Finanzsektor in Saudi-Arabien: das SAMA Cyber Security Framework und die CMA Cybersecurity Guidelines

Problem in der Praxis

Der häufigste Fehler beginnt mit dem Namen. "SAMA" wird als Sammelbegriff für "saudische Finanzaufsicht" gelesen, und die CMA-Leitlinien bleiben unbemerkt. Wer einen saudischen Vermögensverwalter, Broker oder eine Börseninfrastruktur beliefert, kann aber im Aufsichtskreis der CMA landen und nicht in dem der SAMA. Die beiden Werke sind ähnlich gebaut, unterscheiden sich aber in Einzelheiten, die für einen Dienstleister entscheidend sind, etwa beim Datenstandort in der Cloud.

Der zweite Fehler betrifft Zulieferer. Ein deutscher Dienstleister erhält einen Sicherheitsfragebogen und einen Vertragsentwurf mit Prüfungsrechten, Löschpflichten und Standortvorgaben und hält das für eine Eigenheit des Kunden. Tatsächlich setzt der Kunde damit Pflichten um, die ihm sein Aufseher auferlegt. Wer das nicht erkennt, verhandelt an der falschen Stelle: Was das Framework dem Institut vorschreibt, kann der Kunde nicht wegverhandeln, sondern nur über ein Ausnahmeverfahren bei der Aufsicht abweichen.

Der dritte Fehler entsteht in deutschen Konzernen. Die Konzernzentrale geht davon aus, dass ein konzernweites Informationssicherheitsprogramm, das deutsche und europäische Finanzaufsichtsanforderungen erfüllt, auch die saudische Einheit abdeckt. Das SAMA-Framework enthält aber Vorgaben, die eine Konzernrichtlinie allein nicht erfüllt, etwa zur Besetzung der Leitung der Cybersicherheitsfunktion und zur Zustimmung der SAMA zu wesentlichen Auslagerungen und zur Nutzung hybrider und öffentlicher Cloud-Dienste.

CISO-Einordnung

Das SAMA Cyber Security Framework: Fundstelle und Status. Der im Snapshot vorliegende englische Text stammt aus dem SAMA Rulebook. Dort ist das Framework unter "Cyber Resilience" mit der Nummer 381000091275, dem hijri-Datum 28/8/1438 und dem gregorianischen Datum 24/5/2017 sowie dem Status "In-Force" geführt. Die SAMA ist Eigentümerin des Frameworks, aktualisiert es periodisch und ist allein für seine Auslegung zuständig. Das Framework sieht eine Versionsführung vor, bei der die Vorgängerversion jeweils außer Kraft tritt; welche Version der Rulebook-Text darstellt, weist der Snapshot nicht aus.

Anwendungsbereich laut Rulebook, und eine Abweichung darin. Das Rulebook nennt im Kopf als Anwendungsbereich Bankensektor, Finanzierungssektor, Zahlungssysteme und Zahlungsdienstleister, Kreditauskunfteien und die regulatorische Sandbox. Der Rahmenwerkstext selbst zählt im Abschnitt zur Anwendbarkeit die von der SAMA beaufsichtigten Institute auf: alle in Saudi-Arabien tätigen Banken, Versicherungs- und Rückversicherungsunternehmen, Finanzierungsgesellschaften und Kreditauskunfteien sowie die Finanzmarktinfrastruktur. Die beiden Aufzählungen decken sich nicht: Versicherer stehen nur im Rahmenwerkstext, Zahlungsdienstleister und Sandbox nur im Rulebook-Kopf. Für Banken gelten alle Domänen; für die übrigen Institute nennt der Text einzelne Ausnahmen und Abwandlungen auf Unterdomänenebene. Welche Aufzählung für einen konkreten Institutstyp maßgeblich ist, lässt sich aus dem Snapshot nicht entscheiden.

Zweck und Bauart. Das Framework soll einen gemeinsamen Ansatz für Cybersicherheit in den beaufsichtigten Instituten schaffen, ein angemessenes Reifeniveau der Controls erreichen und die Steuerung von Cyberrisiken sicherstellen. Es stützt sich nach eigener Aussage auf SAMA-Anforderungen und auf Industriestandards wie NIST, ISF, ISO, Basel und PCI. Es ist in vier Hauptdomänen gegliedert: Führung und Governance der Cybersicherheit, Risikomanagement und Compliance, Betrieb und Technologie sowie Cybersicherheit bei Dritten. Jede Domäne hat Unterdomänen, und jede Unterdomäne nennt ein Prinzip, ein Ziel und Control-Erwägungen. Das Framework versteht sich als prinzipien- und damit risikobasiert: Verbindlich sind Prinzipien und Ziele, die Control-Erwägungen geben Richtung. Lässt sich eine Erwägung nicht umsetzen, sieht der Text kompensierende Controls, eine interne Risikoakzeptanz und einen förmlichen Antrag auf Befreiung bei der SAMA vor; bis zur Gewährung bleibt das Framework anwendbar. Ebenso gibt es einen Weg, eine Änderung des Frameworks zu beantragen, wobei die Pflicht zur Einhaltung währenddessen fortbesteht.

