FMA unterzieht Finanzdienstleister einem Blackout-Stresstest

„Die aktuellen Entwicklungen – etwa die Folgen des Überfalls Russlands auf die Ukraine, die Zunahme von Cyber-Attacken oder die Turbulenzen auf den Gas- und Erdölmärkten – zeigen dramatisch, wie verletzlich und verwundbar unser Energieversorgungssystem ist“, so der Vorstand der FMA, Helmut Ettl und Eduard Müller: „In der komplexen, global vernetzten digitalen Welt kann ein Energieversorgungs- und insbesondere Stromausfall die Infrastruktur sowie Haushalte und Betriebe für längere Zeit lahmlegen und vor große Herausforderungen stellen; so auch die Finanzmärkte und ihre Dienstleister. Dementsprechend wichtig ist es, dass sich auch die Anbieter auf diesen Märkten auf ein derartiges Risikoszenario vorbereiten. Mit unserem neuen Aufsichtsinstrument „Blackout Maturity Level Assessment“ sensibilisieren wir die Marktteilnehmer für diese Risiken, schaffen Bewusstsein und treiben die rechtzeitige Vorbereitung auf diese Risiken druckvoll voran.“

Blackout Maturity Level Assessment – ein neues Aufsichtsinstrument

Das Blackout-Risiko-Assessment der FMA beurteilt den Reifegrad der Maßnahmen in drei Phasen: der Vorbereitung auf einen möglichen Blackout, die Bewältigung und Reaktion bei einem Blackout sowie das Wiederanlaufen und die Wiederherstellung des Betriebes nach einem Blackout. Die österreichischen Pensionskassen haben dabei im Assessment über alle drei Phasen hinweg im Großen und Ganzen gut abgeschnitten: 50% erfüllten dabei die Kriterien der höchsten Reifegradstufe, 38% jene der mittleren und lediglich 13% war als niedrig einzustufen. Die besten Ergebnisse brachten dabei die allgemeinen Vorbereitungen auf einen möglichen Blackout sowie die vorgesehenen Maßnahmen im Falle des Blackouts. Die größten Verbesserungspotenziale wurden für die Phase des Wiederanlaufens und der Wiederherstellung des Normalbetriebes identifiziert.

Für die Phase der „Vorbereitung“ auf einen Blackout wurden die Vorbereitungsmaßnahmen zur Sicherstellung der Fortführung der Informations- und Kommunikationsinfrastruktur (IKT-Business-Continuity-Policy), die Berücksichtigung in den Notfallplänen, Zusammensetzung und Organisation des Notfallstabes, Risikoanalysen und „Business-Impact“-Analysen, Einbindung externen Know-hows sowie regelmäßige Tests der Notfallpläne analysiert. Für die Phase der „Bewältigung & Reaktion“ wurden die Kriterien der Auslösung der Notfallpläne, die Zugänglichkeit der Notfallpläne, der Schutz der IKT-Infrastruktur und der Informationssicherheit, die Absicherung der Betriebsgebäude, die Dienstanweisungen und Schulungen der Mitarbeiter sowie die Notstromversorgung bewertet. Die Phase „Wiederanlaufen & Wiederherstellung“ fokussierte auf den Notbetrieb bis zur Rückkehr zu einer stabilen Funktionsweise sowie das Wiederanlaufen des Normalbetriebes.