Marktinfrastrukturen stehen vor demselben Nachweisproblem

Finanzmarktinfrastrukturen, Börsen, Clearingstellen und Zahlungssysteme unterliegen zunehmend sowohl physischen Resilienzvorgaben als auch Cybersecurity-Pflichten. Betreiber, die als kritische Infrastruktur eingestuft werden, fallen in vielen Rechtsordnungen zugleich unter die Cybersecurity-Anforderungen für wesentliche Einrichtungen. Der physische Bereich erhält angemessene Aufmerksamkeit, da er sichtbare, überprüfbare Nachweise liefert. Im Cyberbereich besteht dagegen Nachholbedarf.

Fragen Sie eine Clearingstelle oder einen Börsenbetreiber, ob ihre Systeme sicher sind, lautet die Antwort fast immer ja. Fordern Sie einen Nachweis in Form von Aufzeichnungen statt bloßer Zusicherung, schwindet das Selbstvertrauen meist schnell. Dieser Artikel beleuchtet, warum die Nachweislücke im Cyberbereich kritischer Finanzinfrastrukturen so verbreitet ist und was tatsächlich notwendig ist, um sie zu schließen.

Executive Summary

Betreiber kritischer Marktinfrastrukturen stehen vor einer Compliance-Fläche, die sich tatsächlich erweitert hat: Physische Resilienzanforderungen bestehen nun parallel zu Cybersecurity-Pflichten, weil der gleiche Betreiber als wesentliche Einrichtung gilt. Der physische Bereich erhält angemessene Aufmerksamkeit, da er sichtbare, überprüfbare Nachweise liefert. Im Cyberbereich besteht Nachholbedarf, weil die erforderlichen Nachweise – ein kontinuierlicher, abfragbarer Nachweis über Datenzugriffe und Systemaktivitäten – im Nachhinein schwerer zu erbringen sind. Für Risiko- und Compliance-Verantwortliche in diesen Sektoren besteht die praktische Priorität darin, die Nachweislücke auf der Seite der Verpflichtung zu schließen, in die am leichtesten zu wenig investiert wird – gerade weil ein Versagen dort erst sichtbar wird, wenn ein Vorfall oder eine Aufsichtsbehörde es sichtbar macht.

wichtige Erkenntnisse

1. Kritische Finanzinfrastrukturen unterliegen heute gleichzeitig physischen und Cyber-Pflichten. Ein als kritisch eingestufter Betreiber gilt in der Regel auch als wesentliche Einrichtung nach Cybersecurity-Regulierung.
2. Physische Resilienz lässt sich leichter nachweisen als Cyber-Resilienz, weil sie sichtbar ist. Ein Backup-Rechenzentrum oder eine Wachablösung kann direkt inspiziert werden; Zugriffskontrollen lassen sich nicht durch einen Rundgang überprüfen.
3. Vertrauen in Cyber-Resilienz ohne Nachweise ist keine Resilienz, sondern eine Annahme. Ein Betreiber, der nicht genau nachweisen kann, wer worauf zugegriffen hat, verlässt sich auf das Ausbleiben eines Vorfalls statt auf nachgewiesene Kontrolle.
4. Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise, nicht einmalige Bewertungen. Eine einmal eingereichte Risikoanalyse beantwortet nicht die Fragen, die eine Aufsichtsbehörde nach einem tatsächlichen Vorfall stellt.
5. Die Nachweise, die ein Betreiber kritischer Finanzinfrastruktur benötigt, sind die gleichen, die jede wesentliche Einrichtung braucht – nur unter höherer Prüfung.

Warum Kritische Finanzinfrastruktur Heute Sowohl Physische Als Auch Cyber-Pflichten Bedeutet

Betreiber, die als kritische Infrastruktur eingestuft werden, stellen zunehmend fest, dass ihre Einstufung zwei getrennte, parallele Verpflichtungen auslöst – nicht nur eine.

Physische Resilienz und Cyber-Resilienz Werden Als Getrennte Verpflichtungen Reguliert

Physische Resilienzvorgaben konzentrieren sich auf die Aufrechterhaltung essenzieller Dienstleistungen bei Katastrophen, Sabotage und physischen Störungen: Registrierung, Risikoanalysen, Schutzmaßnahmen für die Einrichtung selbst. Cybersecurity-Pflichten, die greifen, weil der gleiche Betreiber auch als wesentliche Einrichtung gilt, adressieren ganz andere Risiken: Vorfallmeldungen, Risikomanagement von Informationssystemen und Nachweise technischer und organisatorischer Sicherheitsmaßnahmen. Ein Betreiber kann eine Seite umfassend erfüllen und auf der anderen dennoch angreifbar sein.

Die Prüfung Steigt Schneller Als Die Nachweispraktiken Der Meisten Betreiber

Da Schwellenwerte für die Einstufung mehr Marktinfrastruktur erfassen und die Koordination zwischen physischen und Cyber-Aufsichtsbehörden zunimmt, steigen auch die praktischen Erwartungen an Betreiber: Es geht nicht nur darum, Kontrollen zu haben, sondern auch darum, einen spezifischen, mit Zeitstempel versehenen Nachweis zu liefern, wie diese Kontrollen im Ereignisfall funktioniert haben. Viele Betreiber haben ihre Nachweispraktiken für ein niedrigeres Prüfungsniveau aufgebaut und sind den heutigen Anforderungen noch nicht gerecht geworden.

