APRA CPS 230 Compliance Guide mit Checkliste

APRA CPS 230 verlangt von APRA-regulierten Institutionen, das Betriebsrisiko zu verwalten, Drittanbieter zu kontrollieren, Auswirkungstoleranz zu definieren, die Geschäftskontinuität zu testen und die Widerstandsfähigkeit kritischer Dienste aufrechtzuerhalten. Sie müssen die Einhaltung vor Ablauf der CPS 230-Frist dokumentieren, überwachen, testen und nachweisen, um regulatorische Probleme zu vermeiden.

Wenn Sie unter die APRA-Verordnung fallen, ändert CPS 230 die Art und Weise, wie Sie Betriebsrisiken, Outsourcing und Geschäftskontinuität verwalten. Sie können sich nicht mehr auf allgemeine Richtlinien oder veraltete Frameworks verlassen. Sie müssen nachweisen, dass Ihr Unternehmen auch bei Störungen, Anbieterausfällen usw. weiterhin wichtige Dienste bereitstellen kann Cyber-Vorfälleoder Systemausfälle.Viele Institutionen unterschätzen den Arbeitsaufwand, den CPS 230 erfordert. Der Standard ersetzt CPS 231 und CPS 232, führt aber auch strengere Regeln für betriebliche Belastbarkeit, Auswirkungstoleranz, Risiken Dritter und Rechenschaftspflicht des Vorstands ein. Sie müssen jeden kritischen Vorgang abbilden, messbare Grenzwerte definieren, Dienstanbieter überwachen und Wiederherstellungsszenarien regelmäßig testen.

Sie bereiten keine Dokumente für Wirtschaftsprüfer vor. Sie bauen ein System auf, das bei realen Vorfällen funktionieren muss.

In diesem Leitfaden wird CPS 230 ausführlich erläutert, einschließlich Anforderungen, Fristen, einer Checkliste, Beispielen, Implementierungsschritten und Auditvorbereitung. Wenn Sie diesem Leitfaden folgen, können Sie ein Compliance-Programm aufbauen, das der APRA-Prüfung standhält und das Betriebsrisiko in Ihrem gesamten Unternehmen reduziert.

Nutzen Sie unser

Rechner für CybersicherheitsrisikenWas ist APRA CPS 230?

Quelle: Australian Prudential Regulation Authority (APRA), CPS 230 Operational Risk Management Standard

Der Standard konzentriert sich auf Betriebsrisiken, Outsourcing und Geschäftskontinuität als ein kombiniertes Rahmenwerk.

APRA führte CPS 230 ein, nachdem mehrere Vorfälle gezeigt hatten, dass Finanzinstitute häufig eher aufgrund betrieblicher Probleme als aufgrund finanzieller Schwäche scheitern.

WolkeAusfälle, Ausfälle von Anbietern, Cybervorfälle und eine schlechte Wiederherstellungsplanung führten zu schwerwiegenden Störungen in der gesamten Branche.Gemäß CPS 230 müssen Sie genau verstehen, wie Ihre Organisation funktioniert und wo Ausfälle Schaden anrichten könnten.

Lesen Sie mehr unter:

Was ist ein Netzwerksicherheitsschlüssel?Hauptziele von CPS 230

Schützen Sie Kunden vor Serviceunterbrechungen

• Systemisches Risiko im Finanzsektor reduzieren
• Stärkung des operativen Risikomanagements
• Outsourcing-Kontrollen verbessern
• Sorgen Sie für eine starke Geschäftskontinuität
• Erhöhen Sie die Verantwortung des Vorstands
• Erfordern messbare Toleranzgrenzen
• Sie müssen den Nachweis erbringen, dass Ihre Organisation innerhalb definierter Grenzen weiterarbeiten kann.

Was CPS 230 abdeckt

Fläche

Im Lieferumfang enthalten	Operationelles Risiko
Ja	Outsourcing
Ja	Drittrisiko
Ja	Geschäftskontinuität
Ja	Notfallwiederherstellung
Ja	Schlagtoleranz
Ja	Vorstandsführung
Ja	Lieferantenregister
Ja	Dadurch ist CPS 230 umfassender als frühere Standards.

Lesen Sie mehr über

Wie kann generative KI in der Cybersicherheit eingesetzt werdenWarum ist CPS 230 strenger als die alten Regeln?

Ältere Standards erlaubten Richtlinien auf hoher Ebene. CPS 230 erfordert einen Nachweis.

Sie müssen Folgendes anzeigen:

dokumentierte kritische Vorgänge

• definierte Toleranzgrenzen
• getestete Wiederherstellungspläne
• zugelassene Dienstleister
• aktive Überwachung
• Vorstandsberichterstattung
• Prüfungsnachweise
• Wenn Sie keine Beweise vorlegen können, betrachtet APRA Sie als nicht konform.

