Wenn ein Finanzunternehmen einen Laptop, einen Server oder ein Speicherarray außer Betrieb nimmt, werden die darauf befindlichen Daten nicht automatisch mit außer Betrieb genommen. Gemäß dem EU-Gesetz zur digitalen operativen Widerstandsfähigkeit ist nun geregelt, was mit diesen Daten und mit dem Gerät selbst geschieht – dies ist Teil eines regulierten IKT-Risikomanagement-Rahmens. Die Verordnung (EU) 2022/2554 zum Gesetz über digitale Betriebsresilienz (DORA) trat am 16. Januar 2023 in Kraft und wurde am 17. Januar 2025 anwendbar, nach einer 24-monatigen Übergangsfrist zwischen Inkrafttreten und Anwendung. Sie legt Anforderungen für Finanzunternehmen in der Europäischen Union fest, um IKT-Risiken zu managen und die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten zu schützen. DORA schafft einen gemeinsamen Rahmen für digitale operative Widerstandsfähigkeit für ein breites Spektrum von Finanzinstituten, darunter Kredit- und Zahlungsinstitute, Wertpapierfirmen, Krypto-Asset-Dienstleister, Einrichtungen der betrieblichen Altersversorgung, Versicherungs- und Rückversicherungsunternehmen sowie Ratingagenturen.
Die Verordnung deckt wichtige Bereiche ab, wie zum Beispiel:
- IKT-Risikomanagement
- Meldung von Vorfällen
- Prüfung der digitalen operativen Widerstandsfähigkeit
- Austausch von Informationen und Erkenntnissen
- IKT-Risikomanagement in Bezug auf Dritte
Die dazugehörigen technischen Durchführungsstandards (RTS), die in der Delegierten Verordnung (EU) 2024/1774 der Kommission festgelegt sind, legen Anforderungen an die Daten- und Systemsicherheit fest, einschließlich der sicheren Löschung nicht mehr benötigter Daten sowie der Entsorgung oder Außerbetriebnahme von Speichergeräten, die vertrauliche Informationen enthalten. Diese Anforderungen machen die kontrollierte Datenlöschung und die sichere Entsorgung von Geräten für die Umsetzung der Daten- und Systemsicherheitsanforderungen von DORA relevant.
Was sind die DORA-Anforderungen an die Sicherheit von Daten und IKT-Ressourcen?
Die folgenden DORA-Bestimmungen sind besonders relevant dafür, wie Finanzunternehmen Informationen identifizieren, schützen, verwalten und wiederherstellen sowie die IKT-Ressourcen verwalten, auf denen diese gespeichert und verarbeitet werden.
- DORA Artikel 6 – Rahmenwerk für das IKT-Risikomanagement: Artikel 6 verpflichtet Finanzunternehmen zur Aufrechterhaltung eines umfassenden Rahmenwerks für das IKT-Risikomanagement, das Richtlinien, Verfahren, Protokolle und Instrumente zum Schutz von Informationen und IKT-Ressourcen umfasst. Die zugehörigen RTS legen Anforderungen für Bereiche wie das IKT-Ressourcenmanagement, die Verschlüsselung, den IKT-Betrieb, die Netzwerksicherheit sowie die Daten- und Systemsicherheit fest.
- DORA Artikel 8 – Identifizierung: Artikel 8 verpflichtet Finanzunternehmen dazu, ihre Informationen und IKT-Ressourcen sowie die von ihnen unterstützten Funktionen zu identifizieren, zu klassifizieren und zu dokumentieren. RTS Artikel 4 schreibt eine Richtlinie zum IKT-Ressourcenmanagement vor, die den Lebenszyklus der Ressourcen sowie Aufzeichnungen wie Identifikatoren, Standorte, Klassifizierungen, Eigentümer, Abhängigkeiten und Enddaten des IKT-Supports durch Dritte abdeckt.
- DORA Artikel 9 – Schutz und Prävention: Dieser Artikel schreibt Maßnahmen zum Schutz der Widerstandsfähigkeit, Kontinuität und Verfügbarkeit von IKT-Systemen sowie der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten vor. Die begleitenden RTS legen zusätzliche Sicherheitsmaßnahmen in Bezug auf Zugriffskontrolle, sichere Konfigurationen, anerkannte Software und Speichermedien, Endpunktsicherheit sowie die Verhinderung von Datenverlust und -lecks fest.
- DORA Artikel 12 – Richtlinien und Verfahren zur Datensicherung: Artikel 12 schreibt dokumentierte Verfahren zur Datensicherung, Datenrettung und Wiederinbetriebnahme sowie Maßnahmen zum Schutz und zur regelmäßigen Prüfung von Sicherungssystemen vor. Die begleitenden RTS regeln die Anforderungen an die Datensicherung und Datenrettung im Rahmen des IKT-Betriebs.
