Marktinfrastrukturen stehen vor demselben Nachweisproblem

Finanzmarktinfrastrukturen, Börsen, Clearingstellen und Zahlungssysteme unterliegen zunehmend sowohl physischen Resilienzvorgaben als auch Cybersecurity-Pflichten. Ein Betreiber, der als kritische Infrastruktur eingestuft wird, fällt in vielen Rechtsordnungen gleichzeitig unter die Cybersecurity-Anforderungen für wesentliche Einrichtungen. Der physische Bereich erhält angemessene Aufmerksamkeit, da er sichtbare und überprüfbare Nachweise liefert. Im Cyberbereich hingegen besteht häufig Nachholbedarf.

Fragen Sie eine Clearingstelle oder einen Börsenbetreiber, ob ihre Systeme sicher sind, lautet die Antwort fast immer ja. Bitten Sie sie jedoch, dies mit Aufzeichnungen statt mit Zusicherungen zu belegen, schwindet das Selbstvertrauen meist schnell. Dieser Artikel beleuchtet, warum die Nachweislücke im Cyberbereich kritischer Finanzinfrastruktur so verbreitet ist und was tatsächlich erforderlich ist, um sie zu schließen.

Executive Summary

Betreiber kritischer Marktinfrastrukturen stehen vor einer Compliance-Landschaft, die sich tatsächlich erweitert hat: Physische Resilienzanforderungen bestehen nun parallel zu Cybersecurity-Pflichten, weil derselbe Betreiber als wesentliche Einrichtung gilt. Der physische Bereich erhält angemessene Aufmerksamkeit, da er sichtbare und überprüfbare Nachweise liefert. Im Cyberbereich besteht Nachholbedarf, weil die dort geforderten Nachweise – ein kontinuierlich abfragbarer Audit-Trail zu Datenzugriffen und Systemaktivitäten – nachträglich schwer zu erstellen sind. Für Risiko- und Compliance-Verantwortliche in diesen Sektoren besteht die praktische Priorität darin, die Nachweislücke genau dort zu schließen, wo am ehesten zu wenig investiert wird, weil Fehler erst sichtbar werden, wenn ein Vorfall oder eine Aufsichtsbehörde sie aufdeckt.

wichtige Erkenntnisse

1. Kritische Finanzinfrastrukturen unterliegen nun gleichzeitig physischen und Cyber-Pflichten. Ein als kritisch eingestufter Betreiber gilt in der Regel auch als wesentliche Einrichtung nach Cybersecurity-Regulierung.
2. Physische Resilienz lässt sich leichter nachweisen als Cyber-Resilienz, weil sie sichtbar ist. Ein Backup-Rechenzentrum oder eine Wachablösung kann direkt inspiziert werden; Zugriffskontrollen sind nicht durch einen Rundgang überprüfbar.
3. Vertrauen in Cyber-Resilienz ohne Nachweise ist keine Resilienz, sondern eine Annahme. Ein Betreiber, der nicht konkret nachweisen kann, wer worauf zugegriffen hat, verlässt sich auf das Ausbleiben eines Vorfalls statt auf nachgewiesene Kontrolle.
4. Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise, nicht nur einmalige Bewertungen. Eine einmal eingereichte Risikoanalyse beantwortet nicht die Fragen einer Aufsicht nach einem tatsächlichen Vorfall.
5. Die Nachweise, die ein Betreiber kritischer Finanzinfrastruktur benötigt, sind dieselben, die jede wesentliche Einrichtung braucht – nur unter höherer Prüfung.

Warum kritische Finanzinfrastruktur jetzt sowohl physische als auch Cyber-Pflichten bedeutet

Betreiber, die als kritische Infrastruktur gelten, stellen zunehmend fest, dass ihre Einstufung zwei separate, parallele Pflichten auslöst – nicht nur eine.

Physische Resilienz und Cyber-Resilienz sind als eigenständige Pflichten reguliert

Physische Resilienzvorgaben konzentrieren sich auf die Aufrechterhaltung essenzieller Dienste bei Katastrophen, Sabotage und physischen Störungen: Registrierung, Risikoanalysen, Schutzmaßnahmen für die Einrichtung selbst. Cybersecurity-Pflichten, die gelten, weil derselbe Betreiber auch als wesentliche Einrichtung eingestuft ist, adressieren ganz andere Risiken: Vorfallmeldungen, Risikomanagement der Informationssysteme und Nachweise technischer und organisatorischer Sicherheitsmaßnahmen. Ein Betreiber kann eine Seite vollständig erfüllen und auf der anderen dennoch angreifbar sein.

Die Prüfungsintensität steigt schneller als die Nachweispraxis vieler Betreiber

Da die Schwellenwerte für die Einstufung immer mehr Marktinfrastruktur erfassen und die Abstimmung zwischen physischen und Cyber-Aufsichtsbehörden zunimmt, steigen die Anforderungen an Betreiber entsprechend: Es reicht nicht mehr, Kontrollen zu haben – sie müssen auch einen konkreten, mit Zeitstempel versehenen Nachweis liefern, wie diese Kontrollen im Ereignisfall funktioniert haben. Viele Betreiber haben ihre Nachweispraxis für ein niedrigeres Prüfungsniveau aufgebaut und sind den neuen Erwartungen noch nicht gerecht geworden.

