Die Finanzmarktaufsicht wurde eröffnet Beratungsgespräch über die Standardbedingungen für Finanzinstitute im Juli, einschließlich einer vorgeschlagenen Bedingung „Geschäftskontinuität und technologische Systeme“. Diese Bedingung kommt, ähnlich wie bei Finanzberatungsanbietern, auf den Rücken der FMA’s Infoblatt das darauf abzielt, lizenzierten Unternehmen dabei zu helfen, die Widerstandsfähigkeit ihrer Cyber- und Betriebssysteme zu verbessern.
Der kürzlich veröffentlichte Hack von Booster Financial Services bringt dieses Problem wieder ins Rampenlicht. In diesem Financial Law Insight werfen wir einen Blick darauf, was das Informationsblatt für lizenzierte Unternehmen bedeutet und wie sie die Anforderungen und Erwartungen der Aufsichtsbehörden am besten in die Praxis umsetzen können.
Hintergrund
Cyber-Angelegenheiten sind für die FMA eine Entwicklungspriorität. CEO Samantha Barrass sprach das Thema bereits im März im Rahmen einer breit angelegten Rede vor dem Financial Services Council Connect an und wies darauf hin, dass „Cybersicherheit ein erhebliches Risiko in der gesamten Branche und auf der ganzen Welt bleibt“. Barrass bemerkte, dass „wie die jüngsten hochkarätigen Ereignisse gezeigt haben, keiner von uns gegen diese Bedrohung immun ist, daher ist ein guter Reaktionsplan unerlässlich und in der Tat ein wichtiger Faktor für Ihre Betriebserlaubnis.“
Reputationsfokus
Ein wichtiger Treiber für die Verbesserung der Widerstandsfähigkeit von Cybersicherheit und Betriebssystemen sind die potenziellen Folgen, wenn etwas schief geht. Allein der Reputationsschaden wird größere Folgen haben als alle behördlichen Abmahnungen.
Wie die FMA zu Recht feststellt, gibt es Schwachstellen in Sicherheit und Widerstandsfähigkeit, die es auszunutzen gilt, weil Unternehmen möglicherweise nicht genug in robuste Technologiesysteme investieren. Oder schlimmer noch, sie verwenden weiterhin nicht unterstützte oder veraltete Systeme, die sie Bedrohungen aussetzen.
Was sagt das Informationsblatt?
Die Kernbotschaften des Informationsblatts – es handelt sich um Informationen und nicht um Leitlinien mit einem großen „G“ – sind, dass die FMA erwartet, dass Unternehmen über eine angemessene Technologiearchitektur und Cybersicherheitssysteme verfügen. Und dass diese Systeme regelmäßig getestet werden, um sicherzustellen, dass Daten und Technologie sicher sind und effektiv funktionieren.
Das Informationsblatt schlägt Unternehmen vor, sich anhand der Selbsteinschätzung zu orientieren Rahmen für Cybersicherheit entwickelt vom National Institute of Standards and Technology (eine nicht regulierende Behörde des US-Handelsministeriums). Dieses Framework besteht aus fünf Schritten: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.
Die FMA verweist auch auf Leitlinien von CERT NZ und RBNZ und beschreibt die des National Cyber Security Centre Ereignismanagement Anleitung als nützlich. Zu den Vorschlägen gehört, einen Plan zu haben, um auf Vorfälle zu reagieren und die Dinge wieder zum Laufen zu bringen. Obwohl sich das Informationsblatt auf schweres Heben anderer stützt, ist es dennoch ein nützlicher Ausgangspunkt.
Was ist unsere Meinung?
Ein Punkt, der im Informationsblatt nicht hervorgehoben wurde, ist die Notwendigkeit für Unternehmen, sorgfältig zu prüfen, welche Informationen oder Systeme abgeschafft werden können. Eine gute Reinigung hin und wieder reduziert die Möglichkeit eines Cyber-Verstoßes oder einer unbeabsichtigten Offenlegung.
Unternehmen sollten sich auch davor hüten, neue Plattformen oder Funktionen auf einer immer älter werdenden Architektur zu entwickeln. Das schreit nur nach Ärger. Und in diesem Sinne kann das liberale Kopieren und Einfügen von Entwicklercode durchaus Schwachstellen schaffen, die ausgenutzt werden können, also sollte man es möglichst vermeiden.