- DORA Artikel 13 – Lernen und Weiterentwicklung: Dieser Artikel verpflichtet Finanzinstitute, Informationen über Schwachstellen, Cyberbedrohungen und IKT-bezogene Vorfälle zu sammeln und nach schwerwiegenden IKT-bezogenen Vorfällen, die Kernaktivitäten stören, Post- -Analysen durchzuführen, um Verbesserungen im IKT-Betrieb und der digitalen operativen Widerstandsfähigkeit zu identifizieren. Wenn eine Analyse ergibt, dass Daten durch unsachgemäß entsorgte Speichermedien offengelegt wurden, sollten die Ergebnisse in die Entsorgungs- und Löschverfahren einfließen.
Die begleitenden RTS behandeln zudem die sichere Deinstallation und Altsysteme. Von besonderer Bedeutung für die Datenlöschung ist Artikel 11 der RTS, der Verfahren vorschreibt, um nicht mehr benötigte Daten sicher zu löschen und Speichergeräte, die vertrauliche Informationen enthalten, sicher zu entsorgen oder außer Betrieb zu nehmen.
Wie regeln die DORA-Anforderungen die Datenlöschung?
Die Delegierte Verordnung (EU) 2024/1774 der Kommission legt spezifische Anforderungen an die Daten- und Systemsicherheit fest. Artikel 11 verpflichtet Finanzunternehmen, ein Verfahren zur Daten- und Systemsicherheit zu entwickeln, zu dokumentieren und umzusetzen.
Artikel 11 ist in Titel II der RTS enthalten, der für die meisten Finanzinstitute gilt. Institute, die gemäß Artikel 16 der DORA für den vereinfachten Rahmen für das IKT-Risikomanagement in Frage kommen, befolgen stattdessen Titel III der RTS.
Mehrere Bestimmungen sind für die Datenlöschung, die Entsorgung von Geräten und den Datenschutz besonders relevant:
- RTS-Artikel 11 Absatz 2 Buchstabe g – Sichere Löschung von Daten: Schreibt ein Verfahren zur sicheren Löschung von Daten vor, unabhängig davon, ob diese in den Räumlichkeiten des Finanzinstituts oder extern gespeichert sind, sobald sie für die Erhebung oder Speicherung nicht mehr benötigt werden.
- RTS Artikel 11 Absatz 2 Buchstabe h – Sichere Entsorgung oder Außerbetriebnahme von Datenspeichergeräten: Schreibt ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Speichergeräten vor, die vertrauliche Informationen enthalten, unabhängig davon, ob sie sich in den Räumlichkeiten des Finanzinstituts oder extern befinden.
- RTS Artikel 11(2)(f)(i) – Fernlöschung: Erfordert eine Verwaltungslösung für tragbare und private, nicht tragbare Endgeräte, die die Fernverwaltung und Fernlöschung der Daten des Finanzinstituts ermöglicht.
- RTS Artikel 11 Absatz 2 Buchstabe i – Verhinderung von Datenverlust und -lecks: Erfordert Sicherheitsmaßnahmen zur Verhinderung von Datenverlust und -lecks bei Systemen und Endgeräten.
- RTS Artikel 12 – Protokollierung: Finanzinstitute sind verpflichtet, dokumentierte Protokollierungsverfahren einzuführen, einschließlich festgelegter Aufbewahrungsfristen für Protokolle und Maßnahmen zum Schutz der Protokolle vor Manipulation, Löschung und unbefugtem Zugriff.
Diese Bestimmungen legen Anforderungen für die sichere Datenlöschung, die Entsorgung von Speichergeräten, das Löschen von Endgeräten, die Verhinderung von Datenverlusten und die Protokollierung innerhalb des übergeordneten IKT-Sicherheitsrahmens fest.
Welche Rolle spielt die sichere Datenlöschung bei der Gewährleistung der DORA-Konformität?
Die sichere Datenlöschung – oder Datenbereinigung – kann Finanzinstituten dabei helfen, die in den DORA-begleitenden RTS geforderten Prozesse umzusetzen, um nicht mehr benötigte Daten sicher zu löschen und Datenspeichergeräte, die vertrauliche Informationen enthalten, sicher zu entsorgen oder außer Betrieb zu nehmen. Eine softwarebasierte Lösung zur Datenbereinigung wie BitRaser Drive Eraser kann diese Prozesse durch kontrollierte Löschung, Überprüfung und Berichterstellung über alle unterstützten Speichermedien hinweg unterstützen.
