IKT-Asset und Informationsasset

Was ist ein IKT-Asset und was ein Informationsasset?

Ein Informationsasset ist eine schutzwürdige Sammlung materieller oder immaterieller Informationen; ein IKT-Asset ist Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt.

Der Normwortlaut

„Informationsasset“ eine Sammlung materieller oder immaterieller Informationen, die geschützt werden sollten;

„IKT-Asset“ eine Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt;

Normtext: Dies sind die Legaldefinitionen aus Artikel 3 Nummern 6 und 7 der Verordnung (EU) 2022/2554 (DORA). Die folgenden Pflichten und Bewertungen sind von diesen Definitionen zu trennen.

Wie unterscheiden sich die Begriffe technisch?

Technische Einordnung: Das Informationsasset ist der schutzwürdige Informationsbestand; das IKT-Asset ist Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt. Ein IKT-Asset kann Informationen verarbeiten oder speichern, wird dadurch aber nicht automatisch selbst zum Informationsasset. In einem Inventar können beide deshalb als getrennte, miteinander verknüpfte Objekte geführt werden.

Für wen gelten die Asset-Pflichten der DORA?

Rechtliche Einordnung: Die Pflichten aus Artikel 8 richten sich an Finanzunternehmen im Sinne von Artikel 2 Absatz 2, also an die in Artikel 2 Absatz 1 Buchstaben a bis t aufgeführten Unternehmen. Die in Artikel 2 Absatz 3 genannten Unternehmen und Personen sind ausgenommen. Zudem können Mitgliedstaaten die in Artikel 2 Absatz 5 Nummern 4 bis 23 der Richtlinie 2013/36/EU genannten Stellen unter den Voraussetzungen des Artikels 2 Absatz 4 DORA ausnehmen. Für IKT-Drittdienstleister begründen die Legaldefinitionen keine eigenständige Pflicht aus Artikel 8.

Welche Pflichten bestehen für Identifizierung, Klassifizierung und Inventare?

Normgebundene Pflicht: Als Teil des IKT-Risikomanagementrahmens müssen Finanzunternehmen ihre IKT-gestützten Unternehmensfunktionen und die sie unterstützenden Informations- und IKT-Assets identifizieren, klassifizieren und angemessen dokumentieren; dazu gehören auch Rollen und IKT-Risiko-Abhängigkeiten. Sie müssen ferner alle Informations- und IKT-Assets einschließlich Fernstandorten, Netzwerkressourcen und Hardware ermitteln, die als kritisch geltenden Assets erfassen sowie Konfigurationen, Verbindungen und Interdependenzen dokumentieren. Für die Identifizierung nach Artikel 8 Absätze 1, 4 und 5 sind Inventare zu führen.

Wann müssen Klassifizierung und Inventare geprüft oder aktualisiert werden?

Fristen und Auslöser: Die Angemessenheit der Klassifizierung und der einschlägigen Dokumentation ist erforderlichenfalls, mindestens jedoch jährlich, zu überprüfen. Inventare sind regelmäßig und bei jeder wesentlichen Änderung zu aktualisieren. Artikel 8 enthält weder eine allgemeine kalendergenaue Frist für die erstmalige Inventarisierung noch eine zahlenmäßige Kritikalitätsschwelle.

Bei einer wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf IKT-gestützte Unternehmensfunktionen oder Informations- oder IKT-Assets auswirkt, müssen Finanzunternehmen, die keine Kleinstunternehmen sind, eine Risikobewertung durchführen. Die Kleinstunternehmensausnahme betrifft nur diese Änderungs-Risikobewertung nach Artikel 8 Absatz 3, nicht allgemein die Pflichten aus Artikel 8 Absätzen 1, 4 und 6.

Welche Sonderregel gilt für IKT-Altsysteme?

Spezialregime: Finanzunternehmen, die keine Kleinstunternehmen sind, müssen IKT-Altsysteme mindestens jährlich spezifisch bewerten. Eine solche IKT-Risikobewertung ist außerdem vor und nach dem Anschluss von Technologien, Anwendungen oder Systemen vorzunehmen. Diese Vorgabe aus Artikel 8 Absatz 7 ist keine allgemeine Frist für jedes Asset.

Wann gilt ein Asset als kritisch?

Abgrenzung: DORA erklärt nicht jedes identifizierte Informations- oder IKT-Asset kraft Gesetzes für kritisch. Artikel 8 Absatz 4 verlangt, alle Assets zu ermitteln und diejenigen zu erfassen, die als kritisch gelten.

