ANLAGE VII

ANFORDERUNGEN AN DAS INFORMATIONSSICHERHEITSMANAGEMENT UND DAS BUSINESS-CONTINUITY-MANAGEMENT

MCA-KONTOINHABER, T2S-DCA-KONTOINHABER UND TIPS-DCA-KONTOINHABER

Diese Anforderungen an das Informationssicherheitsmanagement oder das Business-Continuity-Management gelten nicht für MCA-Kontoinhaber, T2S-DCA-Kontoinhaber und TIPS-DCA-Kontoinhaber.

RTGS-DCA-KONTOINHABER UND NEBENSYSTEME

Die Anforderungen gemäß Abschnitt 1 dieser Anlage VII (Informationssicherheitsmanagement) gelten für alle RTGS-DCA-Kontoinhaber und Nebensysteme, es sei denn, ein RTGS-DCA-Kontoinhaber oder ein Nebensystem weist nach, dass eine bestimmte Anforderung auf ihn nicht anwendbar ist. Bei der Festlegung des Anwendungsbereichs der Anforderungen innerhalb seiner Infrastruktur sollte der Teilnehmer die Elemente identifizieren, die Teil der Zahlungstransaktionskette sind. Die Zahlungstransaktionskette beginnt am Point of Entry (PoE), d. h. einem System, das an der Erstellung von Transaktionen beteiligt ist (z. B. Workstations, Front- und Back-Office-Anwendungen, Middleware), und endet beim System, das für die Übermittlung der Nachricht an den Netzwerkdienstleister verantwortlich ist.

Die Anforderungen gemäß Abschnitt 2 dieser Anlage VII (Business-Continuity-Management) gelten für alle RTGS-DCA-Kontoinhaber und Nebensysteme, die vom Eurosystem auf der Grundlage regelmäßig aktualisierter und auf der Website der EZB veröffentlichter Kriterien für das reibungslose Funktionieren des TARGET-Systems als kritisch eingestuft wurden.

.1. Informationssicherheitsmanagement

Anforderung 1.1: Informationssicherheitsstrategie

Die Geschäftsführung legt einen klaren sicherheitspolitischen Kurs fest, der im Einklang mit den Geschäftszielen steht. Sie verpflichtet sich zur Informationssicherheit und fördert diese, indem sie eine Strategie für die Informationssicherheit formuliert, verabschiedet und aufrechterhält, die darauf abzielt, das Management von Informationssicherheit und Cyberresilienz innerhalb der gesamten Organisation in Bezug auf Identifikation, Bewertung und Behandlung von Risiken für die Informationssicherheit und die Cyberresilienz sicherzustellen. Die Strategie sollte mindestens folgende Abschnitte beinhalten: Ziele, Umfang (darunter Bereiche wie Organisation, Personal, Verwaltung der Informationswerte usw.), Grundsätze und Zuweisung von Verantwortlichkeiten.

Anforderung 1.2: Interne Organisation

Zur Umsetzung der Informationssicherheitsstrategie innerhalb der Organisation wird ein Informationssicherheitsrahmenwerk geschaffen. Die Geschäftsführung koordiniert und überprüft die Einrichtung des Informationssicherheitsrahmenwerks, damit die organisationsweite Umsetzung der Informationssicherheitsstrategie (gemäß der Anforderung 1.1), darunter auch die Zuteilung ausreichender Ressourcen und die Zuweisung entsprechender Sicherheitsverantwortlichkeiten, gewährleistet ist.

Anforderung 1.3: Externe Parteien

Wenn eine Organisation mit externen Parteien zusammenarbeitet bzw. deren Produkte oder Dienstleistungen in Anspruch nimmt und/oder von diesen abhängig ist, sollte dies nicht die Sicherheit ihrer Informationen und informationsverarbeitenden Einrichtungen beeinträchtigen. Der Zugang externer Parteien zu den informationsverarbeitenden Einrichtungen der Organisation ist in jedem Fall zu kontrollieren. Sofern externe Parteien oder Produkte/Dienstleistungen externer Parteien Zugang zu informationsverarbeitenden Einrichtungen der Organisation benötigen, ist eine Risikoprüfung durchzuführen, um die sicherheitsrelevanten Auswirkungen zu ermitteln und die Kontrollanforderungen zu bestimmen. Die Kontrollen werden mit der externen Partei jeweils einzeln vereinbart und vertraglich festgelegt.

