicht ist nur die Mitteilung
Artikel 45 Absatz 1 formuliert eine Erlaubnis: Finanzunternehmen „können“ Informationen und Erkenntnisse über Cyberbedrohungen untereinander austauschen. Den Anlass nennt Erwägungsgrund 33. Zweifel daran, welche Informationen mit anderen Marktteilnehmern geteilt werden dürfen, führen dazu, dass nützliche Informationen zurückgehalten werden.
Erwägungsgrund 34 zieht daraus den Schluss, freiwillige Vereinbarungen über den Informationsaustausch auf Unionsebene zu ermöglichen. Artikel 45 setzt dafür den Rahmen.
Artikel 45 Absatz 3 verpflichtet Finanzunternehmen, den zuständigen Behörden ihre Einbindung in eine Austauschvereinbarung mitzuteilen. Die Mitteilung ist zweimal fällig: sobald die Mitwirkung bestätigt wurde, und sobald ihre Beendigung in Kraft ist. Planen Sie beide Mitteilungen deshalb schon beim Beitritt ein.
Unter welchen drei Bedingungen ist der Austausch zulässig?
Artikel 45 Absatz 1 knüpft den Austausch an drei Bedingungen, die alle erfüllt sein müssen. Die rechte Spalte übersetzt jede Bedingung in eine Prüffrage vor dem Beitritt.
| Buchst. | Bedingung | Prüffrage vor dem Beitritt |
|---|---|---|
| a | Der Austausch zielt darauf, die digitale operationale Resilienz zu stärken, etwa durch Sensibilisierung, Erkennung, Abmilderung, Reaktion und Wiederherstellung. | Dient jede Kategorie geteilter Information erkennbar der Abwehr? |
| b | Er findet innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen statt. | Wer entscheidet über die Aufnahme, und nach welchen Kriterien? |
| c | Er läuft über Vereinbarungen mit Verhaltensregeln, die Geschäftsgeheimnisse, den Datenschutz nach der Verordnung (EU) 2016/679 und die Leitlinien für die Wettbewerbspolitik vollumfänglich wahren. | Regelt die Vereinbarung alle drei Rechtsgebiete ausdrücklich? |
An Buchstabe c scheitern informelle Formate. Ein Chat unter Kollegen erfüllt ihn nicht, weil ihm Vereinbarung und Verhaltensregeln fehlen.
Was muss eine Austauschvereinbarung nach Artikel 45 regeln?
Artikel 45 Absatz 2 verlangt, dass jede Vereinbarung die Voraussetzungen für die Teilnahme festlegt. Gegebenenfalls kommen Einzelheiten zu drei weiteren Punkten hinzu:
- zur Einbindung staatlicher Behörden und zur Eigenschaft, in der sie eingebunden werden,
- zur Einbindung von IKT-Drittdienstleistern,
- zu operativen Aspekten, einschließlich der Nutzung spezieller IT-Plattformen.
Buchstabe c verlangt außerdem, den potenziell sensiblen Charakter der geteilten Informationen zu schützen. Wer diesen Schutz umsetzen will, braucht Regeln, die Absatz 2 nicht aufzählt:
- ein Einstufungsschema, das festlegt, wer eine Information weitergeben darf,
- Vorgaben zur Anonymisierung oder Aggregation von Fallbezügen,
- Fristen für Aufbewahrung und Löschung,
- eine Zuständigkeit für die Qualität geteilter Indikatoren,
- ein Verfahren für den Ausschluss von Teilnehmern.
Artikel 45 ersetzt keine Meldung nach Artikel 19
DORA regelt mehrere Wege für Informationen über Bedrohungen und Vorfälle; die Tabelle vergleicht die drei, die Behörden oder andere Finanzunternehmen erreichen.
| Weg | Rechtsgrundlage | Empfänger | Verbindlichkeit |
|---|---|---|---|
| Meldung schwerwiegender IKT-bezogener Vorfälle | Art. 19 Abs. 1 | zuständige Behörde | Pflicht |
| Meldung erheblicher Cyberbedrohungen | Art. 19 Abs. 2 | zuständige Behörde | freiwillig, wenn das Unternehmen die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden für relevant hält |
| Informationsaustausch | Art. 45 | andere Finanzunternehmen | freiwillig; die Mitteilung der Teilnahme ist Pflicht |
Für die Organisation heißt das: Der Austausch nach Artikel 45 läuft neben der Vorfallmeldung und ersetzt sie nicht. Welche Vorfälle als schwerwiegend gelten, beschreibt der Eintrag zur IKT-Vorfall-Klassifizierung.
Artikel 13 verlangt, geteilte Informationen auszuwerten
Artikel 13 Absatz 1 verlangt Kapazitäten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen zu sammeln. Derselbe Absatz verlangt, ihre wahrscheinlichen Auswirkungen auf die eigene Resilienz zu untersuchen. Nach Absatz 3 fließen einschlägige Informationen, die mit Gegenparteien ausgetauscht werden, fortlaufend in den IKT-Risikobewertungsprozess ein.
Eine Austauschgemeinschaft liefert dafür Rohmaterial, das erst die eigene Cyber Threat Intelligence verwertbar macht. Geteilte Indikatoren müssen die Erkennungssysteme erreichen, geteilte Taktiken die Szenarien für Tests und Übungen, geteilte Warnungen den Prozess für IKT-bezogene Vorfälle.
Bedrohungsmeldungen am Asset-Register in Rizzqo prüfen
In Rizzqo lässt sich aus einer geteilten Bedrohungsmeldung eine Risikobewertung oder Maßnahme am betroffenen Objekt im Asset-Register anlegen. So fließt die Meldung in die IKT-Risikobewertung ein, wie Artikel 13 Absatz 3 DORA es verlangt. DORA ist in Rizzqo als Anforderungskatalog hinterlegt, und seine Anforderungen erscheinen an den Objekten, für die sie gelten.
Trifft eine Meldung über eine ausgenutzte Schwachstelle ein, prüft das Team im Register, welche Systeme in Frage kommen. Dort findet es zu jedem System den Verantwortlichen und die primären Assets, die es stützt.
Die Risikobewertung verrechnet Eintrittswahrscheinlichkeit in Prozent und Schadenshöhe in Euro über eine konfigurierbare Matrix. Die geplante Risikominderung einer Maßnahme wird erst mit ihrem Abschluss angerechnet. Maßnahmen lassen sich in beide Richtungen mit Jira synchronisieren.