Reifegradmodell und erwartetes Mindestniveau. Die Umsetzung unterliegt einer periodischen Selbstbewertung anhand eines Fragebogens, die die SAMA prüft und auditiert, um den Erfüllungsgrad und den Reifegrad festzustellen. Das Modell unterscheidet sechs Stufen von 0 bis 5; die Stufen 3, 4 und 5 setzen voraus, dass alle Kriterien der vorangehenden Stufen erfüllt sind. Das Framework erwartet, dass die Institute mindestens auf Stufe 3 arbeiten, also mit definierten, genehmigten und umgesetzten Controls, dokumentierter Richtlinie, Standards und Verfahren und überwachter Einhaltung. Höhere Stufen fügen die Messung der Wirksamkeit über Risikoindikatoren und die kontinuierliche Verbesserung mit Einbindung ins unternehmensweite Risikomanagement hinzu. Der Abschnitt zur Stufe 4 trägt im Rulebook einen Vermerk über zusätzliche Anforderungen für Banken nach Rundschreiben Nr. 29814/67 vom 15/05/1440 AH, dort als 11/06/2020 angegeben. Den Inhalt dieses Rundschreibens enthält der Snapshot nicht; ob daraus für Banken ein höheres Mindestniveau folgt, ist offen. Hijri- und gregorianische Angabe passen nach eigener Umrechnung nicht zueinander, weil das Jahr 1440 AH in die Jahre 2018 und 2019 fällt; das ist eine Berechnung und keine Quellenaussage.

Governance mit Wirkung auf eine ausländische Konzerneinheit. Die Letztverantwortung für Cybersicherheit liegt beim Board des Instituts und bleibt dort; delegieren kann das Board seine Cybersicherheitszuständigkeiten an einen Cybersicherheitsausschuss oder an einen leitenden Manager einer Kontrollfunktion. Verlangt wird eine von der IT unabhängige Cybersicherheitsfunktion mit getrennten Berichtslinien und Budgets. Für deren Leitung, den CISO, verlangt das Framework eine Vollzeitstelle auf Ebene der Geschäftsleitung, die saudische Staatsangehörigkeit, ausreichende Qualifikation und eine Unbedenklichkeitserklärung der SAMA vor der Bestellung. Das ist der Punkt, an dem ein Konzernmodell mit zentralem Group-CISO und lokalem Ansprechpartner an seine Grenze kommt.

Meldewege bei Vorfällen. Das Institut informiert die IT-Risikoaufsicht der SAMA sofort, wenn ein als mittel oder hoch eingestufter Sicherheitsvorfall eingetreten und erkannt ist, holt vor jeder Medienkommunikation zum Vorfall deren Unbedenklichkeit ein und reicht nach Wiederaufnahme des Betriebs einen förmlichen Vorfallbericht ein. Eine Frist in Stunden nennt der Text nicht.

Drittparteien, Auslagerung, Cloud. Nach seinem Geltungsabschnitt gibt das Framework Richtung für Cybersicherheitsanforderungen an die Institute und ihre Tochtergesellschaften, Beschäftigten, Dritten und Kunden; adressiert und zur Umsetzung verpflichtet sind aber die Institute. Dritte sind im Framework weit gefasst: Informationsdienstleister, Auslagerungs- und Cloud-Anbieter, Hersteller, Lieferanten und auch Behörden. Grundsatz ist, dass beim Dritten dasselbe Schutzniveau sichergestellt wird wie im Institut. Daraus folgen Anforderungen an den Vertrags- und Lieferantenprozess, darunter eine Risikobewertung bei der Beschaffung, Sicherheitsanforderungen in der Ausschreibung, das Recht auf periodische Prüfungen, ein Eskalationsweg bei Vorfällen, Vertraulichkeit und Regelungen zum Vertragsende. Für wesentliche Auslagerungen verlangt das Framework die vorherige Zustimmung der SAMA und verweist auf das SAMA-Rundschreiben zur Auslagerung, im Anhang als "Rules on outsourcing" Nr. 424-BCS-34720 vom 20/7/2008 geführt. Für hybride und öffentliche Cloud-Dienste, nicht für private Clouds, verlangt es eine Cloud-Richtlinie mit vorheriger SAMA-Zustimmung zur Nutzung oder zum Vertragsschluss, grundsätzlich Cloud-Dienste mit Standort in Saudi-Arabien und eine ausdrückliche SAMA-Zustimmung für Dienste außerhalb, dazu Zweckbindung der Daten, logische Trennung, Prüfungsrechte und bei Vertragsende Rückgabe und unwiderrufliche Löschung.