Anforderung 1.4: Verwaltung von Informationswerten

Sämtliche Informationswerte, Geschäftsprozesse und zugrunde liegenden Informationssysteme entlang der Zahlungstransaktionskette, wie Betriebssysteme, Infrastrukturen, Business-Anwendungen, Standardprodukte, Dienste und von Nutzern entwickelte Anwendungen, sind zu erfassen und einem Eigentümer namentlich zuzuordnen. Zum Schutz der Informationswerte ist zudem festzulegen, wer für die Aufrechterhaltung und die Durchführung angemessener Kontrollen in den Geschäftsprozessen und den zugehörigen IT-Komponenten zuständig ist. Hinweis: Der Eigentümer kann, soweit angemessen, die Durchführung bestimmter Kontrollen delegieren; er ist jedoch weiterhin für den ordnungsgemäßen Schutz der Informationswerte verantwortlich.

Anforderung 1.5: Klassifizierung von Informationswerten

Die Informationswerte werden nach ihrer Kritikalität für den reibungslosen Betrieb durch den Teilnehmer klassifiziert. Aus der Klassifizierung muss ersichtlich sein, ob, mit welcher Priorität und in welchem Umfang Informationswerte zu schützen sind, während sie in den jeweiligen Geschäftsprozessen und durch die zugrunde liegenden IT-Komponenten verwendet werden. Mithilfe eines von der Geschäftsführung genehmigten Systems zur Klassifizierung von Informationswerten werden für die gesamte Lebensdauer der Informationswerte (einschließlich Löschung und Vernichtung der Informationswerte) angemessene Schutzkontrollen definiert und es wird die Notwendigkeit spezieller Maßnahmen im Umgang mit bestimmten Informationen kommuniziert.

Anforderung 1.6: Personelle Sicherheit

Die Verantwortlichkeiten bezüglich der Sicherheit werden bereits vor der Einstellung neuer Mitarbeiter in einer entsprechenden Stellenbeschreibung benannt und in den vertraglichen Beschäftigungsbedingungen festgehalten. Alle Bewerber, Vertragspartner und Drittanwender sind hinreichend zu überprüfen, besonders bei sensiblen Stellen bzw. Aufträgen. Mitarbeiter, Vertragspartner und Dritte, die informationsverarbeitende Einrichtungen nutzen, unterzeichnen eine Vereinbarung, in der ihre Sicherheitsrollen und Verantwortlichkeiten festgelegt sind. Es wird gewährleistet, dass alle Mitarbeiter, Vertragspartner und Dritte hinreichend für Sicherheitsaspekte sensibilisiert sind. Zur Minimierung möglicher Sicherheitsrisiken sind ihnen Fortbildungen und Schulungen zu Sicherheitsverfahren und dem korrekten Einsatz der informationsverarbeitenden Einrichtungen zu ermöglichen. Für Mitarbeiter ist ein formelles Disziplinarverfahren zu schaffen, das bei Verletzung von Sicherheitsbestimmungen zur Anwendung kommt. Durch Zuweisung entsprechender Verantwortlichkeiten ist zu gewährleisten, dass das Ausscheiden eines Mitarbeiters, Vertragspartners oder Dritten bzw. dessen Wechsel innerhalb der Organisation gesteuert wird sowie sämtliche Betriebsmittel zurückgegeben und alle Zugangsberechtigungen entzogen werden.

Anforderung 1.7: Physische und umgebungsbezogene Sicherheit

Kritische oder sensible informationsverarbeitende Einrichtungen werden in Sicherheitsbereichen untergebracht, die durch eine genau festgelegte Sicherheitszone sowie entsprechende Sicherheitsbarrieren und Zutrittskontrollen geschützt sind. Sie müssen physisch vor unrechtmäßigem Zutritt sowie Zerstörung und Manipulation geschützt sein. Der Zutritt ist nur Personen zu gewähren, die unter die Anforderung 1.6 fallen. Es werden Verfahren und Standards festgelegt, um physische Medien, auf denen Informationswerte gespeichert sind, auf Transportwegen zu schützen.