Wenn Sie Ihre Sicherheitseinstellungen verbessern möchten, lesen Sie unseren Leitfaden unter

Cybersicherheit für Anwaltskanzleienum die besten Schutzstrategien für Juristen zu finden. to see the best protection strategies for legal professionals.

Schauen Sie sich unseren neuesten Blog aufan So beheben Sie einen Fehler bei der Kernel-Sicherheitsprüfung und suchen nach Malware

Warum CPS 230 eingeführt wurde

APRA führte CPS 230 ein, weil Betriebsausfälle zu einem der größten Risiken im Finanzsektor wurden. Viele Institute verfügten über eine starke Kapitalausstattung, erlebten jedoch aufgrund schwacher Betriebskontrollen dennoch Ausfälle, Auswirkungen auf die Kunden und Verstöße gegen Vorschriften.

Die meisten Ausfälle wurden durch eine schlechte Aufsicht des Anbieters, unklare Verantwortlichkeiten oder ungetestete Wiederherstellungspläne verursacht. Institutionen gingen oft davon aus, dass ihre Systeme während einer Krise funktionieren würden, ohne dies durch Tests nachzuweisen.

CPS 230 zwingt Sie, von der Annahme zur Überprüfung überzugehen.

Häufige Probleme, die vor CPS 230 aufgetreten sind

• Kritische Dienste nicht dokumentiert
• Anbieter nicht überwacht
• In den Verträgen fehlen Risikoklauseln
• Wiederherstellungspläne nicht getestet
• unklare Verantwortlichkeit
• langsame Reaktion auf Vorfälle
• Schwache Aufsicht durch den Vorstand

Diese Schwächen stellten ein ernstes Risiko für Kunden und das Finanzsystem dar.

APRA-Ziele mit CPS 230

Ziel	Erklärung
Resilienz verbessern	Anbieter müssen die gleichen Standards erfüllen
Stärkung der Outsourcing-Kontrolle	Der Vorstand muss das Risiko verstehen
Verantwortlichkeit erhöhen	Der Vorstand muss das Risiko verstehen
Tests erforderlich	Pläne müssen in der Praxis funktionieren
Toleranz definieren	Grenzen müssen messbar sein
Systemisches Risiko reduzieren	Fehler dürfen sich nicht ausbreiten

Sie müssen das operationelle Risiko jetzt genauso ernst nehmen wie das Kreditrisiko oder das Liquiditätsrisiko.

Wie CPS 230 Ihre Verantwortlichkeiten verändert

Vor CPS 230:

• politikorientiert
• begrenzte Tests
• Outsourcing getrennt
• Kontinuität getrennt

Nach CPS 230:

• integriertes Framework
• messbare Grenzen
• Lieferantenkontrolle erforderlich
• Testpflicht
• Vorstand verantwortlich

Diese Änderung betrifft gleichzeitig Risiko, IT, Compliance, Beschaffung, Recht und Geschäftsleitung.

Wenn Sie spät beginnen, wird die Implementierung schwierig, da Sie Verträge, Systeme, Prozesse und Governance gemeinsam überprüfen müssen.

Wer muss CPS 230 einhalten?

CPS 230 gilt für alle APRA-regulierten Unternehmen. Wenn APRA Ihre Organisation beaufsichtigt, müssen Sie diese einhalten, auch wenn Ihre Tätigkeiten klein sind oder ausgelagert sind.

Viele Unternehmen gehen davon aus, dass die Regelung nur für Banken gilt. Das ist falsch.

Der Standard gilt für alle von der APRA regulierten Unternehmen, einschließlich Versicherer und Rentenverwalter.

Zur Einhaltung verpflichtete Unternehmen

Entitätstyp	Muss
einhalten Zugelassene Einlageninstitute	Ja
Banken	Ja
Kreditgenossenschaften	Ja
Bausparkassen	Ja
Allgemeine Versicherer	Ja
Lebensversicherer	Ja
Private Krankenversicherer	Ja
Rententreuhänder	Ja
APRA-regulierte Gruppen	Ja

Wenn Ihre kritischen Dienste eine APRA-Einheit unterstützen, sind Sie möglicherweise auch von den Anforderungen des Anbieters betroffen.

Konzerne und Tochtergesellschaften

Wenn Sie in einer Gruppenstruktur tätig sind, gilt CPS 230 möglicherweise auf Gruppenebene und Unternehmensebene.

Sie müssen Folgendes sicherstellen:

• konsistenter Risikorahmen
• Shared-Service-Aufsicht
• Sichtbarkeit des Anbieters
• Gruppenberichterstattung

Viele Organisationen scheitern hier, weil Shared Services nicht klar gesteuert werden.

Auch Drittanbieter waren betroffen

Auch wenn Sie nicht reguliert sind, müssen Sie möglicherweise die CPS 230-Anforderungen erfüllen, wenn Sie Dienstleistungen für ein reguliertes Unternehmen erbringen.

