Die Implementierung einer Automatisierung des Vulnerability Managements stellt einen grundlegenden Wendepunkt dar, der durch den Digital Operational Resilience Act (DORA) und die Delegierte Verordnung (EU) 2024/1774 gefordert wird. Damit werden punktuelle Sicherheitstests zugunsten einer kontinuierlichen und strukturierten Compliance abgelöst. Finanzinstitute sind nun dazu angehalten, einen kohärenten und transparenten Rahmen für das Schwachstellenmanagement zu gewährleisten, bei dem die Automatisierung eine zentrale Rolle für die operative Resilienz gegenüber dynamischen IKT-Bedrohungen spielt.

Von Spot-Tests zur kontinuierlichen Kontrolle

DORA schreibt den Übergang von der bloßen periodischen Identifizierung von Schwachstellen hin zu einer kontinuierlichen Überwachung vor. Unternehmen müssen Schwachstellen zeitnah identifizieren und beheben, proaktiv handeln, um die Verfügbarkeit, Integrität und Vertraulichkeit von Daten zu schützen und eine dauerhafte Robustheit der IKT-Systeme zu gewährleisten, die kritische oder wichtige Funktionen (CIF) unterstützen.

Automatisierung von Discovery, Scans, Enrichment und Priorisierung

• Automatisierte Scans: Die Delegierte Verordnung 2024/1774 verlangt ausdrücklich die Durchführung automatisierter Scans und Bewertungen für alle IKT-Assets.
• Frequenz für CIF: Assets, die kritische oder wichtige Funktionen unterstützen, erfordern mindestens wöchentliche Scans, wobei die Frequenz bei erhöhtem Bedrohungsaufkommen zu steigern ist.
• Enrichment und Intelligence: Die Verfahren müssen auf zuverlässige und zeitnahe Quellen zurückgreifen, um ein ständiges Bewusstsein für neue Bedrohungen zu gewährleisten.
• Risikobasierte Priorisierung: Die Automatisierung muss eine Klassifizierung der Schwachstellen nach technischem Schweregrad und spezifischem Asset-Risiko ermöglichen, um eine gezielte Behebung (Remediation) zu gewährleisten.

Integration mit CMDB, Ticketing, SIEM und Patching

• Asset Management (CMDB): Die Scans werden auf die Klassifizierung der im Inventar erfassten Assets abgestimmt.
• Patch Management: Die Automatisierung umfasst die Identifizierung und Bewertung verfügbarer Patches.
• Überwachung und Logging (SIEM): Detection-Tools generieren automatisierte Warnmeldungen bei anomalem oder verdächtigem Verhalten, das auf die Ausnutzung von Schwachstellen hindeutet.
• Incident Management: Jede entdeckte Schwachstelle muss registriert und der Lösungszyklus kontinuierlich verfolgt werden.

Automatisierte Nachweise für Audits

Die Automatisierung erleichtert die Erstellung von Compliance-Nachweisen für die Aufsichtsbehörden und ermöglicht die Dokumentation von:

• Der Registrierung jeder Schwachstelle und der Analyse der Grundursache (Root Cause).
• Der Überwachung und Verifizierung der Behebung.
• Der Durchführung von Tests in Umgebungen, die die Produktion replizieren, vor der Bereitstellung der Korrekturen.

Grenzen der Automatisierung: manuelle Validierung und komplexe Szenarien

DORA behält die Rolle des menschlichen Faktors für Aktivitäten bei, die kritische Bewertungen erfordern:

• Root-Cause-Analyse: Das Verständnis für das „Warum“ einer Schwachstelle und die Vermeidung von Rückfällen erfordert eine menschliche Analyse.
• Komplexe Szenarien: Tests wie TLPT oder strenge Resilienzsimulationen erfordern einen „Human-in-the-loop“-Ansatz, um die Relevanz der Ergebnisse sicherzustellen.
• Alternative Minderungsmaßnahmen: Wenn keine Patches verfügbar sind, muss die Entscheidung über kompensierende Kontrollen einer strategischen und risikobasierten Bewertung unterliegen.

FAQ Automatisierung Vulnerability Management DORA

• Macht Automatisierung allein compliant?
• Nein. Es ist ein unverzichtbares Werkzeug (z. B. für wöchentliche Scans), aber Compliance erfordert auch Governance-Frameworks, genehmigte Richtlinien und die Aufsicht durch das Leitungsorgan.
• Wie lässt sich eine Überlastung durch zu viele Funde (Findings) vermeiden?
• Durch eine strikte, risikobasierte Priorisierung, bei der die Anstrengungen auf Assets und Schwachstellen konzentriert werden, die potenziell die größten Auswirkungen auf die operative Resilienz haben.
• Was sollte zuerst automatisiert werden?
• Die Automatisierung von Schwachstellen-Scans auf Assets, die kritische oder wichtige Funktionen unterstützen, wie es die Verordnung ausdrücklich verlangt, um einen mindestens wöchentlichen Rhythmus zu gewährleisten.

Beschleunigen Sie Ihre Resilienz: Fordern Sie noch heute eine Roadmap zur Security/Compliance-Automatisierung an, um Ihr Vulnerability Management an die technischen Anforderungen von DORA anzupassen.