Die Betriebsmittel sind vor physischen und umgebungsbezogenen Bedrohungen zu schützen. Um das Risiko eines unerlaubten Zugriffs auf Informationen zu mindern sowie Schäden und Verluste in Bezug auf Betriebsmittel oder Informationen zu verhindern, ist es erforderlich, dass sämtliche (auch außerhalb des Standorts verwendete) Betriebsmittel geschützt und Vorkehrungen zum Schutz vor Entwendung von Eigentum getroffen werden. Zur Abwehr physischer Bedrohungen und zum Schutz der unterstützenden Infrastruktur wie der Stromversorgung und der Verkabelung können besondere Maßnahmen erforderlich sein.

Anforderung 1.8: Betriebsmanagement

Für die Verwaltung und den Betrieb von informationsverarbeitenden Einrichtungen, die durchgängig alle zugrunde liegenden Systeme der Zahlungstransaktionskette abdecken, werden Verantwortlichkeiten und Verfahren festgelegt.

Was die Betriebsprozesse einschließlich der technischen Administration der IT-Systeme betrifft, so ist, soweit angemessen, eine Aufteilung der Verantwortlichkeiten vorzunehmen, um das Risiko eines fahrlässigen oder vorsätzlichen Systemmissbrauchs zu verringern. Ist eine solche Aufteilung aus dokumentierten objektiven Gründen nicht möglich, sind im Anschluss an eine formale Risikoanalyse kompensierende Kontrollen zu implementieren. Es werden Kontrollen eingerichtet, um das Eindringen von Schadsoftware (Malware) in die Systeme der Zahlungstransaktionskette zu verhindern und aufzudecken. Es werden zudem Kontrollen (einschließlich der Nutzersensibilisierung) eingeführt, um Malware abzuwehren, aufzuspüren und zu entfernen. Mobiler Programmcode darf nur verwendet werden, wenn er aus vertrauenswürdigen Quellen stammt (z. B. signierte COM-Komponenten von Microsoft sowie Java Applets). Die Browsereinstellungen (z. B. Verwendung von Erweiterungen und Plug-ins) sind strengen Kontrollen zu unterziehen.

Es müssen Konzepte zur Datensicherung und -wiederherstellung von der Geschäftsführung umgesetzt werden. Hierzu zählt auch ein Wiederherstellungsplan, der in regelmäßigen Abständen, jedoch mindestens jährlich, zu testen ist.

Zudem werden die für die Sicherheit des Zahlungsverkehrs kritischen Systeme überwacht und relevante Informationssicherheitsvorfälle dokumentiert. Durch den Einsatz von Betreiberprotokollen ist sicherzustellen, dass Probleme im Bereich der Informationssysteme erkannt werden. Die Betreiberprotokolle werden in regelmäßigen Abständen — je nach der Kritikalität des Betriebsprozesses — stichprobenartig überprüft. Eine Systemüberwachung ist durchzuführen, um die Effizienz der als kritisch für die Sicherheit des Zahlungsverkehrs eingestuften Kontrollmechanismen zu überprüfen und die Einhaltung der Zugangsregelungen zu verifizieren.

Der Informationsaustausch zwischen Organisationen muss auf Basis einer formellen Austauschrichtlinie und im Rahmen von zwischen den betroffenen Parteien abgeschlossenen Austauschvereinbarungen erfolgen. Hierbei sind die einschlägigen Rechtsvorschriften einzuhalten. Werden Software-Komponenten von Drittanbietern im Informationsaustausch mit TARGET verwendet (z. B. von einem Servicebüro bezogene Software), so muss hierfür eine formale Vereinbarung mit dem Dritten geschlossen werden.

