Die Beratungen zum europäischen Cybersecurity Act 2 (CSA 2) gehen in eine entscheidende Phase. Weitere Änderungsvorschläge des ITRE-Ausschusses des Europäischen Parlaments und des Rates der Europäischen Union liegen inzwischen vor. Auch wenn sie noch keine abschließenden formellen Positionen darstellen, spiegeln sie den aktuellen Diskussionsstand gut wider.
Im Zentrum steht die Frage, welche Anforderungen künftig an die Cyber Posture von Unternehmen gestellt werden. Die entsprechende Zertifizierung soll die Cybersicherheitslage eines Unternehmens bewerten und bleibt nach dem aktuellen Ratskompromiss grundsätzlich freiwillig. Für die Finanzwirtschaft kann sie dennoch an Bedeutung gewinnen, wenn Behörden, Geschäftspartner oder Marktanforderungen entsprechende Nachweise erwarten oder Zertifikate die Erfüllung europäischer Cybersicherheitsanforderungen erleichtern.
Der ITRE-Bericht schlägt dagegen vor, die Freiwilligkeit zur Ausnahme zu machen. Einrichtungen der in Anhang I der NIS2-Richtlinie genannten Art – darunter grundsätzlich auch Banken – sollen ihre Cyber Posture zertifizieren lassen. Der VÖB hat hierbei insbesondere vor einem parallelen Zertifizierungs- und Prüfregime neben DORA gewarnt.
Ein weiterer Schwerpunkt betrifft die Sicherheit kritischer IKT-Lieferketten, den Umgang mit Drittstaaten und die mögliche Einstufung von Hochrisikoanbietern. Der ursprüngliche Kommissionsentwurf stellte dabei maßgeblich auf die Einstufung eines Drittstaats als sicherheitsbedenklich sowie auf die Niederlassung oder Kontrolle eines Anbieters in beziehungsweise durch diesen Drittstaat ab.
Der Ratskompromiss präzisiert und begrenzt diesen Ansatz: Der Bezug zu einem als sicherheitsbedenklich eingestuften Drittstaat soll nicht allein entscheidend sein. Zusätzlich kommt es auf den konkreten Zusammenhang zwischen dem Anbieter, der jeweiligen IKT-Komponente oder dem IKT-Dienst und einem bestimmten Schlüssel-IKT-Asset an. Maßgeblich ist, ob die Nutzung, Installation, Integration oder Bereitstellung die Sicherheit dieses Assets wesentlich beeinflussen kann. Damit wird eine stärker risikobasierte Bewertung des konkreten Anwendungsfalls ermöglicht, die neben Hochrisiko-IKT-Komponenten auch IKT-Dienste und mittelbare Lieferbeziehungen sowie technische und nichttechnische Risiken berücksichtigt.
Wir werden die weiteren Beratungen eng begleiten und uns auf Grundlage der mit der Deutschen Kreditwirtschaft und der European Banking Federation abgestimmten Positionen in die Gespräche mit den relevanten europäischen Akteuren einbringen.