Verhältnis zu früheren Rundschreiben. Das Framework ersetzt nach eigener Aussage alle früheren SAMA-Rundschreiben zur Cybersicherheit; sein Anhang führt zwölf ersetzte Rundschreiben aus den Jahren 2009 bis 2015 auf, darunter die E-Banking-Regeln von 2010 und das Rundschreiben zur Mehrfaktor-Authentisierung von 2009. Daneben verweist es für Zahlungssysteme auf Sicherheitswerke von SARIE und mada und für Kontinuität auf das SAMA-Rahmenwerk zur Geschäftsfortführung, die es nicht ersetzt.

Die CMA Cybersecurity Guidelines. Grundlage ist nach dem Dokument das Kapitalmarktgesetz, Königliches Dekret M/30 vom 02/06/1424 AH. Die Leitlinien erläutern Cybersicherheitscontrols für saudische Kapitalmarktinstitute unter Aufsicht der CMA; sie gelten als "guidelines" für alle Kapitalmarktinstitute, und die CMA kann sie auf jede Stelle unter ihrer Aufsicht anwenden. Zugleich heißt es, die Hauptcontrols seien verpflichtend einzuhalten. Ein vorangestellter Hinweis stellt klar, dass die Leitlinien kein Ersatz für Gesetze und Verordnungen sind, diese im Widerspruchsfall vorgehen und die englische Fassung ein Begleitdokument zur maßgeblichen arabischen Fassung ist. Ein Ausgabedatum enthält der Snapshot nicht. Die Gliederung folgt ebenfalls vier Hauptdomänen: Governance, Risikomanagement mit Überprüfung und Audit, operative Controls sowie Cybersicherheit bei Dritten und Lieferanten; je Unterdomäne gibt es einen Zweck und Hauptcontrols. Die Umsetzung unterliegt einer periodischen Selbstbewertung nach einem Mechanismus, den die CMA festlegt. Auch hier soll die Leitung der Cybersicherheitsabteilung ein qualifizierter saudischer Vollzeitbeschäftigter sein.

CMA: Meldewege und Dritte. Bei Vorfällen sehen die Leitlinien die Abstimmung mit der CMA vor jeder Medienkommunikation, eine sofortige Meldung nach Eintritt oder Erkennung jedes Vorfalls und einen förmlichen Bericht an die CMA nach Wiederaufnahme des Betriebs vor; für den Bericht nennt das Dokument eine E-Mail-Adresse der CMA. Der Adressat der Sofortmeldung ist in der englischen Fassung missverständlich formuliert. Für Dritte gilt derselbe Grundsatz des gleichen Schutzniveaus wie bei der SAMA. Cloud-Dienste sollen nach der englischen Fassung innerhalb des Königreichs genutzt werden; eine Ausnahme mit Zustimmung der Aufsicht nennt der Text, anders als das SAMA-Framework, nicht. Zur Auslagerung enthält der Text eine Beschränkung auf Überwachungsdienste für den Sicherheitsbetrieb durch Anbieter im Königreich, deren Reichweite in der Übersetzung unklar bleibt.

Verhältnis zu den Essential Cybersecurity Controls der National Cybersecurity Authority (NCA). Das SAMA-Framework erwähnt die NCA im Snapshot nicht. Die CMA-Leitlinien beschreiben die ECC als von der NCA erlassene Mindestanforderungen, die nationale Stellen in ihrem Anwendungsbereich verpflichtend umsetzen müssen, und nennen die NCA-Controls als eine der Grundlagen, auf die sie sich stützen. Ob ein beaufsichtigtes Finanzinstitut zugleich in den Anwendungsbereich der ECC fällt und wie sich die Werke im Überschneidungsfall zueinander verhalten, sagt keine der beiden Quellen; das bleibt eine offene Frage, die im Artikel zur NCA dieses Tracks behandelt wird.