Anforderung 1.9: Zugangskontrolle

Der Zugang zu Informationswerten ist durch die fachlichen Anforderungen („Kenntnis nur soweit nötig“ (1)) und im Einklang mit dem bestehenden Regelungsrahmen der Organisation (einschließlich der Informationssicherheitsstrategie) zu begründen. Es sind eindeutige Regeln für die Zugriffskontrolle auf Basis des Grundsatzes der minimalen Rechtevergabe (2) festzulegen, die den Erfordernissen des jeweiligen Geschäftszwecks und der IT-Prozesse genau Rechnung tragen. Soweit relevant (z. B. zur Backup-Verwaltung), müssen die logischen mit den physischen Zugriffskontrollen übereinstimmen, es sei denn, es bestehen angemessene Ausgleichskontrollen (z. B. Verschlüsselung, Anonymisierung personenbezogener Daten).

Um die Zuweisung von Rechten zum Zugriff auf Informationssysteme und -dienste der Zahlungstransaktionskette zu kontrollieren, müssen formelle, dokumentierte Verfahren umgesetzt werden. Diese Verfahren müssen den gesamten Lebenszyklus des Nutzerzugangs abdecken — von der Erstregistrierung neuer Nutzer bis hin zur endgültigen Abmeldung von Nutzern, die keinen Zugang mehr benötigen.

Besondere Beachtung erfordert gegebenenfalls die Zuweisung von Zugriffsrechten, die so kritisch sind, dass ihr Missbrauch zu einer schwerwiegenden Beeinträchtigung der betrieblichen Prozesse des Teilnehmers führen kann (z. B. Zugriffsrechte im Zusammenhang mit der Systemadministration, dem Umgehen von Systemkontrollen oder dem direkten Zugriff auf Geschäftsdaten).

Es sind angemessene Kontrollen einzurichten, um die Nutzer an bestimmten Punkten des Netzwerks der Organisation, beispielsweise für den lokalen oder Fernzugang zu Systemen der Zahlungstransaktionskette, zu ermitteln, zu authentifizieren und zu berechtigen. Um die Zurechenbarkeit zu gewährleisten, dürfen persönliche Konten nicht geteilt werden.

Passwörter dürfen nicht einfach zu erraten sein. Deshalb müssen Regeln (z. B. für die Komplexität und zeitlich begrenzte Gültigkeit der Passwörter) festgelegt und durch spezielle Kontrollen durchgesetzt werden. Es ist ein Protokoll für die sichere Wiederherstellung bzw. Zurücksetzung von Passwörtern zu erstellen.

Es muss eine Leitlinie zur Anwendung kryptografischer Kontrollen entwickelt und umgesetzt werden, um die Vertraulichkeit, Authentizität und Integrität von Informationen zu schützen. Zur Unterstützung dieser Kontrollen muss die Verwaltung kryptografischer Schlüssel geregelt sein.

Ebenso sind Regelungen für das Lesen vertraulicher Informationen am Bildschirm oder in gedruckter Form zu treffen, z. B. durch eine Strategie des leeren Bildschirms (Clear Screen Policy) oder des aufgeräumten Schreibtisches (Clear Desk Policy), um das Risiko eines unberechtigten Zugriffs zu reduzieren.

Bei Arbeit mit Fernzugriff muss das Risiko, das mit der Arbeit in einer ungeschützten Umgebung einhergeht, berücksichtigt werden, und es sind angemessene technische und organisatorische Kontrollen einzurichten.

Anforderung 1.10: Beschaffung, Entwicklung und Wartung von Informationssystemen

Vor der Entwicklung und/oder Implementierung von Informationssystemen sind die Sicherheitsanforderungen zu ermitteln und zu vereinbaren.

Zur Gewährleistung einer korrekten Verarbeitung müssen geeignete Kontrollen in die Anwendungen integriert werden, auch in solche, die von Nutzern entwickelt wurden. Die Validierung von Ein- und Ausgabedaten und intern verarbeiteten Daten ist Bestandteil dieser Kontrollen. Zusätzliche Kontrollen sind unter Umständen für Systeme erforderlich, die sensible, wertvolle oder kritische Informationen verarbeiten oder diese beeinflussen. Solche Kontrollen sind auf Basis der Sicherheitsanforderungen und einer Risikobewertung in Übereinstimmung mit den bestehenden Leitlinien und Konzepten (z. B. der Informationssicherheitsstrategie und der Leitlinie für kryptografische Kontrollen) zu bestimmen.