Die FMA hat eine recht weit gefasste Pflicht zur Meldung von Vorkommnissen formuliert. Dies gilt auch, wenn Daten oder Informationen kompromittiert wurden. Unserer Ansicht nach sollten lizenzierte Unternehmen jedoch vorsichtig sein, unter diesen Umständen reflexartig mit der FMA in Kontakt zu treten.
Geht es bei einem Vorfall um den Verlust von Kundeninformationen wie Ausweisdokumenten oder Zahlungsdaten, ist das Office of the Privacy Commissioner die erste Anlaufstelle. Es besteht keine regulatorische Verpflichtung, Datenschutzverletzungen an die FMA zu melden, es sei denn, Sie möchten sie höflich vorwarnen. Wir empfehlen dabei ein überlegtes Vorgehen. Stellen Sie sich die Frage: ‘Wirkt dies tatsächlich auf meine lizenzierten Aktivitäten oder meine Fähigkeit zur Erfüllung meiner aufsichtsrechtlichen Pflichten auf den Finanzmärkten zurück?’
Zugelassene Finanzberatungsanbieter haben in diesem Zusammenhang unter ihrer Bedingung „Geschäftskontinuität und Technologiesysteme“ klarere Verpflichtungen. Finanzinstituten wird voraussichtlich eine ähnliche Bedingung für ihre CoFI-Verhaltenslizenzen auferlegt.
Wann muss ich die FMA benachrichtigen?
Konzessionierte Unternehmen, die keine ausdrückliche Bedingung „Business Continuity and Technology Systems“ haben, müssen der FMA nur Cyber-Vorfälle melden, bei denen es zu Folgendem gekommen ist:
- eine wesentliche Änderung der Umstände in Bezug auf die Lizenz; oder
- eine Verletzung oder wahrscheinliche Verletzung einer Verpflichtung des Marktdienstlizenznehmers in wesentlicher Hinsicht.
Materielle Veränderung
Eine wesentliche Änderung der Umstände im Zusammenhang mit einem Cyber-Vorfall ist eine Änderung, die sich nachteilig auf die Fähigkeit des Lizenznehmers auswirkt, die lizenzierte Dienstleistung effektiv zu erbringen (es ist unwahrscheinlich, dass ein Cyber-Vorfall dazu führen würde, dass ein lizenziertes Unternehmen die Zulassungskriterien nicht mehr erfüllt ).
Entscheidend ist, ob es sich bei einem Vorfall um eine „wesentliche Änderung“ handelt, und wenn ja, ob er tatsächlich die Fähigkeit des Unternehmens zur effektiven Erbringung dieser Dienstleistung beeinträchtigt.
Die große Mehrheit der Cybervorfälle wird zu keiner wesentlichen Änderung führen. Sie werden sich auch nicht auf die Geschäftsfähigkeit eines Unternehmens auswirken. Ein Vorfall wie der Denial-of-Service-Angriff auf die NZX-Website und -Ankündigungsplattform – der die Offenlegung beeinträchtigte und anschließend den Handel für mehrere Tage unterbrach – ist meldepflichtig. Das Äquivalent wäre ein Vorfall, der die Fähigkeit eines MIS-Managers beeinträchtigt, Anträge und Abhebungen zu bearbeiten, Einheiten zu berechnen und Investitionen zu überwachen. Oder eine Crowdfunding-Plattform, die offline genommen wird, verhindert Anträge auf Aktien.
Der Verlust von Kundendaten an sich hat zwar Folgen für den Ruf und nach dem Datenschutzgesetz, hat jedoch normalerweise keine wesentlichen Auswirkungen auf die Leistung eines lizenzierten Dienstes nach dem Financial Markets Conduct Act (“FMC Act”).
Verletzung der Lizenznehmerpflicht
Lizenznehmerverpflichtungen für Marktdienstleistungen werden einem Lizenznehmer durch eine Lizenzbedingung oder gemäß dem FMC Act (und, falls zutreffend, Bedingungen des Angebots, Gerichtsbeschlusses, maßgeblichen Dokumenten oder KiwiSaver Act) auferlegt.
