Dank DORA haben wir die ersten öffentlichen Statistiken zu schwerwiegenden IT-Vorfällen in der EU. Die berichteten Kosten werfen jedoch mehrere Fragen auf.
„Based on the available information, it seems that major incidents had a very limited monetary impact: half of them did not report any direct or indirect costs (almost 40 %) or indicated to have suffered a negligible monetary impact, with direct and indirect costs amounting to less than EUR 1,000 (around 10 %)”, heißt es im „Joint-ESA-Report gemäß Artikel 22 DORA für das Jahr 2025”1. In einer Fußnote wird erklärt, dass die Zeitkosten der Mitarbeiter, die die Störungen behoben haben, als Kosten zählen, weshalb die Daten wahrscheinlich fehlerhaft sind.
Da Geschäftsführer Sicherheitsmaßnahmen anhand der möglichen Verluste für ihre Organisationen priorisieren, hoffe ich, dass in Zukunft bessere reale Daten veröffentlicht werden.
Es wurden 0,18 schwerwiegende IT-Vorfälle pro Finanzinstitut, das von DORA reguliert wird, berichtet. Deswegen frage ich mich, ob die Kriterien für einen schwerwiegenden IT-Vorfall erhöht werden müssen 2 oder ob auch „Near-Miss“-Vorfälle gezählt werden.
Schließlich stelle ich mir die Frage, ob transparente und reale Statistiken für oder gegen die Interessen der Finanzbranche sprechen werden. Als Ingenieur benötige ich konkrete Daten, um Probleme zu diagnostizieren und zu priorisieren. Fehlende Daten könnten jedoch auch den Eindruck erwecken, dass keine zusätzlichen Investitionen in die IT-Sicherheit notwendig sind, und dieses Geld könnte in anderen Bereichen der Organisation investiert werden.
Nach dem Lesen des Berichtes, zu welchen Schlussfolgerungen kommen Sie?