Kritikalitätsbewertung: Bei Informations- und IKT-Assets, die Unternehmensfunktionen unterstützen, müssen Finanzunternehmen nach Artikel 5 Absatz 2 der Delegierten Verordnung (EU) 2024/1774 das IKT-Risiko dieser Funktionen und deren Abhängigkeiten von den Assets berücksichtigen. Ebenfalls zu berücksichtigen sind die Auswirkungen, die ein Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit dieser Assets auf die Geschäftsprozesse und Tätigkeiten des Finanzunternehmens hätte.

Zusätzlich gilt der Verhältnismäßigkeitsgrundsatz aus Artikel 4 Absatz 1 DORA: Maßgeblich sind Größe und Gesamtrisikoprofil des Finanzunternehmens sowie Art, Umfang und Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte. Das hebt die ausdrücklich geregelten Identifizierungs-, Dokumentations- und Inventarpflichten nicht auf.

Sind Räumlichkeiten und Rechenzentren automatisch IKT-Assets?

Auslegung: Nein. Artikel 6 Absatz 2 nennt relevante physische Komponenten und Infrastrukturen wie Räumlichkeiten, Rechenzentren und ausgewiesene sensible Bereiche zusätzlich als Schutzgegenstände. Dadurch werden sie nicht automatisch zu Software oder Hardware im Sinne der Legaldefinition des IKT-Assets. Eine gesonderte, quellengebundene Behördenpraxis wird für diese Abgrenzung nicht herangezogen.

Häufige Fehlannahmen

• „Beide Begriffe meinen dasselbe.“ Falsch: Der eine bezeichnet Informationen als Sammlung, der andere Software oder Hardware in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt.
• „Jedes Asset ist automatisch kritisch.“ Falsch: Ermittelt werden alle Assets; als kritisch erfasst werden diejenigen, die nach der Bewertung als kritisch gelten.
• „Jede physische Infrastruktur ist ein IKT-Asset.“ Falsch: Zusätzlich zu schützende Räumlichkeiten oder Rechenzentren erweitern die Legaldefinition nicht automatisch.
• „Kleinstunternehmen sind von allen Asset-Pflichten befreit.“ Falsch: Die Ausnahme in Artikel 8 Absatz 3 betrifft die dort geregelte Risikobewertung bei wesentlichen Änderungen.
• „Die Definition verpflichtet jeden IKT-Drittdienstleister zur Inventarisierung nach Artikel 8.“ Falsch: Diese Pflichten richten sich an Finanzunternehmen im DORA-Anwendungsbereich.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Das Leitungsorgan muss die Vorkehrungen zum IKT-Risikomanagementrahmen definieren, genehmigen und überwachen sowie deren Umsetzung verantworten. Die folgenden Schritte übersetzen diese Aufsicht in eine nachvollziehbare Governance; sie sind keine zusätzlichen gesetzlichen Einzelpflichten:

• Den eigenen DORA-Status einschließlich der Ausnahmen nach Artikel 2 dokumentiert feststellen lassen.
• Informations- und IKT-Assets getrennt inventarisieren und über Funktionen, Rollen, Abhängigkeiten, Konfigurationen, Verbindungen und Interdependenzen verknüpfen.
• Verantwortliche, Nachweise und Kontrollen für die mindestens jährliche Prüfung sowie die regelmäßige und änderungsbezogene Inventaraktualisierung bestimmen.
• Wesentliche Änderungen und IKT-Altsysteme so kennzeichnen, dass die jeweils anwendbaren Risikobewertungen ausgelöst und belegt werden.

Für die Geschäftsleitung

Entscheidend sind drei Ebenen: Zuerst ist der persönliche DORA-Anwendungsbereich einschließlich Ausnahmen festzustellen. Danach sind Informations- und IKT-Assets getrennt, aber mit ihren Funktionen und Abhängigkeiten verknüpft zu steuern. Als Nachweis sollten aktuelle Inventare, begründete Kritikalitätsentscheidungen, dokumentierte Überprüfungen sowie Änderungs- und Altsystembewertungen vorliegen. Das Leitungsorgan verantwortet die Governance des IKT-Risikomanagementrahmens; operative Prüffrequenzen aus Artikel 8 sind deshalb nicht als eigenständige Frist unmittelbar an das Leitungsorgan umzudeuten.

Quellen

• Verordnung (EU) 2022/2554 (DORA), CELEX: 32022R2554, insbesondere Artikel 2 bis 8.
• Delegierte Verordnung (EU) 2024/1774, CELEX: 32024R1774, insbesondere Artikel 5 Absatz 2.