Anwendung des Cyber Resilience Act für Finanzinstitute – keine Frage der Interpretation!

Während DORA die digitale operationale Resilienz von Finanzunternehmen regelt, so zielt der CRA auf die Cybersicherheit von digitalen Produkten ab. Banken sind nicht allein aufgrund ihrer Tätigkeit als Finanzunternehmen unmittelbar vom CRA betroffen. Maßgeblich ist vielmehr, ob sie bei einzelnen Produkten mit digitalen Elementen beispielsweise als Hersteller, Einführer oder Händler auftreten. 

Am Anfang steht deshalb eine strukturierte Übersicht der potenziell relevanten Angebote. Dazu können Banking-Apps, Authentifizierungsanwendungen, Sicherheitstoken oder unter eigener Marke angebotene Software gehören. Eine Betroffenheitsmatrix unterstützt dabei, diese Produkte aus dem Blickwinkel des CRA strukturiertet aufzunehmen und zu bewerten. Dabei wird insbesondere geprüft, ob

• das Produkt an Kunden oder Dritten bereitgestellt wird?
• die Bank selbst Produkte entwickelt oder im Auftrag entwickeln lässt?
• Produkte unter dem Namen oder der Marke der Bank angeboten werden?
• die Rolle als Hersteller, Einführer oder Händler eines Produktes in Betracht kommt?
• oder eine Ausnahme oder speziellere Regelung relevant ist?

Fazit: Die Betroffenheitsmatrix, welche als separates Arbeitsblatt in unserem Quick enthalten ist (siehe Punkt 2), liefert eine erste Einordnung und zeigt, bei welchen Produkten die Rolle des Instituts vertiefend zu untersuchen ist.

Aufbauend auf der Betroffenheitsmatrix stellen sich häufig die nächsten Fragen:

1. Fällt das Finanzinstitut direkt in den Anwendungsbereich des CRA? und wenn ja:
2. Wie gut ist das Finanzinstitut bereits aufgestellt, um den CRA zu erfüllen?

Die Antworten darauf liefert unser CRA Quick-Check. Anhand konkreter Fragen kann schnell und zuverlässig eine Betroffenheit definiert und erster Handlungsbedarf abgeleitet werden. Im Mittelpunkt stehen dabei Themen wie Anwendungsbereich, Produktübersicht, Verantwortung und das Risikomanagement, die sichere Produktentwicklung, der Umgang mit Schwachstellen und Meldungen sowie Dokumentation und Konformität.

Das Ergebnis macht sichtbar, welche Grundlagen bereits vorhanden sind und in welchen Bereichen weiterer Handlungsbedarf besteht. Es ersetzt keine abschließende rechtliche oder technische Bewertung, schafft aber eine erste Grundlage für die nächsten Schritte.

Besteht akuter Handlungsbedarf, wird die Konsultation ihres "Arztes oder Apothekers“ empfohlen. Als langjähriger Partner in der wirksamen Erfüllung regulatorischer Anforderungen unterstützen wir Finanzunternehmen mit einem CRA-Anforderungskatalog, der die Vorgaben des CRA in operative Maßnahmen übersetzt. 

Bewertet werden unter anderem Governance, Produktinventar, Cyberrisikomanagement, sichere Entwicklung, Komponenten und Lieferkette, Schwachstellenmanagement, Meldewesen sowie technische Dokumentation und Konformität. Festgestellter Anpassungsbedarf wird automatisch in einen Maßnahmenplan übernommen. So lassen sich Verantwortlichkeiten, Prioritäten und Zieltermine strukturiert festhalten.

Damit ist prüfungssicher nachweisbar, in welchem Umfang Anforderungen zu erfüllen sind bzw. welche Prozesse und Instrumente, bspw. aus der Umsetzung von DORA, synergistisch herangezogen werden können. Mit diesem Vorgehensmodell lässt sich Doppelarbeit vermeiden und Klarheit über noch tatsächlich verbleibende Gaps schaffen.

Fazit

Der Einstieg in die CRA-Umsetzung muss nicht unmittelbar mit einer umfassenden Detailanalyse beginnen. Zunächst braucht es Klarheit über relevante Produkte, die Rolle des Instituts und den vorhandenen Vorbereitungsstand. Der Quick-Check und die darin als separates Arbeitsblatt enthaltene Betroffenheitsmatrix bilden eine erste Grundlage für die weitere Umsetzung der Anforderungen des Cyber Resilience Act (CRA).