Wenn Sie den Aufbau eines operativen Risikomanagements bisher aufgeschoben haben, ist jetzt der richtige Zeitpunkt, ihm höhere Priorität einzuräumen.
Die Europäische Union hat drei wichtige Vorschriften eingeführt, die bereits gelten oder schrittweise in Kraft treten: NIS2, den EU AI Act und DORA. Gemeinsam betreffen sie mehr als 180.000 Organisationen aus unterschiedlichsten Branchen. Dennoch versuchen viele Unternehmen noch immer, den Anforderungen gerecht zu werden.
Eine Umfrage der CSSF Luxembourg unter 389 Finanzorganisationen ergab, dass sich nur eine Organisation vollständig auf DORA vorbereitet fühlte. Gleichzeitig berichtete PwC Luxembourg, dass lediglich 4 % der Finanzinstitute die DORA-Compliance bereits in ihre täglichen Geschäftsabläufe integriert haben.
Die Frage, ob diese Vorschriften für Ihr Unternehmen gelten, stellt sich heute kaum noch. Wenn Sie in der EU tätig sind oder Unternehmen in der EU unterstützen, ist die Wahrscheinlichkeit hoch, dass sie auf Sie zutreffen. Ebenso wichtig ist es, diese Vorschriften als ein gemeinsames Rahmenwerk zu behandeln, das langfristig einfacher zu verwalten ist.
Alles in einem Rahmen zusammenführen
Viele Organisationen wissen nicht, wie sie selbst ein einheitliches operatives Risikomanagement aufbauen können. Stattdessen behandeln sie jedes Regelwerk als separates Compliance-Projekt mit eigenen Budgets, Teams und Technologien. Tatsächlich überschneiden sich diese Vorschriften jedoch deutlich stärker, als viele vermuten.
Angenommen, ein Finanzinstitut nutzt künstliche Intelligenz zur Unterstützung seines Kreditbewertungsprozesses. Wird dieses KI-Modell kompromittiert, kann ein einziger Vorfall Anforderungen aus allen drei Regelwerken auslösen.
Nach dem AI Act muss die Organisation möglicherweise einen Ausfall eines Hochrisiko-KI-Systems melden, den Vorfall dokumentieren und ihre Konformitätsbewertung überprüfen. Gleichzeitig kann derselbe Vorfall als schwerwiegender ICT-Vorfall im Sinne von DORA gelten und innerhalb der vorgeschriebenen Fristen gemeldet sowie hinsichtlich seiner Ursachen untersucht werden. Darüber hinaus kann NIS2 verlangen, dass der Sicherheitsvorfall innerhalb von 24 Stunden gemeldet wird, insbesondere wenn ein externer KI-Anbieter beteiligt ist und die Sicherheit der Lieferkette betroffen ist.
Ein einziger Vorfall kann somit drei unterschiedliche Meldefristen, drei verschiedene Berichtspflichten und mehrere Aufsichtsbehörden betreffen.
Mit einem einheitlichen operativen Risikomanagement müssen Sie nicht jede Vorschrift separat behandeln. Obwohl sich die Formulierungen unterscheiden, konzentrieren sich alle auf dieselben Kernbereiche – darunter Risikomanagement, Incident Response, Drittparteienmanagement und Governance.
Indem dokumentiert wird, welche Kontrollen die Anforderungen der einzelnen Vorschriften erfüllen, muss die Arbeit nur einmal durchgeführt werden, anstatt dieselben Aufgaben dreifach zu erledigen. Gleichzeitig wird das Risiko reduziert, dass sich verschiedene Compliance-Programme im Laufe der Zeit auseinanderentwickeln.
Ein einheitliches operatives Risikomanagement unterstützt alle drei Regelwerke durch gemeinsame Kontrollen, darunter:
- Risikomanagement – NIS2 verlangt Cybersecurity-Risikobewertungen, DORA konzentriert sich auf das ICT-Risikomanagement und der AI Act fordert die Klassifizierung von KI-Risiken. Ein gut konzipierter Risikomanagementprozess erfüllt alle diese Anforderungen.
- Incident Management – Jede Vorschrift enthält eigene Meldefristen und Benachrichtigungspflichten. Dennoch können alle Anforderungen über einen gemeinsamen Incident-Response-Prozess mit klar definierten Abläufen gesteuert werden.
- Drittparteienmanagement – Mit einem einheitlichen Prozess für das Management von Risiken durch Drittanbieter lassen sich die Anforderungen aller drei Regelwerke abdecken.
- Audit-Trails und Dokumentation – Jede Vorschrift verlangt den Nachweis der Compliance. Mit einem operativen Risikomanagement können Sie nachvollziehen, wer welche Maßnahme wann und warum durchgeführt hat und wie sich Prozesse im Laufe der Zeit verändert haben.
Ein gemeinsames Rahmenwerk schaffen
Bei Cybersecurity Analytics unterstützen wir Sie dabei, ein einheitliches operatives Risikomanagement für alle drei Regelwerke zu entwickeln – abgestimmt auf die Anforderungen Ihrer Organisation. Vereinbaren Sie noch heute Ihre kostenlose Erstberatung über unsere Website.
