Die Meldungen dieser Woche reichen von aufsichtlichen Daten zu IKT-Vorfällen und neuen Anforderungen an ICAAP-Prozesse bis zu Geldwäscheprävention, internationalen Datentransfers und konkreten Cyberwarnungen. Mehrere Beiträge zeigen zugleich, dass regulatorische Anforderungen zunehmend anhand belastbarer Daten, klarer Zuständigkeiten und nachweisbarer technischer Kontrollen beurteilt werden. Für die Praxis bedeutet das: Compliance, Risikomanagement, Datenschutz und Informationssicherheit müssen ihre Erkenntnisse stärker zusammenführen und daraus konkrete Anpassungen für Kontrollen, Dokumentation und Eskalationswege ableiten.
Inhaltsverzeichnis
- 1. BaFin: Neue Übersichtsseite zu schwerwiegenden IKT-Vorfällen
- 2. EuGH: Urteil – Beschlagnahme geschäftlicher E-Mails durch Wettbewerbsbehörden
- 3. FIU: Neue Anhaltspunktepapiere zu Immobilien sowie alternativen Zahlungsmethoden und neuen Technologien
- 4. CISA und Partner: Leitfaden für sichere Zusammenarbeit bei Schwachstellenmeldungen
- 5. EZB-Bankenaufsicht: Überarbeiteter Leitfaden zum ICAAP
- 6. Britische Regierung: Call for Evidence zu vertrauenswürdigen internationalen Datenflüssen
- 7. BaFin: Aktualisiertes Rundschreiben zu Hochrisikostaaten
- 8. NCSC und internationale Partner: Warnung vor Angriffen auf kritische Sektoren
- 9. Europol: Terrorismusbericht zu veränderten Täterprofilen und Radikalisierung
- 10. ENISA: Reifegradmodell zur CRA-Vorbereitung für kleine und mittlere Unternehmen
- Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
1. BaFin: Neue Übersichtsseite zu schwerwiegenden IKT-Vorfällen
Anwendbar für: Banken, Versicherer, Zahlungsdienstleister, DORA-Compliance, Informationssicherheit, IKT-Risikomanagement
Relevante Maßnahmen:
- Veröffentlichte Vorfalldaten als Vergleichsgrundlage für die eigene IKT-Risikoanalyse und das interne Lagebild nutzen.
- Häufige Ursachen und betroffene Geschäftsprozesse mit den eigenen Incident- und Verlustdaten abgleichen.
- Erkenntnisse in Präventionsmaßnahmen, Kontrolltests und das Management-Reporting zu IKT-Risiken überführen.
2. EuGH: Urteil – Beschlagnahme geschäftlicher E-Mails durch Wettbewerbsbehörden
Anwendbar für: Unternehmen mit kartellrechtlichem Risiko, Datenschutz, Legal, Compliance, interne Untersuchungen, IT-Forensik
Relevante Maßnahmen:
- Verfahren für behördliche Durchsuchungen und Datenbeschlagnahmen um klare Zuständigkeiten für E-Mail- und Endgerätezugriffe ergänzen.
- Private und geschäftliche Nutzung von Endgeräten sowie daraus folgende erhöhte Schutzanforderungen in Richtlinien und Einsatzkonzepten berücksichtigen.
- Sicherstellen, dass bei Datenzugriffen Umfang, Zweckbindung, Vertraulichkeit und gerichtliche Kontrollmöglichkeiten dokumentiert werden.
3. FIU: Neue Anhaltspunktepapiere zu Immobilien sowie alternativen Zahlungsmethoden und neuen Technologien
Anwendbar für: Verpflichtete nach dem GwG, Banken, Zahlungsdienstleister, Kryptowerte-Dienstleister, Immobilienwirtschaft, Notare, Rechtsanwälte, Geldwäschebeauftragte
Relevante Maßnahmen:
- AML-Prozesse für Immobiliengeschäfte um Auffälligkeiten bei Strohpersonen, komplexen Firmenstrukturen, Share Deals, Zahlungsabwicklung, Finanzierung, Preisabweichungen sowie Bau, Sanierung und Vermietung ergänzen.
- Monitoring und Fallbearbeitung bei Kryptowerten, NFT, E-Wallets, Gaming-Werten, Social-Media-Zahlungen und Crowdfunding auf die beschriebenen Modi Operandi und Anhaltspunkte ausrichten.
- Die jeweils einschlägigen Hinweise in Risikoanalyse, Arbeitsanweisungen, Transaktionsüberwachung und Schulungen getrennt nach Geschäftsmodell übernehmen.
4. CISA und Partner: Leitfaden für sichere Zusammenarbeit bei Schwachstellenmeldungen
Anwendbar für: Softwarehersteller, Online-Dienste, Product Security, Informationssicherheit, Vulnerability Management, Legal
Relevante Maßnahmen:
- Einen klar erreichbaren und dokumentierten Meldeweg für externe Sicherheitsforscher und Schwachstellenhinweise einrichten.
