FIDA Incident Response

FIDA Incident Response umfasst verschiedene Vorfallkategorien: API-Ausfälle und Performance-Degradation, die den Datenzugang beeinträchtigen, unberechtigte Datenzugriffe durch kompromittierte Credentials oder Systemfehler, Consent-Verstöße bei denen Daten ohne gültige Einwilligung weitergegeben werden, Datenschutzverletzungen im Sinne der DSGVO mit FIDA-Bezug sowie Verstöße gegen FIDA-Scheme-Vereinbarungen.

Die konkreten Meldefristen werden durch die FIDA Verordnung und die jeweiligen FIDA Schemes definiert. Orientierungspunkt sind die DSGVO-Meldepflicht von 72 Stunden bei Datenschutzverletzungen und die DORA-Vorgaben für ICT-bezogene Vorfälle. FIDA wird voraussichtlich eigene Meldefristen für datenzugangsspezifische Vorfälle einführen. ADVISORI unterstützt bei der Einrichtung automatisierter Meldesysteme.

Der Aufbau umfasst vier Schritte: Erstens die Definition von Incident-Kategorien und Eskalationsstufen spezifisch für FIDA-Vorfälle. Zweitens die Implementierung von Monitoring- und Erkennungssystemen für API-Anomalien, Consent-Verstöße und Datenzugriffsmuster. Drittens die Erstellung von Runbooks mit klaren Handlungsanweisungen für jede Vorfallkategorie. Viertens die Schulung der beteiligten Teams und regelmäßige Übungen.

Bei einem akuten Vorfall folgt ADVISORI einem strukturierten Prozess: Sofortige Eindämmung durch Isolation betroffener API-Endpunkte oder Sperrung kompromittierter Zugänge. Parallele Bewertung des Schadensausmaßes und der betroffenen Daten. Regulatorische Meldung an Aufsichtsbehörden innerhalb der vorgeschriebenen Fristen. Kommunikation an betroffene Kunden und Geschäftspartner. Anschließend systematische Ursachenanalyse und Implementierung von Gegenmaßnahmen.

Proaktives Monitoring ist der Kern einer wirksamen FIDA Incident Response. Überwacht werden API-Verfügbarkeit und Antwortzeiten, ungewöhnliche Datenzugriffsmuster und Volumenanomalien, Consent-Status-Änderungen und abgelaufene Einwilligungen, Sicherheitsereignisse wie fehlgeschlagene Authentifizierungsversuche sowie Compliance-Metriken wie SLA-Einhaltung und Datenqualität.

DORA (Digital Operational Resilience Act) definiert allgemeine Anforderungen an die digitale Betriebsstabilität von Finanzinstituten, einschließlich ICT-Incident-Management. FIDA ergänzt diese um datenzugangsspezifische Anforderungen. Ein integrierter Ansatz vermeidet Doppelarbeit: Die DORA-Incident-Response-Prozesse bilden die Basis, FIDA-spezifische Aspekte wie Consent-Verstöße und API-Datenzugangsvorfälle werden als Erweiterung integriert.

Die Post-Incident-Analyse umfasst die vollständige Rekonstruktion des Vorfallhergangs, die Identifikation der Ursachen und begünstigenden Faktoren, die Bewertung der Wirksamkeit der Reaktionsmaßnahmen, die Ableitung konkreter Verbesserungsmaßnahmen für Technik, Prozesse und Schulungen, die Dokumentation für Aufsichtsbehörden und interne Governance sowie die Aktualisierung der Runbooks und Monitoring-Regeln.