Wichtig ist, dass die verschiedenen „Mindeststandards“, die von der FMA in Bezug auf Lizenzanträge entwickelt wurden, keine Verpflichtungen für Marktdienstleistungslizenznehmer sind; sie können nicht „durchbrochen“ werden. Sie legen lediglich Grundvoraussetzungen für den Erhalt einer Lizenz fest. Sie enthalten keine laufenden Lizenznehmerverpflichtungen, außer in dem Umfang, in dem sie sich in tatsächlichen Lizenzbedingungen widerspiegeln.
Verweise im Merkblatt der FMA auf Mindeststandards, wie z. B. den „Mindeststandard Betriebsinfrastruktur“ und das Erfordernis der Sicherheit und Zuverlässigkeit von IT-Systemen, sind nur relevant, soweit eine Konzessionsauflage nachträglich auf diese ursprüngliche Grundanforderung verweist.
Die „Compliance“-Standardbedingung verlangt einfach, dass Unternehmen über angemessene und wirksame Systeme, Richtlinien, Prozesse und Kontrollen verfügen, die geeignet sind, sicherzustellen, dass die Verpflichtungen des Marktdienstleistungslizenznehmers auf effektive Weise erfüllt werden. Wenn ein Unternehmen eine Lizenz erhalten hat, muss davon ausgegangen werden, dass seine Systeme für den Zweck geeignet sind. Solange ein Unternehmen bei der erforderlichen Wartung oder Aktualisierung von Systemen nicht völlig nachlässig war, ist es unwahrscheinlich, dass ein Cyber-Vorfall gegen die Compliance-Bedingung verstößt.
Ein Vorfall stellt auch keinen Verstoß gegen die „Governance“-Bedingung oder die allgemeine spezifische Bedingung dar, die an alle Lizenzen geknüpft ist. Diese generische spezifische Bedingung verlangt von den Konzessionsnehmern, „den gleichen oder einen besseren Standard in Bezug auf Leistungsfähigkeit, Governance und Compliance aufrechtzuerhalten, wie es der Fall war, als die FMA ihren Antrag bewertete“, was im Wesentlichen mit der Compliance-Bedingung identisch ist.
Keine ausdrücklichen Verpflichtungen
Das Problem der FMA ist, dass es im MVG keine ausdrücklichen Anforderungen an die Cybersicherheit und die betriebliche Infrastruktur gibt. Die FMA hat auch keine Standardbedingung in Bezug auf Cybersicherheit und Betriebsinfrastruktur für ihre lizenzierte Kohorte eingeführt (mit Ausnahme von Finanzberatungsanbietern; Finanzinstitute – Banken, Versicherer und Einlagennehmer – werden sich ihnen wahrscheinlich anschließen).
Aufgrund des Fehlens einer ausdrücklichen Auflage für andere Bewilligungsarten besteht für bewilligte Stellen derzeit keine ausdrücklich vorgeschriebene Meldepflicht von geringfügigen oder einfachen Vorkommnissen im Rahmen des ordentlichen Geschäftsgangs an die FMA.
Ist die „Selbstauskunft“ obligatorisch?
Nur wirklich störende Verstöße müssen gemeldet werden. Und selbst dann müssen Unternehmen berücksichtigen, inwieweit ein Vorfall das lizenzierte Geschäft oder den lizenzierten Teil des Geschäfts tatsächlich wesentlich beeinträchtigt (insbesondere wenn mehrere Lizenzen gehalten werden oder komplexere Vertriebsstrukturen beteiligt sind). Schließlich hat die FMA keinen gesetzlichen Auftrag (oder Fachwissen), um einen Konzessionär bei der tatsächlichen Behandlung oder Behebung eines Cyber-Verstoßes zu unterstützen.