Die betrieblichen Anforderungen an neue Systeme sind festzulegen, zu dokumentieren und vor ihrer Abnahme und Verwendung zu testen. Es müssen geeignete Kontrollen zur Gewährleistung der Netzwerksicherheit, einschließlich Segmentierung und sicherer Verwaltung, umgesetzt werden. Dies sollte in Abhängigkeit von der Kritikalität der Datenströme und vom Risikograd der Netzwerkbereiche in der Organisation erfolgen. Zum Schutz sensibler Daten, die über öffentliche Netzwerke geleitet werden, sind spezifische Kontrollmechanismen erforderlich.

Der Zugang zu Systemdateien und Quellcodes ist zu kontrollieren; IT-Projekte und Supportmaßnahmen sind in sicherer Form durchzuführen. Es ist dafür Sorge zu tragen, dass sensible Daten in Testumgebungen nicht frei zugänglich sind. Projekt- und Supportumgebungen sind einer strengen Kontrolle zu unterziehen. Dies gilt auch für Änderungen in der Produktionsumgebung. Bei wesentlichen Änderungen an der Produktionsumgebung ist eine Risikobewertung durchzuführen.

Zudem müssen regelmäßige Sicherheitstests der produktiven Systeme durchgeführt werden. Diese sind auf Grundlage der Ergebnisse einer Risikobewertung vorab zu planen und müssen mindestens Schwachstellenprüfungen umfassen. Sämtliche während der Sicherheitstests festgestellten Mängel sind zu prüfen. Maßnahmenpläne zur Schließung von ermittelten Sicherheitslücken müssen erstellt und zeitnah abgearbeitet werden.

Anforderung 1.11: Informationssicherheit bei Beziehungen zu Anbietern (3)

Um den Schutz der den Anbietern zugänglichen internen Informationssysteme des Teilnehmers zu gewährleisten, sind Informationssicherheitsanforderungen zu dokumentieren und in einer formalen Vereinbarung mit dem Anbieter festzuhalten, durch welche die mit dem Zugang des Anbieters verbundenen Risiken begrenzt werden.

Anforderung 1.12: Umgang mit Informationssicherheitsvorfällen und diesbezügliche Verbesserungen

Um einen konsistenten und wirksamen Ansatz für den Umgang mit Informationssicherheitsvorfällen (wozu auch die Meldung von Sicherheitsereignissen und -schwachstellen zählt) sicherzustellen, sind sowohl auf fachlicher als auch auf technischer Ebene Rollen, Verantwortlichkeiten und Verfahren festzulegen und zu testen, damit nach Informationssicherheitsvorfällen eine rasche, wirksame und geordnete Wiederherstellung der Sicherheit erfolgen kann; dies schließt auch Szenarien im Zusammenhang mit Cybervorfällen ein (z. B. Betrug durch einen externen Angreifer oder einen Insider). Das in diese Verfahren eingebundene Personal ist angemessen zu schulen.

Anforderung 1.13: Überprüfung der Erfüllung technischer Anforderungen

Die internen Informationssysteme eines Teilnehmers (z. B. Back-Office-Systeme, interne Netzwerke und Verbindungen zu externen Netzwerken) sind regelmäßig darauf zu bewerten, ob sie dem bestehenden Regelungsrahmen der Organisation (z. B. der Informationssicherheitsstrategie und der Leitlinie für kryptografische Kontrollen) entsprechen.

Anforderung 1.14: Virtualisierung

Gast-VMs (virtuelle Maschinen) müssen sämtliche Sicherheitsanforderungen erfüllen, die auch für physische Hardware und Systeme gelten (z. B. Härten, Protokollierung). Als Anforderungen für Hypervisoren sind vorgeschrieben: Härten des Hypervisors und des Host-Betriebssystems, regelmäßige Patches und strikte Trennung der unterschiedlichen Umgebungen (z. B. Produktions- und Entwicklungsumgebung). Auf Basis einer Risikoanalyse sind eine zentralisierte Steuerung, Protokollierung, Überwachung und Verwaltung der Zugriffsrechte, insbesondere für Konten mit privilegierten Berechtigungen, zu implementieren. Verwaltet ein Hypervisor mehrere Gast-VMs, müssen diese ein ähnliches Risikoprofil haben.

