FINMA-Aufsichtsmitteilung 05/2020 – Meldepflicht Cyber-Attacken
Die Gefahr von Cyber-Attacken auf den Schweizer Finanzplatz erachtet die FINMA als weiterhin sehr hoch. Dabei stehen beaufsichtigte Institute der FINMA im Visier von Cyber-Kriminellen, die es nebst monetären Interessen auch auf die Beeinträchtigung der Verfügbarkeit, Vertraulichkeit und Integrität von kritischer Technologieinfrastruktur und sensitiven Informationen abgesehen haben.
Die Aufsichtsmitteilung 05/2020 der FINMA behandelt die gemäss Art. 29. Abs. 2 Finanzmarktaufsichtsgesetz (FINMAG) geltende gesetzliche Anforderung einer unverzüglichen Meldung von Vorkommnissen, die für die Aufsicht von wesentlicher Bedeutung sind. Im Zuge der COVID-19 Pandemie besteht eine erhöhte Gefahr von Cyber-Attacken, da sich Cyber-Kriminelle die allgemeine Verunsicherung der bereits stark geforderten Unternehmungen zu Nutzen machen könnten.
Um die Wesentlichkeit einer solchen Cyber-Attacke festlegen zu können, sind im Anhang 1 der FINMA-Aufsichtsmitteilung 05/2020 Definitionen enthalten, welche den Schweregrad der Attacke festlegen. Grundlage dazu sind die nach FINMA-RS 08/21 operationelle Risiken festzulegenden «kritischen Aktiven» und deren Schutzziele.
Beispiele für kritische Aktiven
- Informationen (z.B. sensible Kundenidentifikationsdaten)
- Technologieinfrastruktur (Software, Hardware)
- Gebäude (Rechenzentren, Hauptgebäude)
- Personal (Schlüsselpersonal wie IT-Verantwortlicher, Geschäftsleitung etc.)
Führen also beispielsweise Cyber-Attacken zu einem Abfluss von Kundenidentifikationsdaten, welche erhebliche Reputationsschäden oder finanzielle Auswirkungen zur Folge haben, dann handelt es sich gemäss Anhang 1 der FINMA-Aufsichtsmitteilung 05/2020 um einen schwerwiegenden Fall, welcher unverzüglich der FINMA zu melden wäre.
Eine unverzügliche Meldung an die FINMA bedeutet, dass der betroffene Beaufsichtigte bei Feststellung einer solchen Cyber-Attacke und einer Erstbeurteilung über dessen Kritikalität, innerhalb von 24 Stunden die FINMA über den zuständigen (Key)-Account Manager vororientiert. Die eigentliche Meldung soll entlang der folgenden Liste innerhalb von 72 Stunden über die webbasierte Erhebungs- und Gesuchsplattform (EHP) der FINMA erfolgen. Auf dieser EHP-Plattform, welche seit Juni 2020 verfügbar ist, kann unter «Meldungen» die Meldungsvorlage «Meldung Cyber-Attacken» ausgefüllt werden. Folgende Anhaltspunkte sind Teil dieser Meldung an die FINMA (nicht abschliessende Aufzählung):
- Name des Instituts
- Kontaktperson inkl. Kontaktdaten (Telefon & E-Mail Adresse)
- Datum / Uhrzeit Meldung an FINMA
- Datum / Uhrzeit Feststellung Angriff
- Datum / Uhrzeit Angriffszeitpunkt (sofern bereits bekannt)
- Beschreibung der Cyber-Attacke und aktueller Status
- Erstbeurteilung Schweregrad der Cyber-Attacke (Siehe Anhang 1) (Einfachauswahl:
- mittel, hoch, schwerwiegend)
- Trend des Schweregrads (Einfachauswahl: abnehmend, stabil, erhöhend)
- Betroffene Entitäten (Betroffene Organisationseinheit(en) im Institut bzw. Dienstleister)
- Betroffene Schutzziele (Mehrfachauswahl: Vertraulichkeit, Integrität, Verfügbarkeit)
- Betroffene kritische Funktionen, Geschäftsprozesse bzw. Aktiven (Betroffene Informationen, Technologieinfrastruktur, Gebäude oder Personal)
- Betroffene Anzahl Kunden (aktueller Stand)
- Angriffsvektoren (Mehrfachauswahl: E-Mail, web-basierter Angriff, Brute-Force-Angriff, Identitätsdiebstahl, externe Wechselmedien, Verlust/Diebstahl von Geräten, Ausnutzung von Software-Schwachstelle, Ausnutzung von Hardware-Schwachstelle, Andere)
- Typus des Angriffs (Beschreibung) (z.B. DDoS, Unautorisierter Zugriff, Schadsoftware, Missbrauch / unsachgemässe Benutzung von Technologieinfrastruktur usw.)
- Administrative, operative und/oder technische Gegenmassnahmen mit erwarteter Fristigkeit
- Kommunikationsmassnahmen (was, an wen, wann)
Für Cyber-Attacken mit Schweregrad Hoch und Schwerwiegend gemäss Anhang 1 der FINMA-Aufsichtsmitteilung 05/2020 erwartet die FINMA nach Abschluss der institutsseitigen Fallbearbeitung einen abschliessenden Ursachenbericht (Root-Cause-Analyse) inklusive einer Analyse, Grund für den Erfolg der Attacke, Auswirkungen der Attacke für die Einhaltung von regulatorischen Vorgaben, den Betrieb und die Kunden sowie mindernde Massnahmen, um die Konsequenzen der Attacke zu adressieren. Für Cyber-Attacken mit Schweregrad Schwerwiegend sind zudem Nachweise und Analysen zur Funktionsfähigkeit der Krisenorganisation einzureichen. Für Cyber-Attacken mit dem Schweregrad Mittel gemäss Anhang 1 der FINMA-Aufsichtsmitteilung 05/2020 reicht ein abschliessender Ursachenbericht.
Die FINMA erwartet die Umsetzung der Konkretisierung aus der Aufsichtsmitteilung zur Meldung von Cyber-Attacken bis spätestens per 1. September 2020 oder auf Best-Effort-Basis bereits früher.
Schlussfolgerung
Die FINMA-Aufsichtsmitteilung 05/2020 erläutert eine bereits bestehende gesetzliche Meldepflicht aus dem FINMAG. Bei kleineren Banken sind häufig IT-Verbundslösungen im Outsourcing-Verhältnis im Einsatz. Dies entbindet sie jedoch nicht von ihrer Pflicht, sicher zu stellen, dass bei erfolgten Cyber-Attacken auch die FINMA ordnungsgemäss informiert wird. Eine entsprechende kritische Überwachung des IT-Providers und eine Anpassung der bestehenden Reglemente und Weisungen werden die nächsten Schritte in der Umsetzung dieser Aufsichtsmitteilung sein.