- Sichere Datenlöschung: Lösungen zur Datenlöschung können Daten von unterstützten Speichermedien löschen, darunter Festplatten (HDDs), SSDs und NVMe-Laufwerke, die in Laptops, Desktop-Computern und Servern verwendet werden. Diese Funktion kann in dokumentierte Verfahren zur Datenlöschung und zur Entsorgung von Vermögenswerten gemäß Artikel 11 Absatz 2 Buchstaben g und h der RTS integriert werden.
- Behandelt versteckte Speicherbereiche: Sofern vom Gerät und der Löschmethode unterstützt, kann BitRaser versteckte Bereiche wie den Host Protected Area (HPA), das Device Configuration Overlay (DCO) und neu zugeordnete Sektoren behandeln. Dies kann dazu beitragen, Restdaten zu beseitigen, die möglicherweise außerhalb der herkömmlichen, für den Benutzer zugänglichen Speicherbereiche vorhanden sind.
- Überprüft die Löschung: Die Löschüberprüfung kann eine zusätzliche Kontrollmaßnahme darstellen, um sicherzustellen, dass ein Löschvorgang wie beabsichtigt abgeschlossen wurde. Die Überprüfungsmethoden können je nach Gerät, Technologie und gewählter Löschmethode variieren.
- Erstellt Begleitdokumente: Löschlösungen können Zertifikate und detaillierte Berichte erstellen, die das Gerät, den Löschvorgang und das Ergebnis dokumentieren. Solche Unterlagen können interne Audits, die Entsorgung von Vermögenswerten und Compliance-Maßnahmen unterstützen.
- Unterstützt die Fernlöschung: In unterstützten Endgeräteumgebungen ermöglicht die Fernlöschung es Unternehmen, Daten zu löschen, ohne physischen Zugriff auf das Gerät zu haben. Dies kann die Anforderung zur Fernlöschung gemäß Artikel 11(2)(f)(i) erfüllen, sofern das Gerät und die Bereitstellungsumgebung die geltenden Bedingungen erfüllen.
- Unterstützt standardisierte Löschung in großem Maßstab: Zentralisierte Löschworkflows ermöglichen es Unternehmen, Löschmethoden zu standardisieren, Bereitstellungsimages zu konfigurieren und mehrere Laufwerke gleichzeitig zu bearbeiten. Dies kann IT-Teams und ITAD-Anbietern helfen, einheitliche Verfahren bei großen Bestandsmengen anzuwenden.
Bei Auslagerung der Entsorgungsaktivitäten:
Die Auslagerung der Geräteentsorgung an einen ITAD-Anbieter führt nicht zu einer Übertragung der Verpflichtung. RTS Artikel 11(2)(g) und (h) gelten für Daten und Geräte unabhängig davon, ob sie sich in den Räumlichkeiten des Finanzinstituts oder extern befinden, und ausgelagerte Vereinbarungen können ebenfalls unter die Anforderungen der DORA an das IKT-Risiko durch Dritte (Artikel 28 bis 30) fallen. Löschzertifikate auf Geräteebene liefern Finanzinstituten nachprüfbare Nachweise, die sie im Rahmen dieser Aufsicht überprüfen können, anstatt sich auf die zusammenfassende Erklärung eines Anbieters zu verlassen.
Diese Möglichkeiten können Finanzinstituten dabei helfen, wiederholbare Prozesse für die sichere Datenlöschung, die Entsorgung von Speichergeräten, die Überprüfung und die begleitende Dokumentation zu etablieren. DORA und die dazugehörigen RTS schreiben kein bestimmtes kommerzielles Löschprodukt oder keine bestimmte Bereinigungstechnologie vor. Die Ausrichtung der Löschung und Überprüfung an anerkannten Bereinigungsstandards wie NIST SP 800-88 Rev. 2 und IEEE 2883-2022 kann dazu beitragen, die Angemessenheit der gewählten Methode nachzuweisen. Organisationen müssen geeignete technische und organisatorische Maßnahmen festlegen, die auf ihren IKT-Risiken, der Datenklassifizierung, internen Richtlinien, Verfahren, geltenden Aufbewahrungspflichten (einschließlich des Grundsatzes der Speicherbegrenzung gemäß Artikel 5 Absatz 1 Buchstabe e der DSGVO) sowie anderen gesetzlichen und regulatorischen Verpflichtungen basieren.
Fazit
DORA macht die sichere Löschung und Entsorgung von Geräten zu einem Bestandteil der Nachweise, mit denen Finanzinstitute ihre digitale operative Widerstandsfähigkeit belegen. Ein dokumentierter Prozess, eine verifizierte Löschung und Aufzeichnungen auf Geräteebene machen diese RTS-Anforderungen zu etwas, das ein Prüfer überprüfen kann.