- Zuständigkeiten, Reaktionsfristen und Eskalationen zwischen Product Security, Entwicklung, Legal und Kommunikation verbindlich festlegen.
- Offenlegung, Fehlerbehebung und Kommunikation so koordinieren, dass Sicherheitsrisiken reduziert und meldende Personen geschützt werden.
5. EZB-Bankenaufsicht: Überarbeiteter Leitfaden zum ICAAP
Anwendbar für: Bedeutende Institute, Risikomanagement, Controlling, Aufsichts-Compliance, Geschäftsleitung, Interne Revision
Relevante Maßnahmen:
- ICAAP-Governance, Risikoinventur und Kapitaladäquanzbeurteilung mit den sieben aufsichtlichen Prinzipien abgleichen.
- Zusammenspiel von normativer und ökonomischer Perspektive sowie die Verwendung der Ergebnisse in Steuerungs- und Entscheidungsprozessen nachvollziehbar belegen.
- Validierung, Datenaggregation und Stresstests auf Vollständigkeit, Konsistenz und ausreichende Unabhängigkeit überprüfen.
6. Britische Regierung: Call for Evidence zu vertrauenswürdigen internationalen Datenflüssen
Anwendbar für: Datenschutz, internationale Unternehmensgruppen, Cloud-Nutzung, Data Governance, Legal, UK-Geschäft
Relevante Maßnahmen:
- Praktische Schwierigkeiten bei internationalen Datentransfers, Transfer Risk Assessments und konzernweiten Datenzugriffen erfassen.
- Datenübermittlungen nicht nur nach Speicherort, sondern auch nach Zugriffen aus Drittstaaten systematisch abbilden.
- Mögliche Änderungen des britischen Transferregimes und ihre Auswirkungen auf EU-UK-Datenflüsse beobachten.
7. BaFin: Aktualisiertes Rundschreiben zu Hochrisikostaaten
Anwendbar für: Banken, Versicherer, Zahlungsdienstleister, Kryptowerte-Dienstleister, AML-Compliance, KYC
Relevante Maßnahmen:
- Länderlisten und interne Risikoklassifizierungen mit dem aktualisierten Rundschreiben abgleichen.
- Verstärkte Sorgfaltspflichten und Genehmigungs- oder Eskalationswege für betroffene Geschäftsbeziehungen aktualisieren.
- Screening-, Monitoring- und Dokumentationsvorgaben in den betroffenen Länder- und Kundensegmenten anpassen.
8. NCSC und internationale Partner: Warnung vor Angriffen auf kritische Sektoren
Anwendbar für: KRITIS, Finanzsektor, Energie, Kommunikation, Gesundheitswesen, öffentliche Verwaltung, Informationssicherheit
Relevante Maßnahmen:
- Router und sonstige Netzwerkgeräte auf bekannte Schwachstellen, unsichere Konfigurationen und veraltete Managementprotokolle überprüfen.
- Legacy-SNMP-Versionen deaktivieren, starke individuelle Zugangsdaten durchsetzen und Managementzugänge technisch beschränken.
- Bedrohungsszenarien durch staatliche Akteure in Monitoring, Patch-Management und Incident Response aufnehmen.
9. Europol: Terrorismusbericht zu veränderten Täterprofilen und Radikalisierung
Anwendbar für: Sicherheitsbehörden, Financial Crime, Terrorismusfinanzierungsprävention, Plattformen, Jugend- und Präventionsarbeit
Relevante Maßnahmen:
- Erkenntnisse zu veränderten Radikalisierungswegen und Täterprofilen in Risikoanalysen zur Terrorismusfinanzierung einbeziehen.
- Auffälligkeiten in Online- und Zahlungsaktivitäten nicht ausschließlich anhand traditioneller Organisationsstrukturen bewerten.
- Schnittstellen zwischen AML, Betrugsprävention, Plattform-Monitoring und Sicherheitsfunktionen für komplexe Einzelfälle stärken.
10. ENISA: Reifegradmodell zur CRA-Vorbereitung für kleine und mittlere Unternehmen
Anwendbar für: Hersteller von Produkten mit digitalen Elementen, KMU, Product Security, Informationssicherheit, CRA-Compliance
Relevante Maßnahmen:
- Den eigenen Reifegrad in Governance, Security by Design, Schwachstellenmanagement, Produktlebenszyklus und Fachkompetenz bestimmen.
- Festgestellte Lücken in eine priorisierte CRA-Roadmap mit Verantwortlichkeiten und Nachweisen überführen.
- Incident Response und Produktlebenszyklusmanagement besonders prüfen, da ENISA hier bei kleineren Unternehmen die größten Defizite sieht.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen