Kiteworks und CPS 230 Betriebliches Resilienzmanagement: IT-Fähigkeiten und integrierte Kontrollmechanismen
Der Prudential Standard CPS 230 Operational Risk Management ist seit dem 1. Juli 2025 in Kraft, die Übergangsfrist für Dienstleisterverträge endete am 1. Juli 2026. Er verpflichtet alle von APRA regulierten Unternehmen in den Bereichen Bankwesen, Versicherungen, Lebensversicherungen, private Krankenversicherungen und Altersvorsorge in Australien, operationelle Risiken zu steuern, kritische Geschäftsprozesse innerhalb definierter Toleranzgrenzen aufrechtzuerhalten und Dienstleisterbeziehungen zu überwachen.
Kiteworks stärkt die operationelle Resilienz mit einer gehärteten virtuellen Appliance, die Verschlüsselung auf Enterprise-Niveau, Intrusion Detection und File-Integrity-Monitoring bietet. Hochverfügbarkeits-Cluster sichern dabei kritische Betriebsabläufe. Die Plattform erzwingt ABAC-Richtlinien für das Laufzeit-Risikomanagement und erfasst umfassende Prüfprotokolle, die in Echtzeit an SIEMs weitergeleitet werden. Unternehmen erfüllen so die 72-Stunden-, 24-Stunden- und 20-Geschäftstage-Meldepflichten der APRA durch sofortige Protokollverfügbarkeit und kontinuierliche Monitoring-Dashboards.
Nachhaltige IT-Fähigkeit und Eingebettete Interne Kontrollen
CPS 230 verpflichtet von APRA regulierte Unternehmen, eine solide IT-Fähigkeit zur Unterstützung kritischer Geschäftsprozesse aufrechtzuerhalten, Technologierisiken zu steuern und interne Kontrollen zu entwerfen, umzusetzen und zu verankern, die operationelle Risiken mindern und Compliance-Anforderungen erfüllen. Unternehmen stehen vor der Herausforderung, ihre Infrastruktur gegen sich ständig weiterentwickelnde Bedrohungen abzusichern, die Systemgesundheit kontinuierlich zu überwachen, Schwachstellen von Drittanbietern zeitnah zu beheben und konsistente Zugriffskontrollen über alle Kanäle des Datenaustauschs hinweg durchzusetzen. Fragmentierte Tools und manuelle Prozesse hinterlassen Lücken, die sowohl die Resilienz als auch die Nachweisbarkeit der Kontrollwirksamkeit beeinträchtigen. CPS 230 ist seit dem 1. Juli 2025 in Kraft, die Übergangsfrist für bestehende Dienstleisterverträge endet am 1. Juli 2026.
Gehärtete Appliance und Laufzeit-Policy Enforcement
Kiteworks bietet eine robuste IT-Fähigkeit durch die virtuelle gehärtete Appliance mit integrierter Härtung und Defense in Depth. Sie stellt Verschlüsselung auf Enterprise-Niveau, eine integrierte Firewall und Web Application Firewall, verschiedene Intrusion-Detection-Mechanismen sowie File-Integrity-Monitoring bereit. Das SNMP-Health-Monitoring überwacht CPU-, Speicher-, Festplatten- und Queue-Metriken für kontinuierliche Transparenz der Systemgesundheit. Für interne Kontrollen sorgen ABAC-Laufzeit-Policies im Einklang mit dem NIST CSF Framework, Autorisierung durch Kombination von RBAC und ABAC sowie Datenrichtlinienvorlagen, die dynamische, wiederholbare Governance über alle Kanäle des Datenaustauschs hinweg ermöglichen.
Operationalisierung von Breiten Kontrollen und Dienstleisterpflichten
CPS 230 schreibt umfassende Kontrollpflichten vor, die von der Verhinderung von Störungen über die Überwachung operationeller Risiken, das Monitoring von Informationssystemen, Kontrolltests, Geschäftskontinuität bis hin zum Management wesentlicher Dienstleister reichen. Unternehmen müssen Störungen kritischer Prozesse verhindern, Toleranzwerte einhalten, schwerwiegende, aber plausible Szenarien einschließlich Ausfällen von Dienstleistern testen und den Umgang mit Drittanbieterdaten unter Souveränitätsauflagen steuern. Die Koordination von Hochverfügbarkeit, Kontinuitätstests und Dienstleisterrisikomanagement über verschiedene Systeme hinweg führt zu enormer Komplexität, die manuelle Ansätze weder zuverlässig abbilden noch nachweisen können.