Umsetzungsperspektive

1. Aufsichtskreis des Kunden oder der eigenen Einheit klären. Untersteht das Institut der SAMA oder der CMA? Davon hängt ab, welches Werk gilt und welche Cloud- und Auslagerungsvorgaben greifen.
2. Als Dienstleister die Pflichten des Kunden kennen. Risikobewertung, Ausschreibungsanforderungen, Prüfungsrechte, Eskalationsweg und Regelungen zum Vertragsende sind Pflichten des Instituts. Wer sie kennt, kann Fragebögen und Vertragsklauseln einordnen, statt sie als Verhandlungsmasse zu behandeln.
3. Standortfrage früh stellen. Bei SAMA-Kunden braucht ein hybrider oder öffentlicher Cloud-Dienst außerhalb Saudi-Arabiens eine ausdrückliche Zustimmung der SAMA, die das Institut einholt. Private Cloud-Dienste, im Framework als interne Cloud bezeichnet, sind von diesem Abschnitt ausgenommen; ob eine beim Dienstleister betriebene Umgebung darunter fällt, sagt der Text nicht, und eine Zustimmungspflicht wegen wesentlicher Auslagerung bleibt davon unabhängig zu prüfen. Bei CMA-Kunden sieht die englische Fassung für Cloud- und Hosting-Dienste keine Ausnahme vom Standort im Königreich vor. Ein Cloud-Angebot mit Datenhaltung in Deutschland sollte das vor der Ausschreibung klären.
4. Zustimmungsvorbehalte in den Zeitplan aufnehmen. Wesentliche Auslagerungen und die Nutzung hybrider oder öffentlicher Cloud-Dienste setzen bei SAMA-Kunden eine vorherige Zustimmung der SAMA voraus.
5. Als Konzern mit saudischer Einheit die lokale Governance gesondert aufsetzen. Unabhängige Cybersicherheitsfunktion, Ausschuss, CISO mit den im Framework genannten Voraussetzungen und SAMA-Selbstbewertung sind lokal zu erfüllen, parallel zu den Anforderungen der deutschen und europäischen Aufsicht.
6. Meldeweg in den Vorfallprozess der Gruppe einbauen. Sofortmeldung an die saudische Aufsicht, Abstimmung vor Medienkontakt und Abschlussbericht gehören in das lokale Playbook, auch wenn ein Dienstleister den Vorfall zuerst sieht.

Typische Fehler

1. SAMA und CMA werden gleichgesetzt, und ein Kapitalmarktkunde wird nach SAMA-Maßstab bedient.
2. Ein deutscher Dienstleister hält sich selbst für Adressaten des Frameworks, statt die Pflichten seines Kunden zu verstehen, die über den Vertrag zu ihm kommen.
3. Ein Cloud-Dienst mit Datenhaltung außerhalb Saudi-Arabiens wird angeboten, ohne den Zustimmungsvorbehalt der SAMA für hybride und öffentliche Cloud-Dienste oder die Standortvorgabe der CMA einzuplanen.
4. Der Group-CISO wird als CISO der saudischen Einheit geführt, ohne die Anforderungen des Frameworks an diese Rolle zu prüfen.
5. Das Mindestniveau Stufe 3 wird als Zertifikat verstanden; tatsächlich ist es Gegenstand von Selbstbewertung und Prüfung durch die SAMA.
6. Die CMA-Leitlinien werden wegen ihres Namens als unverbindlich abgetan, obwohl sie ihre Hauptcontrols verpflichtend nennen.
7. Eine Zuordnung zu DORA, MaRisk oder ISO 27001 wird als Nachweis der saudischen Anforderungen verwendet.

Risiken und Trade-offs

Für Dienstleister liegt der Zielkonflikt zwischen Standardisierung und Marktzugang. Ein einheitliches Cloud-Angebot aus Rechenzentren in Deutschland ist günstig, trifft aber auf Standortvorgaben: bei SAMA-Kunden für hybride und öffentliche Cloud-Dienste, die außerhalb Saudi-Arabiens nur mit ausdrücklicher Zustimmung der Aufsicht genutzt werden, und bei CMA-Kunden für Cloud- und Hosting-Dienste, für die die englische Fassung keine Ausnahme vom Standort im Königreich nennt. Ein lokaler Betrieb kostet mehr und öffnet den Markt. Diese Abwägung gehört vor die Angebotsabgabe.