Beispiele:

• Cloud-Anbieter
• Softwareanbieter
• Zahlungsabwickler
• IT-Unterstützung
• Rechenzentrum
• Outsourcing-Partner

Kunden benötigen möglicherweise Folgendes:

• Sicherheitskontrollen
• Vorfallmeldung
• Prüfungsrechte
• Resilienztests
• Vertragsaktualisierungen

Daher ist CPS 230 auch für Anbieter wichtig.

Sie müssen die CPS 230-Anforderungen vor dem offiziellen Startdatum erfüllen, nicht danach. Viele Organisationen missverstehen dies und gehen davon aus, dass sie mit der Implementierung beginnen können, sobald der Standard in Kraft tritt. APRA erwartet von Ihnen, dass Sie bis zum Datum des Inkrafttretens die Vorschriften vollständig einhalten, einschließlich Dokumentation, Tests, Lieferantenprüfung und Genehmigung durch den Vorstand.

Die Frist ist streng und eine verspätete Vorbereitung birgt ein erhebliches Prüfungsrisiko.

Datum des Inkrafttretens von CPS 230

Artikel	Datum
CPS 230 veröffentlicht	2023
Vorbereitungszeit	2023–2025
Datum des Inkrafttretens	1. Juli 2025
Vollständige Einhaltung erwartet	1. Juli 2025

Sie müssen vor Ablauf der Frist bereit sein und dürfen nicht darauf hinarbeiten.

Was vollständige Compliance bedeutet

APRA erwartet mehr als nur aktualisierte Richtlinien. Sie müssen den Nachweis erbringen, dass das Framework funktioniert.

Sie sollten Folgendes abgeschlossen haben:

• kritische Vorgänge identifiziert
• Schlagtoleranz definiert
• Lieferantenregister erstellt
• Verträge überprüft
• Rahmenwerk für operationelle Risiken genehmigt
• Geschäftskontinuität getestet
• Berichterstattung des Vorstands vorhanden
• Vorfallprozess funktioniert

Wenn diese unvollständig sind, sind Sie nicht konform.

Warum dauert die Implementierung länger als erwartet

CPS 230 betrifft mehrere Abteilungen gleichzeitig.

Betroffenes Gebiet	Warum dauert es Zeit
Risiko	Framework-Updates
IT	Systemzuordnung
Beschaffung	Lieferantenverträge
Rechtlich	Vertragsklauseln
Compliance	Dokumentation
Operationen	Kritische Dienstzuordnung
Vorstand	Genehmigungsprozess

Die meisten Verzögerungen treten bei der Lieferantenüberprüfung und der Zuordnung kritischer Services auf.

Empfohlener Vorbereitungszeitplan

Phase	Aufgabe
Phase 1	Lückenbewertung
Phase 2	Identifizieren Sie kritische Vorgänge
Phase 3	Toleranz definieren
Phase 4	Überprüfen Sie Anbieter
Phase 5	Framework aktualisieren
Phase 6	Kontinuität prüfen
Phase 7	Genehmigung des Vorstands
Phase 8	Auditvorbereitung

Sie sollten früh damit beginnen, denn allein Vertragsaktualisierungen können Monate dauern.

Kritische Betriebsanforderungen im Detail erklärt

Einer der wichtigsten Teile von CPS 230 ist die Identifizierung kritischer Vorgänge. Sie müssen wissen, welche Dienste für Ihr Unternehmen wichtig sind und was passiert, wenn sie nicht mehr funktionieren.

Ein kritischer Vorgang ist jede Aktivität, die bei Störung zu ernsthaften Schäden führen könnte.

Zu den Schäden können gehören:

• Kundenwirkung
• finanzieller Verlust
• Verstoß gegen Vorschriften
• Marktstörung
• Reputationsschaden
• Unfähigkeit zu operieren

Sie müssen alle kritischen Vorgänge dokumentieren und die Liste auf dem neuesten Stand halten.

Beispiele für kritische Operationen

Betrieb	Warum kritisch
Kernbankensystem	Kunden können nicht auf Geld zugreifen
Zahlungsabwicklung	Transaktionen werden gestoppt
Anspruchssystem	Kunden nicht bezahlt
Handelsplattform	Marktrisiko
Kundenportal	Dienst nicht verfügbar
Identitätssystem	Benutzer können nicht überprüft werden
Datenspeicherung	Verlust von Aufzeichnungen
Cloud-Hosting	Systemausfall

Sie können Ihre Entscheidung nicht nur auf der Grundlage der IT-Wichtigkeit treffen. Sie müssen die geschäftlichen Auswirkungen berücksichtigen.

Erforderliche Informationen für jeden kritischen Vorgang

Feld	Beschreibung
Name	Operationsname
Eigentümer	Verantwortlicher Manager
System	Verwendete Technologie
Anbieter	Beteiligter Dritter
Auswirkungen	Was passiert, wenn
fehlschlägt? Toleranz	Zulässige Ausfallzeit
Erholungszeit	Ziel
Datenverlustgrenze	Zulässiger Verlust

APRA geht davon aus, dass diese Informationen korrekt sind.

So identifizieren Sie kritische Vorgänge

Sie sollten fragen:

• Würden Kunden geschädigt?
• Wäre APRA besorgt?
• Würde ein finanzieller Verlust eintreten?
• Würden wir den Betrieb einstellen?
• Würde der Ruf geschädigt?

Wenn die Antwort „Ja“ lautet, ist dies kritisch.

Häufige Fehler

• nur Auflistung von IT-Systemen
• Ignorieren von Anbietern
• fehlende gemeinsame Dienste
• Kein Besitzer zugewiesen
• Keine Toleranz definiert

Diese Fehler führen zu Prüfungsfeststellungen.

Erläuterung der Anforderungen an die Stoßtoleranz

CPS 230 erfordert, dass Sie für jeden kritischen Vorgang eine Aufpralltoleranz definieren. Das bedeutet, dass Sie entscheiden müssen, wie viel Störung Sie zulassen können, bevor ein ernsthafter Schaden entsteht.

Sie müssen messbare Grenzen verwenden. Allgemeine Aussagen reichen nicht aus.

Die Impact-Toleranz zeigt APRA, wie widerstandsfähig Ihr Unternehmen ist.

Welche Toleranz muss

• umfassen maximale Ausfallzeit
• maximaler Datenverlust
• maximale Kundenwirkung
• maximale finanzielle Auswirkung
• Erholungszeitziel
• Wiederherstellungspunktziel

Diese Grenzwerte müssen realistisch sein und von der Geschäftsleitung genehmigt werden.

Beispiel einer Schlagtoleranztabelle

Betrieb	Maximale Ausfallzeit	Maximaler Datenverlust	Betroffene Kunden	Risiko
Zahlungen	2 Stunden	5 Minuten	Hoch	Hoch
Online-Banking	4 Stunden	15 Minuten	Hoch	Hoch
Ansprüche	8 Stunden	30 Minuten	Mittel	Mittel
HR-System	24 Stunden	1 Stunde	Niedrig	Niedrig

Sie müssen jede Grenze begründen.

So definieren Sie die Toleranz richtig

Sie sollten Folgendes berücksichtigen:

• Kundenwirkung
• rechtliche Verpflichtungen
• finanzieller Verlust
• betriebliche Abhängigkeit
• Herstellerabhängigkeit
• Wiederherstellungsfähigkeit

Die Toleranz muss der tatsächlichen Wiederherstellungsfähigkeit entsprechen.

Genehmigungspflicht

Die Toleranz muss genehmigt werden von:

• leitendes Management
• Risikofunktion
• Vorstand oder Ausschuss

Ohne Governance kann man keine Grenzen definieren.

Überprüfungspflicht

Sie müssen die Verträglichkeit regelmäßig überprüfen.

Auslöser für die Überprüfung:

• Systemwechsel
• Anbieterwechsel
• Vorfall
• Prüfungsfeststellung
• Geschäftsveränderung

Veraltete Toleranzen sind ein Compliance-Problem.

Erklärte Anforderungen an das Rahmenwerk für operationelle Risiken

CPS 230 erfordert ein formelles Rahmenwerk für das operative Risikomanagement, das die gesamte Organisation abdeckt. Sie müssen zeigen, wie Risiken identifiziert, kontrolliert, überwacht und gemeldet werden.

Der Rahmen muss in der Praxis vorhanden sein, nicht nur auf dem Papier.

Was das Framework beinhalten muss

Komponente	Erforderlich
Richtlinie	Ja
Verfahren	Ja
Risikoregister	Ja
Steuerelemente	Ja
Vorfallmanagement	Ja
Überwachung	Ja
Berichterstattung	Ja
Rezension	Ja
Prüfung	Ja

Sie müssen auch zeigen, wer verantwortlich ist.

Beispiel-Framework-Struktur

Abschnitt	Inhalt
Richtlinie	Regeln
Standard	Anforderungen
Vorgehensweise	Schritte
Kontrolle	Prävention
Überwachung	Schecks
Berichterstattung	Management
Rezension	Verbesserung

APRA erwartet Konsistenz in der gesamten Organisation.

Anforderungen an das Vorfallmanagement

Sie müssen betriebliche Vorkommnisse protokollieren.

Beispiele:

• Systemausfall
• Anbieterausfall
• Cyberangriff
• Datenverlust
• Verarbeitungsfehler

Vorfallaufzeichnungen müssen Folgendes enthalten:

• Datum
• Auswirkung
• Ursache
• ergriffene Maßnahme
• Fix implementiert

Werden Vorfälle nicht erfasst, geht APRA von einer schwachen Kontrolle aus.

Überwachungspflicht

Sie müssen die Kontrollen regelmäßig überwachen.

Beispiele:

• Systemverfügbarkeit
• Anbieterleistung
• Vorfallhäufigkeit
• Erholungszeit
• Kontrollfehler

Die Überwachung muss dem Management gemeldet werden.

Vorstandsberichterstattung

Der Vorstand muss Berichte über operationelle Risiken erhalten.

Berichte sollten Folgendes enthalten:

• Vorfälle
• Lieferantenrisiko
• Toleranzverletzungen
• Testergebnisse
• Prüfungsfeststellungen

Die Aufsicht durch den Vorstand ist gemäß CPS 230 obligatorisch.

CPS 230 stellt sehr strenge Anforderungen an das Drittpartei- und Outsourcing-Risiko. Sie müssen Dienstleister so verwalten, als wären sie Teil Ihrer eigenen Organisation. Wenn ein Anbieter ausfällt und Ihr kritischer Dienst eingestellt wird, betrachtet APRA dies als Ihr Versagen und nicht als das des Anbieters.

Viele Institutionen unterschätzen diesen Abschnitt, aber die meisten CPS 230-Reparaturarbeiten finden hier statt, weil Verträge, Lieferantenregister und Überwachungsprozesse oft unvollständig sind.

Ein Drittanbieter ist jeder externe Anbieter, der Ihren Betrieb unterstützt.

Beispiele sind:

• Cloud-Anbieter
• IT-Anbieter
• Softwarelieferanten
• Zahlungsabwickler
• verwaltete Dienste
• Berater
• Offshore-Teams
• Rechenzentren
• Gemeinsame Gruppendienste

Wenn der Dienst einen kritischen Vorgang unterstützt, ist die Risikostufe höher.

Was CPS 230 von Anbietern verlangt

Anforderung	Beschreibung
Due Diligence	Vor dem Onboarding
Schriftlicher Vertrag	Mit Risikoklauseln
Leistungsüberwachung	Laufend
Vorfallmeldung	Erforderlich
Ausstiegsplan	Muss vorhanden sein
Sichtbarkeit der Subunternehmer	Muss wissen
Risikobewertung	Erforderlich
Registrieren	Muss

beibehalten Sie müssen APRA nachweisen können, dass jeder kritische Anbieter kontrolliert wird.

Due Diligence vor dem Onboarding

Bevor Sie einen Anbieter beauftragen, müssen Sie das Risiko bewerten.

Sie sollten Folgendes überprüfen:

• Sicherheitskontrollen
• finanzielle Stabilität
• betriebliche Belastbarkeit
• Datenschutz
• Regulierungsgeschichte
• Subunternehmer
• Standortrisiko

Beispiel einer Due-Diligence-Checkliste:

Überprüfen Sie	Erforderlich
Sicherheitsüberprüfung	Ja
Finanzielle Überprüfung	Ja
Vertragsprüfung	Ja
Risikobewertung	Ja
Genehmigung	Ja

Sie müssen Aufzeichnungen führen.

Vertragsanforderungen

Verträge müssen Risikoklauseln enthalten.

Zu den erforderlichen Klauseln können gehören:

• Servicelevel
• Sicherheitsanforderungen
• Vorfallbenachrichtigung
• Prüfungsrechte
• Kündigungsrechte
• Datenschutz
• Genehmigung des Subunternehmers
• Verpflichtungen zur Geschäftskontinuität

Fehlen diese in den Verträgen, müssen Sie diese aktualisieren.

Laufende Überwachung

Sie müssen die Anbieter regelmäßig überwachen.

Beispiele:

• Leistungsberichte
• Vorfälle
• Ausfälle
• Auditergebnisse
• Kontrollüberprüfungen

Die Überwachung muss dokumentiert werden.

Ausstiegsstrategieanforderung

Sie müssen in der Lage sein, einen Anbieter bei Bedarf zu ersetzen.

Ihr Ausstiegsplan sollte Folgendes enthalten:

• alternativer Anbieter
• Datenmigration
• Vertragsbeendigung
• Übergangsprozess

Wenn Sie nicht sicher aussteigen können, ist das Risiko zu hoch.

Registrierungspflicht für Dienstleister

Gemäß CPS 230 müssen Sie ein Register der Dienstleister führen, insbesondere derjenigen, die kritische Vorgänge unterstützen. Dieses Register muss korrekt, vollständig und zur Überprüfung verfügbar sein.

Viele Organisationen bestehen Audits nicht, weil ihre Lieferantenliste unvollständig ist.

Was das Register enthalten muss

Feld	Erforderlich
Anbietername	Ja
Erbrachte Dienstleistung	Ja
Kritisch oder nicht	Ja
Risikobewertung	Ja
Vertragsdatum	Ja
Verlängerungsdatum	Ja
Ausstiegsplan	Ja
Eigentümer	Ja

Sie müssen dies auf dem neuesten Stand halten.

Beispiel eines Dienstleisterregisters

Anbieter	Dienst	Kritisch	Risiko	Ausstiegsplan
AWS	Hosting	Ja	Hoch	Ja
Anbieter A	Anspruchssystem	Ja	Hoch	Ja
Anbieter B	HR-System	Nein	Niedrig	Ja
Anbieter C	Gehaltsabrechnung	Nein	Mittel	Ja

Sie sollten auch Lieferanten mit kritischen Vorgängen verknüpfen.

Warum APRA dies verlangt

APRA möchte die betriebliche Abhängigkeit sichtbar machen.

Wenn ein kritischer Anbieter ausfällt, muss APRA Folgendes wissen:

• Welcher Dienst stoppt
• Wie lange dauert die Genesung?
• Welches Backup existiert

Ohne Register können Sie nicht antworten.

Häufige Fehler

• fehlende Anbieter
• veraltete Daten
• keine Risikoeinstufung
• kein Besitzer
• kein Ausstiegsplan

Dies sind häufige Prüfungsfeststellungen.

Anforderungen an Geschäftskontinuität und Szenariotests

CPS 230 erfordert, dass Sie Ihre Fähigkeit testen, den Betrieb während einer Störung fortzusetzen. Schriftliche Pläne reichen nicht aus. Sie müssen beweisen, dass sie funktionieren.

Die Tests müssen realitätsnah und dokumentiert sein.

Sie müssen Szenarien testen, die sich auf kritische Vorgänge auswirken könnten.

Erforderliche Testbereiche

Szenario	Muss
testen Systemfehler	Ja
Cyberangriff	Ja
Ausfall des Anbieters	Ja
Datenverlust	Ja
Cloud-Ausfall	Ja
Gebäudeausfall	Ja
Personal nicht verfügbar	Ja
Stromausfall	Ja

An den Tests müssen echte Teams beteiligt sein.

Welche Prüfnachweise müssen vorliegen

Artikel	Erforderlich
Szenario	Ja
Datum	Ja
Teilnehmer	Ja
Ergebnis	Ja
Es wurden Probleme gefunden	Ja
Fix angewendet	Ja
Erneut testen	Ja

Wenn Tests nicht dokumentiert sind, geht APRA davon aus, dass sie nicht stattgefunden haben.

Tests zur Notfallwiederherstellung

Sie müssen die Systemwiederherstellung testen.

Beispiele:

• Sicherung wiederherstellen
• Rechenzentrum wechseln
• Failover-Cloud
• Datenbank wiederherstellen

Sie müssen eine Übereinstimmungstoleranz für die Wiederherstellungszeit angeben.

Geschäftskontinuitätstest

Sie müssen Geschäftsprozesse testen.

Beispiele:

• manuelle Bearbeitung
• Fernarbeit
• alternatives System
• Anbieterausfall

Sie müssen den Betrieb fortsetzen.

Testhäufigkeit

Die Tests müssen regelmäßig erfolgen.

Typische Erwartung:

Test	Häufigkeit
Kritische Systeme	jährlich
Anbieter	jährlich
Vollständiges Szenario	jährlich
DR-Test	jährlich
Tischplatte	mehrmals

Bei Hochrisikopersonen können häufigere Tests erforderlich sein.

Verantwortlichkeiten des Vorstands und der Geschäftsleitung

CPS 230 erhöht die Verantwortlichkeit auf Führungsebene. Der Vorstand muss das operative Risiko verstehen, nicht nur das finanzielle Risiko.

Sie müssen zeigen, dass Führung eine Rolle spielt.

Vorstandsverantwortung

Pflicht	Erforderlich
Framework genehmigen	Ja
Rezensionsberichte	Ja
Vorfälle überwachen	Ja
Überprüfungstests	Ja
Toleranz genehmigen	Ja
Herausforderungsmanagement	Ja

Das Vorstandsprotokoll sollte die Diskussion enthalten.

Verantwortlichkeiten der Geschäftsleitung

Pflicht	Erforderlich
Implementieren Sie das Framework	Ja
Kontrollen beibehalten	Ja
Vorfälle melden	Ja
Anbieter verwalten	Ja
Bereiten Sie Berichte vor	Ja
Probleme beheben	Ja

Verantwortung kann nicht vollständig delegiert werden.

Berichterstattung an den Vorstand

Berichte sollten Folgendes enthalten:

• Zusammenfassung des Vorfalls
• Lieferantenrisiko
• Toleranzverletzungen
• Testergebnisse
• Prüfungsfeststellungen
• Sanierungsstatus

Die Berichte müssen regelmäßig sein.

Häufige Governance-Probleme

• Vorstand nicht beteiligt
• keine Berichte
• unklare Rollen
• kein Genehmigungsprotokoll
• keine Risikodiskussion

Diese verursachen Compliance-Probleme.

CPS 230 vs. CPS 231 vs. CPS 232 vs. CPS 234

Viele Organisationen verwenden immer noch alte Standards. CPS 230 ersetzt einige davon und arbeitet mit anderen zusammen.

Sie müssen den Unterschied verstehen.

Standard	Thema	Status
CPS 231	Outsourcing	Ersetzt
CPS 232	Geschäftskontinuität	Ersetzt
CPS 234	Informationssicherheit	Aktiv
CPS 220	Risikomanagement	Aktiv
CPS 230	Operative Belastbarkeit	Neu

Was sich mit CPS 230 geändert hat

Vorher:

• Outsourcing getrennt
• Kontinuität getrennt
• Risiko getrennt

Jetzt:

• ein Rahmen
• messbare Toleranz
• Die Lieferantenkontrolle erfordert
• Testen und erfordert ein
• Vorstand muss Rechenschaft ablegen

Dies erhöht die Arbeit, verbessert aber die Kontrolle.

Beziehung zu CPS 234

CPS 234 befasst sich mit der Sicherheit.

CPS 230 deckt den Betrieb ab.

Sie müssen beides ausrichten.

Beispiel:

Fläche	CPS 230	CPS 234
Lieferantenrisiko	Ja	Ja
Sicherheit	Nein	Ja
Kontinuität	Ja	Nein
Risikorahmen	Ja	Ja

Sie sollten Steuerelemente integrieren.

Sie sollten eine Checkliste verwenden, um zu bestätigen, dass Ihre Organisation vor Ablauf der CPS 230-Frist bereit ist. Viele Institutionen glauben, dass sie die Vorschriften einhalten, weil es Richtlinien gibt, aber Audits zeigen oft fehlende Nachweise, unvollständige Lieferantenregister oder undefinierte Toleranzgrenzen.

Nutzen Sie die Checkliste unten, um Ihren aktuellen Status zu überprüfen.

Governance-Checkliste

Artikel	Erforderlich	Fertig
Rahmenwerk für operationelle Risiken genehmigt	Ja
Kritische Vorgänge identifiziert	Ja
Schlagtoleranz definiert	Ja
Zustimmung des Vorstands aufgezeichnet	Ja
Rollen und Verantwortlichkeiten definiert	Ja
Regelmäßige Berichterstattung an den Vorstand	Ja

Checkliste für kritische Vorgänge

Artikel	Erforderlich	Fertig
Alle kritischen Dienste aufgelistet	Ja
Eigentümer zugewiesen	Ja
Zugeordnete Systeme	Ja
Anbieter verlinkt	Ja
Wiederherstellungsziele definiert	Ja
Toleranz genehmigt	Ja

Checkliste für Risiken Dritter

Artikel	Erforderlich	Fertig
Lieferantenregister erstellt	Ja
Kritische Anbieter identifiziert	Ja
Risikobewertungen zugewiesen	Ja
Verträge aktualisiert	Ja
Ausstiegspläne definiert	Ja
Überwachungsprozess aktiv	Ja

Checkliste für die Geschäftskontinuität

Artikel	Erforderlich	Fertig
BCP aktualisiert	Ja
DR-Plan getestet	Ja
Szenariotests abgeschlossen	Ja
Ergebnisse dokumentiert	Ja
Behobene Probleme	Ja
Erneuter Test abgeschlossen	Ja

Checkliste für operationelle Risiken

Artikel	Erforderlich	Fertig
Risikoregister aktualisiert	Ja
Vorfallprozess funktioniert	Ja
Getestete Kontrollen	Ja
Überwachungsberichte	Ja
Interne Revision	Ja

Wenn ein Artikel fehlt, sind Sie nicht vollständig konform.

Schritt-für-Schritt-Anleitung zur CPS 230-Implementierung

Sie sollten CPS 230 als strukturiertes Projekt behandeln. Der Versuch, alles auf einmal zu aktualisieren, scheitert meist daran, dass der Standard mehrere Abteilungen gleichzeitig betrifft.

Gehen Sie schrittweise vor.

Schritt 1 – Lückenbewertung durchführen

Überprüfen Sie die aktuellen Kontrollen anhand von CPS 230.

Überprüfen Sie:

• Richtlinien
• Lieferantenmanagement
• Kontinuitätspläne
• Risikorahmen
• Testaufzeichnungen
• Vorstandsberichterstattung

Erstellen Sie eine Lückenliste.

Schritt 2 – Kritische Vorgänge identifizieren

Arbeiten Sie mit Geschäftsteams zusammen.

Sie sollten:

• Dienste auflisten
• Abhängigkeiten identifizieren
• Linkanbieter
• Besitzer zuweisen
• Auswirkungen definieren

Beschränken Sie sich nicht auf IT-Systeme.

Schritt 3 – Schlagtoleranz definieren

Definieren Sie für jeden kritischen Vorgang Folgendes:

• Ausfallzeitlimit
• Datenverlustgrenze
• Kundenwirkung
• Wiederherstellungsziel

Toleranz muss realistisch sein.

Schritt 4 – Dienstleisterregister erstellen

Listen Sie alle Anbieter auf.

Einschließen:

• Dienst
• Risikostufe
• Kritische Flagge
• Vertragsdatum
• Ausstiegsplan

Verknüpfen Sie Lieferanten mit Betrieben.

Schritt 5 – Verträge überprüfen

Vereinbarungen aktualisieren.

Hinzufügen:

• Sicherheitsklauseln
• Vorfallmeldung
• Prüfungsrechte
• Resilienzanforderungen
• Kündigungsrechte

Die Vertragsprüfung dauert oft am längsten.

Schritt 6 – Aktualisierung des Rahmenwerks für operationelle Risiken

Dokumente aktualisieren.

Einschließen:

• Risikopolitik
• Vorfallprozess
• Überwachung
• Berichterstattung
• testen
• Governance

Sorgen Sie für Konsistenz.

Schritt 7 – Kontinuität und Wiederherstellung testen

Führen Sie realistische Szenarien durch.

Beispiele:

• Cloud-Ausfall
• Cyberangriff
• Anbieterausfall
• Datenverlust
• Systemabsturz

Ergebnisse aufzeichnen.

Schritt 8 – Genehmigung durch den Vorstand

Anwesend:

• Rahmen
• Toleranz
• Lieferantenrisiko
• Testergebnisse
• Sanierungsplan

Genehmigung aufzeichnen.

Schritt 9 – Prüfungsnachweise vorbereiten

Dokumente speichern:

• registriert
• Berichte
• Tests
• Zulassungen
• Verträge

Sie müssen jederzeit bereit sein, Beweise vorzulegen.

So bereiten Sie sich auf das CPS 230-Audit vor

APRA prüft Beweise, nicht Absichten. Sie müssen nachweisen können, dass Ihr Framework in der Praxis funktioniert.

Prüfer prüfen in der Regel zunächst die folgenden Bereiche.

Dokumente, die Prüfer anfordern

Dokument	Erforderlich
Operationelle Risikopolitik	Ja
Liste der kritischen Vorgänge	Ja
Schlagtoleranztabelle	Ja
Lieferantenregister	Ja
Verträge	Ja
Testberichte	Ja
Vorfallprotokoll	Ja
Vorstandsberichte	Ja

Fehlen welche, erhöht sich das Prüfungsrisiko.

Fragen, die Prüfer möglicherweise stellen

• Wie definieren Sie kritische Vorgänge?
• Wie stellt man die Toleranz ein?
• Welche Anbieter unterstützen diesen Service?
• Was passiert, wenn der Anbieter ausfällt?
• Letztes Testergebnis anzeigen
• Genehmigung des Vorstands anzeigen
• Vorfallaufzeichnungen anzeigen

Sie müssen mit Beweisen antworten.

Tipps zur Prüfungsvorbereitung

• Dokumente auf dem neuesten Stand halten
• Halten Sie die Registrierung korrekt
• regelmäßig testen
• Datensatzgenehmigungen
• Beweise zentral speichern

Bereiten Sie sich nicht erst vor, wenn das Audit beginnt.

Häufige CPS 230-Fehler

Viele Organisationen halten sich aufgrund der gleichen Probleme nicht daran.

Liste der häufigsten Fehler

Fehler	Ergebnis
Keine Liste kritischer Vorgänge	Nicht konform
Keine Toleranz definiert	Nicht konform
Lieferantenliste unvollständig	Prüfungsfeststellung
Verträge veraltet	Hohes Risiko
Kein Test	Nicht konform
Vorstand nicht beteiligt	Governance-Problem
Keine Beweise	Prüfung nicht bestanden
Nur IT beteiligt	Fehlendes Geschäftsrisiko

CPS 230 erfordert organisationsweite Anstrengungen.

Größte Risikogebiete

• Outsourcing
• Gemeinsame Dienste
• Cloud-Anbieter
• Wiederherstellungstest
• Dokumentation
• Governance

Konzentrieren Sie sich zunächst auf diese.

Abschließende Gedanken

CPS 230 zwingt Sie dazu, Ihre Organisation im Detail zu verstehen. Sie müssen wissen, was kritisch ist, wie lange es ausfallen kann, wer es unterstützt und wie Sie es wiederherstellen. Bei diesem Standard geht es nicht nur um Compliance. Es geht um betriebliche Belastbarkeit.

Wenn Sie früh beginnen, wird die Umsetzung strukturiert. Wenn Sie sich verzögern, werden Lieferantenbewertungen, Toleranzdefinitionen und Tests kurz vor Ablauf der Frist zu einem erheblichen Arbeitsaufwand führen.

Sie sollten CPS 230 als Resilienzprogramm und nicht nur als regulatorische Anforderung betrachten. Organisationen, die strenge Kontrollen aufbauen, bestehen nicht nur Audits, sondern reduzieren auch Ausfälle, Lieferantenrisiken und Auswirkungen auf die Kunden.

Sie wissen nicht, wo Sie im Bereich Cybersicherheit anfangen sollen? Lesen Sie unser vollständigeshackthebox vs tryhackmeLeitfaden, um zu verstehen, welche Plattform bessere Lernpfade, realistische Labore und einen höheren Karrierewert bietet.