Warum Physische Nachweise Einfach Und Cyber-Nachweise Schwierig Sind

Die Asymmetrie zwischen beiden Verpflichtungen liegt nicht darin, welche die Betreiber ernster nehmen. Sie liegt darin, welche Nachweise sich von selbst ergeben und welche gezielt gestaltet werden müssen, um überhaupt Nachweise zu liefern.

Sie Können Den Zaun Abschreiten, Aber Nicht Das Zugriffsprotokoll

Eine physische Sicherheitsmaßnahme, ein Backup-Rechenzentrum, eine Wachablösung – all das kann ein Prüfer direkt durch Beobachtung verifizieren. Für Cyber-Resilienz gibt es kein Äquivalent zum Rundgang. Ob Zugriffe auf Handels- und Abwicklungssysteme tatsächlich wie behauptet kontrolliert, überwacht und protokolliert wurden, lässt sich nur durch die Prüfung von Aufzeichnungen belegen – und diese existieren nur, wenn die zugrunde liegenden Systeme von Anfang an für eine kontinuierliche Protokollierung ausgelegt wurden.

Das Ausbleiben Eines Vorfalls Ist Kein Nachweis Für Kontrolle

Viele Betreiber betrachten stillschweigend die Tatsache, dass bisher nichts passiert ist, als Ersatz für nachgewiesene Kontrolle. Das ist eine gefährliche Annahme, denn sie bricht in dem Moment zusammen, in dem ein Vorfall oder eine aufsichtsrechtliche Anfrage eintritt. Ein Betreiber, der genau belegen soll, was in einem bestimmten Zeitraum passiert ist, muss diese Antwort bereits als Aufzeichnung vorliegen haben.

Was Es Tatsächlich Braucht, Um Die Cyber-Nachweislücke Zu Schließen

Das Schließen dieser Lücke ist in erster Linie keine Frage besserer Richtlinien. Entscheidend ist, dass die Systeme, die sensible Betriebs- und Kundendaten verarbeiten, tatsächlich die Nachweise erzeugen, die eine Richtlinie behauptet.

Kontinuierliche Protokollierung Über Alle Systeme Mit Sensiblen Daten

Die Nachweislücke eines Betreibers liegt selten am fehlenden Willen zur Compliance. Meist wurde die Protokollierung für den operativen Betrieb statt für aufsichtsrechtliche Nachweise konfiguriert, bei hoher Last gedrosselt oder nie zu einem Gesamtbild korreliert. Kontinuierliche, vollständige Protokollierung über alle Kanäle mit sensiblen Daten macht aus einer Vorfalluntersuchung das reine Abrufen von Aufzeichnungen statt das Rekonstruieren von Vermutungen.

Nachweise Müssen Vorliegen, Bevor Die Aufsicht Fragt – Nicht Erst Danach

Eine Aufsichtsbehörde, die einen Vorfall untersucht, stellt gezielte Fragen: Welche Daten wurden abgerufen, von wem, mit welcher Berechtigung, und welche Kontrollen waren aktiv? Ein Betreiber, der sofort mit vorhandenen Aufzeichnungen antworten kann, ist in einer grundlegend anderen Position als einer, der erklären muss, warum diese Nachweise nicht existieren oder nicht rechtzeitig zusammengestellt werden können.

Die Nachweisbasis Schaffen, Bevor Sie Gebraucht Wird

Für Betreiber kritischer Marktinfrastruktur ist es entscheidend, die Cyberseite ihrer Verpflichtungen mit der gleichen Sorgfalt zu prüfen wie die physische Resilienz: Sicherstellen, dass die Protokollierung kontinuierlich und vollständig über alle Systeme mit sensiblen Daten erfolgt, dass die resultierenden Aufzeichnungen schnell abfragbar sind und dass sie eine Aufsichtsbehörde mit konkreten Anforderungen tatsächlich zufriedenstellen würden.

Wie Eine Data Control Plane Die Benötigten Nachweise Für Kritische Finanzinfrastruktur Liefert

Cyber-Resilienz nachzuweisen – statt sie nur zu behaupten – erfordert eine Governance-Schicht, die jeden Zugriff, Versand, jede Freigabe und jeden Download über alle Kanäle, durch die sensible Daten fließen, kontinuierlich und in einer auf Abruf abfragbaren Form erfasst.

Die Kiteworks Data Control Plane setzt datenbasierte, zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein und protokolliert jede einzelne in einem fälschungssicheren, ungedrosselten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Betreiber einen kontinuierlichen, abfragbaren Nachweis darüber, was mit sensiblen Daten wann und unter wessen Autorisierung passiert ist. Single-Tenant-Bereitstellung – On-Premises, in einer selbst gehosteten Cloud-Umgebung oder als dedizierte gehostete Instanz – bedeutet, dass diese Nachweisbasis unter der eigenen Kontrolle des Betreibers bleibt.

Betreiber, die prüfen möchten, ob ihre eigenen Cyber-Nachweispraktiken einer solchen Prüfung standhalten, können eine individuelle Demo vereinbaren, um zu sehen, wie kontinuierliche, kanalübergreifende Audit-Nachweise in ihrer eigenen kritischen Infrastrukturumgebung funktionieren.