Anforderung 1.15: Cloud Computing

Die Verwendung öffentlicher und/oder hybrider Cloud-Lösungen in der Zahlungstransaktionskette muss durch eine formale Risikoanalyse begründet sein, bei der die technischen Kontrollen und Vertragsbestimmungen der Cloud-Lösung geprüft werden.

Bei der Nutzung einer hybriden Cloud-Lösung wird davon ausgegangen, dass die Kritikalitätsstufe des Gesamtsystems der des angebundenen Systems mit der höchsten Kritikalität entspricht. Alle am Standort befindlichen Komponenten der Hybridlösung sind von den übrigen Standortsystemen zu trennen.

2. Business-Continuity-Management

Die folgenden Anforderungen beziehen sich auf das Business-Continuity-Management. Jeder TARGET-Teilnehmer, der vom Eurosystem im Hinblick auf das reibungslose Funktionieren von TARGET als kritisch eingestuft wurde, muss über eine Strategie zur Aufrechterhaltung des Geschäftsbetriebs verfügen, die folgende Elemente aufweist:

Anforderung 2.1:

Pläne zur Aufrechterhaltung des Geschäftsbetriebs sind erstellt und Verfahren zu deren Pflege sind umgesetzt.

Anforderung 2.2:

Es muss ein Ausweichstandort für den Betrieb vorhanden sein.

Anforderung 2.3:

Das Risikoprofil des Ausweichstandorts muss sich von dem des Primärstandorts unterscheiden. Hierdurch soll vermieden werden, dass beide Standorte zeitgleich von derselben Störung betroffen sind. So sollte beispielsweise der Ausweichstandort an ein anderes Energieversorgungsnetz und eine andere Hauptfernmeldeleitung als der Primärstandort angeschlossen sein.

Anforderung 2.4:

Im Falle einer größeren Betriebsstörung, die dazu führt, dass auf den Primärstandort nicht zugegriffen werden kann und/oder für den Betrieb notwendige Mitarbeiter nicht verfügbar sind, muss der kritische Teilnehmer in der Lage sein, den normalen Betrieb vom Ausweichstandort aus wiederaufzunehmen und dort den Geschäftstag ordnungsgemäß abzuschließen und den/die folgenden Geschäftstag(e) zu beginnen.

Anforderung 2.5:

Durch etablierte Verfahren muss eine Wiederaufnahme der Transaktionsverarbeitung am Ausweichstandort innerhalb einer angemessenen Zeitspanne nach der ursprünglichen Unterbrechung des Dienstes und verhältnismäßig zur Kritikalität des von der Unterbrechung betroffenen Geschäftsvorgangs gewährleistet werden.

Anforderung 2.6:

Die Fähigkeit, Betriebsstörungen zu bewältigen, ist mindestens einmal jährlich zu überprüfen, und alle wichtigen Mitarbeiter sind in geeigneter Weise zu schulen. Der Abstand zwischen den Tests darf nicht länger als ein Jahr sein.

(1) Der Grundsatz „Kenntnis nur soweit nötig“ bezieht sich auf die Ermittlung der Gesamtheit derjenigen Informationen, auf die eine einzelne Person Zugriff haben muss, um ihre Aufgaben zu erledigen.

(2) Nach dem Grundsatz der minimalen Rechtevergabe wird der Zugriff einer Person auf ein IT-System so gestaltet, dass er ihrer fachlichen Zuständigkeit entspricht.

(3) Als Anbieter ist in diesem Zusammenhang jede dritte Partei (einschließlich ihrer Mitarbeiter) zu verstehen, mit der das Institut eine vertragliche Vereinbarung zur Erbringung einer Dienstleistung abgeschlossen hat und die (einschließlich ihrer Mitarbeiter) im Rahmen des Dienstleistungsvertrags entweder direkt vor Ort oder über einen Fernzugang Zugriff auf Informationen und/oder Informationssysteme und/oder informationsverarbeitende Einrichtungen des Instituts im Anwendungsbereich oder in Verbindung mit dem Anwendungsbereich der TARGET-Selbstzertifizierung erhält.