Warum physische Nachweise einfach und Cyber-Nachweise schwierig sind

Die Asymmetrie zwischen beiden Pflichten liegt nicht darin, welche ernster genommen wird. Entscheidend ist, welche Nachweise sich von selbst ergeben und welche erst durch gezielte Gestaltung entstehen.

Man kann den Perimeter ablaufen, aber nicht das Zugriffsprotokoll

Eine physische Sicherheitsmaßnahme wie ein Backup-Rechenzentrum oder eine Wachablösung kann ein Prüfer direkt vor Ort begutachten. Für Cyber-Resilienz gibt es kein entsprechendes „Walkthrough“: Ob der Zugriff auf Handels- und Abwicklungssysteme tatsächlich wie behauptet kontrolliert, überwacht und protokolliert wurde, lässt sich nur anhand von Aufzeichnungen belegen – und diese existieren nur, wenn die Systeme von Anfang an kontinuierliche Protokollierung unterstützen.

Das Ausbleiben eines Vorfalls ist kein Nachweis für Kontrolle

Viele Betreiber betrachten insgeheim das bisherige Ausbleiben von Problemen als Ersatz für nachgewiesene Kontrolle. Das ist riskant, denn diese Annahme bricht zusammen, sobald ein Vorfall oder eine aufsichtsrechtliche Anfrage eintritt. Ein Betreiber, der im Nachhinein exakt belegen soll, was in einem bestimmten Zeitraum geschah, muss diese Antwort bereits als Aufzeichnung vorliegen haben.

Was es wirklich braucht, um die Cyber-Nachweislücke zu schließen

Die Schließung dieser Lücke ist keine Frage besserer Richtlinien, sondern der Sicherstellung, dass Systeme, die sensible Betriebs- und Kundendaten verarbeiten, tatsächlich die Nachweise erzeugen, die eine Richtlinie behauptet.

Kontinuierliche Protokollierung in jedem System, das sensible Daten verarbeitet

Die Nachweislücke eines Betreibers liegt selten am mangelnden Willen zur Compliance. Häufig ist die Protokollierung auf den operativen Betrieb und nicht auf regulatorische Nachweise ausgelegt, wird bei hoher Last eingeschränkt oder nie zu einem vollständigen Audit-Trail zusammengeführt. Kontinuierliche, vollständige Protokollierung über alle Kanäle mit sensiblen Daten macht aus einer Vorfalluntersuchung das Abrufen von Aufzeichnungen – statt das Rekonstruieren von Vermutungen.

Nachweise müssen vorliegen, bevor die Aufsicht fragt – nicht danach

Eine Aufsichtsbehörde, die einen Vorfall untersucht, stellt konkrete Fragen: Welche Daten wurden von wem, mit welcher Berechtigung abgerufen, und welche Kontrollen waren aktiv? Ein Betreiber, der sofort aus vorhandenen Aufzeichnungen antworten kann, befindet sich in einer ganz anderen Position als einer, der erklären muss, warum die Nachweise fehlen oder nicht rechtzeitig zusammengetragen werden können.

Die Nachweisbasis aufbauen, bevor sie gebraucht wird

Die praktische Priorität für Betreiber kritischer Marktinfrastruktur ist, die Cyber-Pflichten mit derselben Sorgfalt zu prüfen wie die physische Resilienz: Sicherstellen, dass die Protokollierung kontinuierlich und vollständig über alle Systeme mit sensiblen Daten erfolgt, dass die Aufzeichnungen schnell abfragbar sind und tatsächlich die Anforderungen einer Aufsichtsbehörde erfüllen würden.

Wie eine Data Control Plane die Nachweise liefert, die kritische Finanzinfrastruktur benötigt

Cyber-Resilienz zu belegen – statt sie nur zu behaupten – erfordert eine Governance-Schicht, die jeden Zugriff, Versand, jede Freigabe und jeden Download über alle Kanäle, in denen sensible Daten bewegt werden, kontinuierlich und abfragefähig erfasst.

Die Kiteworks Data Control Plane setzt datenbewusste zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein und protokolliert jede einzelne in einem fälschungssicheren, uneingeschränkten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Betreiber einen kontinuierlichen, abfragbaren Nachweis darüber, was mit sensiblen Daten geschah, wann und mit welcher Autorisierung. Single-Tenant-Bereitstellung – On-Premises, in einer selbstverwalteten Cloud-Instanz oder als dedizierte Hosted-Instanz – bedeutet, dass diese Nachweisbasis unter der Kontrolle des Betreibers bleibt.

Betreiber, die prüfen möchten, ob ihre eigenen Cyber-Nachweispraxen einer solchen Prüfung standhalten, können eine individuelle Demo vereinbaren, um nachzuvollziehen, wie kontinuierliche, kanalübergreifende Audit-Nachweise in ihrer eigenen kritischen Infrastrukturumgebung funktionieren.