Kontinuitätsresilienz und Governance für Dienstleister
Kiteworks operationalisiert die Kontrollanforderungen von CPS 230 durch Managed File Transfer-Server mit Hochverfügbarkeit ohne Single Point of Failure und Scale-out-Clustering, das Workflows auf zusätzliche Knoten verteilt und dabei zentrales Management und Monitoring beibehält. So werden Toleranzwerte eingehalten und schwerwiegende, aber plausible Szenarien getestet. ABAC-Laufzeit-Policies, Compliance-Übersichtsberichte und Security Analytics unterstützen die Risikoüberwachung. Für Dienstleister ermöglichen direkte Kiteworks-zu-Kiteworks-Vault-Integrationen, Drittanbieter-Integrationen, Verbindungsnutzungsmonitoring und Data-Policy-Engine Steuerung für Data Sovereignty, Geografie und Geofencing, dass Daten ausschließlich im zugewiesenen Land gespeichert und verarbeitet werden.
Erfüllung Strenger Tracking- und APRA-Meldefristen
CPS 230 definiert anspruchsvolle Meldepflichten: 72 Stunden nach einem wesentlichen operationellen Risikoereignis, 24 Stunden nach einer Störung kritischer Prozesse außerhalb der Toleranz und 20 Werktage nach Abschluss oder wesentlicher Änderung einer kritischen Dienstleistungsvereinbarung. Unternehmen müssen Kontrollen, Vorfälle, Kontinuität und Dienstleister mit belastbaren Nachweisen dokumentieren, überwachen und berichten. Systeme, die Logeinträge verzögern, keine Echtzeit-Benachrichtigungen bieten oder keine Berichte auf Abruf generieren, verhindern eine zeitnahe Erkennung von Störungen und erschweren es, die engen APRA-Meldefristen mit glaubwürdiger Dokumentation einzuhalten.
Echtzeit-Logging Innerhalb der APRA-Meldefristen
Kiteworks ermöglicht die 72-Stunden-Meldepflicht durch sofortige Protokollierung: Einträge werden unmittelbar angehängt und in Echtzeit an externe SysLogs und Splunk-Server weitergeleitet. Umfassende Audit-Logs mit SIEM-Feeds und Threat-Intelligence-Benachrichtigungen unterstützen die Nachweisführung. Für die 24-Stunden-Störungsmeldung liefern sofortige Protokollierung und SNMP-Health-Monitoring Belege für Störungen. Umfassende Audit-Logs bereinigen, normalisieren, standardisieren und aggregieren Logdaten in einem einzigen Stream. Der Compliance-Bericht – Audit-Log, Verbindungsnutzungsmonitoring und Admin-Reporting – erzeugt belastbare Nachweise, die als CSV für Vorstand, Geschäftsleitung und APRA exportiert werden können.
Häufig gestellte Fragen
CPS 230 verlangt von Unternehmen, eine solide IT-Fähigkeit zur Unterstützung kritischer Geschäftsprozesse zu gewährleisten, Technologierisiken zu steuern und interne Kontrollen zu entwerfen, umzusetzen und zu verankern, die operationelle Risiken mindern und Compliance-Anforderungen erfüllen. Die Vorschrift gilt seit dem 1. Juli 2025, wobei die Übergangsfrist für bestehende Verträge mit Dienstleistern am 1. Juli 2026 endet.
Kiteworks stellt eine leistungsfähige IT-Infrastruktur über die virtuelle gehärtete Appliance mit integrierter Härtung und Defense in Depth bereit. Sie bietet Verschlüsselung auf Enterprise-Niveau, eine integrierte Firewall und Web Application Firewall, verschiedene Intrusion-Detection-Methoden und File-Integrity-Monitoring sowie ABAC-Laufzeit-Policies, die auf das NIST CSF-Framework abgestimmt sind, RBAC– und ABAC-Autorisierung sowie Datenrichtlinien-Vorlagen.
Kiteworks setzt die Kontrollpflichten von CPS 230 um, indem es Managed File Transfer-Server mit Hochverfügbarkeit ohne Single Point of Failure und skalierbarem Clustering bereitstellt, ABAC-Laufzeit-Policies, Compliance-Übersichtsberichte, Security Analytics, direkte Kiteworks-zu-Kiteworks-Vault-Integrationen sowie Data-Sovereignty-Kontrollen einschließlich Geografie und Geofencing, um Daten ausschließlich in zugewiesenen Ländern zu speichern und zu übertragen.
Kiteworks ermöglicht die Einhaltung der 72-Stunden-Benachrichtigungsfrist für Vorfälle und der 24-Stunden-Frist für Störungen durch sofortige Protokollierung in Echtzeit an externe SysLogs und Splunk-Server, umfassende Audit-Logs mit SIEM-Feeds und Threat-Intelligence-Benachrichtigungen, SNMP-Health-Monitoring sowie Compliance-Berichte, die dauerhafte, exportierbare CSV-Datensätze für Vorstand, Geschäftsleitung und APRA-Verantwortliche liefern.
Featured Resources
Datensouveränität ist Architektur, keine Vertragsklausel
