Mit dem Cyber Resilience Act (CRA) gelten erstmals EU-weit unmittelbare Cybersecurity-Anforderungen für Produkte mit digitalen Elementen. Adressaten der Verordnung sind Hersteller, Importeure und Händler. Für Finanzunternehmen entsteht daraus ein Prüffeld, das in den etablierten Prüfungsplänen bislang meist nicht abgebildet ist: Eigenentwickelte Software, digitale Produkte für Kundinnen und Kunden sowie beschaffte Hard- und Software können in den Anwendungsbereich fallen – mit Folgen für Konformitäts-, Dokumentations- und Meldepflichten.
Für die Interne Revision stellen sich damit drei Fragen: Ist die Betroffenheitsanalyse des Instituts vollständig und nachvollziehbar dokumentiert? Sind Rollen, Verantwortlichkeiten und Nachweisstrukturen für die CRA-Pflichten wirksam eingerichtet? Und wie grenzen sich die CRA-Anforderungen von den bereits geprüften Regelwerken DORA und NIS2 ab, insbesondere bei Meldepflichten, Schwachstellenmanagement und IKT-Drittparteienmanagement – wo bestehen Überschneidungen, wo Lücken?
Das Seminar erschließt den CRA als Prüfungsgegenstand. Die Teilnehmenden lernen, das Prüffeld gegenüber bestehenden Prüfungen abzugrenzen, prüfungsrelevante Risiken und Schlüsselkontrollen zu identifizieren und daraus risikoorientierte Prüfungsansätze für Produkte, Softwareentwicklung und Lieferantenmanagement abzuleiten.