Auslagerung
Die FMA ist auch sehr daran interessiert, dass lizenzierte Unternehmen ihre Outsourcing-Dienstleister im Auge behalten. Dies ist im Hinblick auf Kernlieferanten sinnvoll, aber es ist nicht selbstverständlich, dass sich diese Verpflichtungen auf, wie die FMA formuliert, „Lieferketten und Drittanbieter“ erstrecken. Die allgemeine „Outsourcing“-Bedingung für Lizenzen ist klar, wobei die Erläuterung Folgendes besagt:
Diese Bedingung deckt nur Outsourcing-Vereinbarungen im Zusammenhang mit dem lizenzierten Geschäft ab, bei denen Sie sich auf den Outsourcing-Anbieter verlassen, um Ihre Verpflichtungen als Lizenznehmer für Marktdienstleistungen zu erfüllen.
Konzessionierte Unternehmen sollten daher ihr Augenmerk auf Anbieter richten, an die sie Schlüsselfunktionen delegiert haben, um ihre regulatorischen Anforderungen (Verpflichtungen nach dem FMC-Gesetz und solche, die durch Lizenzbedingungen auferlegt werden) zu erfüllen. Beispielsweise könnten Kernfunktionen, die von einem MIS-Manager „ausgelagert“ werden, die Verwaltungsverwaltung, Registerdienste und die Anlageverwaltung umfassen (die Verwahrung ist von den Outsourcing-Erwägungen im Rahmen des Lizenzierungsverfahrens der FMA ausgenommen).
Lizenzierte Unternehmen sollten sicherstellen, dass sie Vereinbarungen mit ihren wichtigsten Outsourcing-Anbietern getroffen haben. Wichtig ist, dass diese Vereinbarungen angemessene Schutzmaßnahmen und Sicherheitsvorkehrungen enthalten, um eine schnelle Reaktion auf alle Cyber- (und Datenschutz-) Vorfälle zu ermöglichen. Diese Vereinbarungen sollten auch eine angemessene Aufsicht über die ausgelagerten Vereinbarungen und die Leistung des Anbieters vorsehen. Und für den Fall, dass der Anbieter schuld ist, sollte die Vereinbarung einen angemessenen Rückgriff für schlechte Leistung vorsehen (einschließlich eines Mechanismus zur Erleichterung der Übergabe an einen neuen Dienstanbieter).
Zukünftiger Fokus
Die FMA verstärkt ihren Fokus auf Cyber- und operative Resilienz und führt eine Überprüfung der Unternehmenspflichten durch. Dies steht im Einklang mit der zunehmenden Digitalisierung von Finanzdienstleistungen, der zunehmenden Prävalenz von Cyberangriffen und der steigenden Zahl von gemeldeten Technologievorfällen.
Die Überprüfung der Verpflichtungen des Unternehmens hätte unserer Ansicht nach vor deren Freigabe erfolgen müssen Infoblatt. Die Einführung einiger klar definierter Verpflichtungen in Form einer Standardbedingung, wie dies bereits für Finanzberatungsanbieter der Fall ist und für Finanzinstitute vorgeschlagen wird, würde lizenzierten Unternehmen Gewissheit über den Umfang ihrer Verpflichtungen geben und eine klare Linie vorgeben wenn ein Verstoß „meldepflichtig“ ist. Im Wesentlichen beinhaltet das Merkblatt, dass sich die FMA dazu äußert, wie sich konzessionierte Unternehmen in Bezug auf Fragen der Cybersicherheit verhalten sollten, ohne zuvor angemessene Konzessionsauflagen auf die harte Tour zu machen.
Mit Blick auf die Zukunft sollten lizenzierte Unternehmen Ausschau nach einer Überprüfung der Lizenznehmerverpflichtungen und der Möglichkeit halten, in den kommenden Monaten in Bezug auf vorgeschlagene neue „Cyber- und Geschäftskontinuitäts“-Lizenzbedingungen ein Mitspracherecht zu haben. In der Zwischenzeit ist jetzt ein günstiger Zeitpunkt, um Ihre Pläne zur Reaktion auf Vorfälle zu überprüfen, auch wenn Sie technisch keiner ausdrücklichen regulatorischen Verpflichtung zur Cybersicherheit unterliegen.
Wenn Sie noch keinen schriftlichen Plan haben, den Sie im Falle einer Datenschutz- oder Cyberverletzung befolgen können, empfehlen wir Ihnen, einen zu erstellen!
Comments are closed.