Für Banken mit saudischer Einheit liegt der Konflikt zwischen Konzernsteuerung und lokaler Unabhängigkeit. Das Framework verlangt eine eigenständige, von der IT getrennte Cybersicherheitsfunktion, deren Leitung die im Framework genannten Voraussetzungen erfüllt; eine eng geführte Konzernfunktion kann damit kollidieren. Wer die Governance zentral halten will, braucht ein Modell, das beides trägt, und sollte im Zweifel die Auslegung der SAMA suchen, die dafür allein zuständig ist.

Ein drittes Risiko liegt in der Quellenlage. Der Rulebook-Text, Lücken wie das fehlende CMA-Datum und Übersetzungsunschärfen bedeuten, dass jede belastbare Aussage am maßgeblichen Original zu prüfen ist. Wer sich auf eine Übersetzung verlässt, trägt dieses Risiko selbst.

Entscheidungspunkte

• Welcher saudischen Aufsicht untersteht der Kunde oder die eigene Einheit, und wer bestätigt das?
• Bieten wir saudischen Finanzkunden Cloud-Dienste mit Datenhaltung im Königreich an, oder bei hybriden oder öffentlichen Cloud-Diensten außerhalb nur für SAMA-Kunden mit deren ausdrücklicher Zustimmung der SAMA (interne Private Clouds sind von SAMA-Abschnitt 3.4.3 ausgenommen, eine Zustimmungspflicht wegen wesentlicher Auslagerung ist gesondert zu prüfen) und für CMA-Kunden nach der englischen Fassung gar nicht?
• Wie besetzen wir die CISO-Rolle einer saudischen Einheit, und wie ordnen wir sie in die Konzern-Governance ein?
• Wer pflegt den lokalen Meldeweg an SAMA oder CMA und stimmt Medienkommunikation mit der Aufsicht ab?
• Wann holen wir die maßgebliche arabische Fassung und rechtliche Beratung vor Ort ein?

Praktische Empfehlungen

• Den Aufsichtskreis jedes saudischen Finanzkunden in der Kundenakte führen: SAMA, CMA oder unklar.
• Vertragsklauseln saudischer Finanzkunden zu Prüfungsrechten, Standort, Trennung und Löschung als aufsichtlich veranlasst behandeln und früh im Betriebsmodell abbilden.
• Für SAMA-Kunden klären, ob eine Auslagerung wesentlich ist, ob ein Cloud-Dienst hybrid oder öffentlich ist, und wann die jeweils erforderliche Zustimmung der SAMA vorliegt.
• In einer saudischen Konzerneinheit die Selbstbewertung nach SAMA-Fragebogen als eigenen Jahresprozess führen.
• Keine Zuordnungstabelle zu europäischen Werken als Nachweis verwenden; Belege je saudischer Anforderung führen.
• Datum, Fassung und Status der CMA-Leitlinien vor jeder Zusage am Original prüfen.

Relevante Normreferenzen

• SAMA Cyber Security Framework, Rundschreiben Nr. 381000091275 vom 28/8/1438 AH (24.05.2017), Status im SAMA Rulebook "In-Force"; Einführung mit Anwendbarkeit, Zuständigkeit und Auslegung; Kapitel 2 zu Aufbau, Prinzipienbasierung, Selbstbewertung und Reifegradmodell; Domäne 3.4 zur Cybersicherheit bei Dritten; Anhang A zu ersetzten und weiter geltenden Rundschreiben; Anhang D zum Befreiungsverfahren.
• SAMA Rules on outsourcing, Nr. 424-BCS-34720 vom 20/7/2008, laut Anhang A des Frameworks; Inhalt nicht Gegenstand dieses Artikels.
• SAMA-Rundschreiben Nr. 29814/67 vom 15/05/1440 AH, im Rulebook beim Reifegrad 4 vermerkt; Inhalt nicht im Snapshot.
• CMA Cybersecurity Guidelines for Capital Market Institutions, gestützt auf das Kapitalmarktgesetz, Königliches Dekret M/30 vom 02/06/1424 AH; Abschnitte zu Zweck, Anwendbarkeit, Aufbau, Selbstbewertung, Vorfallmanagement und Dritten.
• Abgrenzung: DORA im Track dora und MaRisk im Track marisk dieses Korpus; ISO/IEC 27001 im Track core-iso27001 nur als Verweis; die NCA ECC in saudi-arabien-002, Cloud-Controls der NCA und die Regeln der Communications, Space and Technology Commission (CST) in saudi-arabien-003; Datenschutz nach der PDPL in saudi-arabien-004 bis 006. NIS-2 und KRITIS sind europäische und deutsche Betreiberpflichten und werden hier nicht gleichgesetzt.