NIS 2 und DORA - mit Andreas Weinberger

[Musik] Niz 2 Anteportas, Dora für Banken. Reporting Pflichten werden immer komplexer. Wie meistern sie aus die Challenge? Herzlich willkommen bei Tech Talk, Voice of Digital. So heißt der Podcast von Computerwoche, CIO-Magazine und CSO-Online. Heute geht's um. Fitfurnis 2, Dora und Co. Zur Gast bei mir im Studio ist Andreas Weinberger. Er ist Bereichsleiter IT bei der Privatbank, Donner und Reuschlag. Dort verantwortet er die interne IT und das Thema Cybersecurity. Zudem beschäftigt er sich mit dem Themen Dora und KI. Dafür hat er schon 2023 einen Prototypen, CyberIA, gebaut und erfolgreich getestet. Mein Name ist Lürgen Hill. Ich bin Chefreporter Future Technologies bei Computerwoche und CIO. Hallo Jürgen. Danke für die Einladung. Ich freue mich sehr, dass mir jemand bei diesen Themen Gesprächspartner bietet. Hallo Andreas. Mit dir haben wir heute einen Expertenzugast, der sich schon länger mit Niz 2 Dora und Co. befasst. Bevor wir jetzt tiefer in die Diskussion einsteigen, was sind denn für dich und deine IT-Kollegen zurzeit die drängenden Probleme? Wo drückt euch das für? Die drängenden Probleme sind im Moment in dem ganzen Projektsituation, um die Dora herum, die bei uns zwischen Pflicht und Kühe im Endeffekt zu finden. Wir haben ja jede Menge Tudus, die quasi aus der Regulatory kommen. Und dort kann man sich wie immer sehr, sehr, sehr detailliert und mit beschäftigen so typisches Parito 80/20-Brenzip. Um voran zu kommen in dem ganzen Themenfeld weil die Details endlossen. Und in der Kühe geht es ganz stark darum, was Zoll der Regulatorik ein und was Zoll der Präsilienz sein. Also was können wir wirklich tun, um sicher dazu werden in dem ganzen Themenfeld. Und das ist eine schwierige Abwägung zwischen Verwaltungsaufwänden und anderen Tudus. Wenn du gerade von Pflicht und Kühe sprichst und auch sagst, was zahlt auf die Resilienz ein, es ist eine schwierige Spannungsfeld zwischen Regulatorik und Sicherheit? Wo liegt denn diese Spannungsfeld genau? Das Spannungsfeld liegt in meiner Sicht darin, dass wir im Endeffekt immer auch um müssen, welche Resilienz erhöhen werden. Wenn ich energie-drehen stecke, die eigene Sicherheit zu erhöhen, ist es gut für unser eigenes Haus. Aber ich muss ja auch Energie reinstecken, um die Resilienz des Systems zu erhöhen. Und die Regulatorik kommt logischerweise aus dem Themenfeld, die Stabilität des gesamten Systems. Und jetzt nennt man das Finanzsystem gemeint, sondern viel mehr übergreifend. Das System, allergritischen wichtigen Funktionen, welche Unternehmen, die für die Versorgung der Bevölkerung zustehen, kann auf einen höheren Level zu heben. Das schließt sich nicht aus, das zahlt auch noch Nein. Aber es verändert natürlich den Fokus teilweise. Und das ist eben der einer der großen Punkte, dass man sagt, okay, ich kann jetzt noch viel Energie dreien erhängen, um meine Teamsterkette noch feiner zu analysieren, die Vertrauchswerkgerven neuen Zustand zu bringen. Ich könnte aber die gleiche Energie bei eingeschränkten Resüssen verwenden, um im Haus zum Beispiel bei Cyberübungen wesentlich schlagkräftiger zu bearten und bei Cyberübungen zum Beispiel Schwachstellen zu finden. Und da muss man halt abwegen, weil die Resüssen haben wir natürlich nicht doppelt, darum muss man immer entweder odatrungen. Und wo würde von deinem Rein persönlichen Gefühl bei dir das Pendel, wenn es nach Entweder oder geht, in welche Richtung würde es bei dir ausschlagen? Mehr in Richtung Sicherheitsaspekt oder mehr Richtung Regulatorik? Vom Bauchgefühl her, zum Glück, agiere ich nicht nur mit dem Bauch, würde es automatisch nur in Richtung Sicherheitsaspekt gehen. Weil ich einfach selber sechötet jetzt schon so lange mache und die Entwicklung extrem nahm mitverfolge. Also ich mache Cybersecurity im Prinzip, meine Cybersecurity, die Taufgewe are, damals der Alaviewirus. Und seit ihm eben die Praxis-Erfahrung habe, war es, wie es bedeutet, wenn ein Haus komplett still steht. Also Alaviewirus hat damals, mein damaligen Arbeitgeber komplett langgelegt, und dementsprechend kompamier viel, denke also, wie verhindert man das bestmöglich? Wie geht man in dem Themenfeld vor? Der Output, der aus so etwas rausblieht, der ist hochgradig wertvoll. Als Praxis-Erfahrungen aus Übungen kann man unheimlich viel lernen. Und dann kann man immer am Punkt noch ansetzen, wo ich in Riesenfortschütter ziele, wo ich schnell vorankomme, wo aus der Sicht, wenn ich jetzt von der Regulatorischen Briliki und so, okay, erst mal erfassen, datensammeln, Informationsarmeln, da passiert noch nicht viel, es ist datensammeln, und dahinter kommt dann ein Effekt. Und deswegen, also mein Bauchgefühl ganz stark immer zusammen, viel, viel, viel in Sicherheit hängen, viel trainieren, viel üben und dabei gleich nachdenken. Da hätte ich direkt eine Nachfrage. Du betont so, dass üben, auch Nachfragen, diskutieren, habt ihr da im KI-Zeit eine Robb-Norne-Jon-Sanach mit den bösen Buben schritt zu halten? Ja, so mal so. Also, dass das Wettrüsten schon im Laufen ist, ist ja ganz klar. Wenn ich jetzt nur mal in den Bereich Fishing schauhe, das natürlich mit generativer KI, ein wesentlich zielgerichtete Marsgeschneider die Fishing-Attacken auf die Anländer möglich sind. Das ist ja verlegt ja. Und dass man natürlich dann auf der Filterseite, genauso dagegen halten muss oder eben auf der Drenningseite, das ist aufschlaun, da Leute, das denken. Weil im Endeffekt dieser große Teil in der Cybersecurity ja nicht nur die Technik, sondern die beurbewerten Methoden des Social Engineerings. Die Werkzeuge ändern sich, aber die Grundmethoden dahinter sind natürlich die gleichen. Und deswegen gibt es ein Paar-So-Themen, die man grob bei Übungen, also jetzt eben Fishing-Übungen und auch anstängende Cyberübungen, wo man Leuten Sachen beibringern kann, die helfen weiterhin, auch wenn sich die Technik ändert. Weil wenn ich jemanden habe, der sich nicht durchsorge, man sagt, so schön Sens of urgency in er, unter Druck setzen lässt. Ich muss jetzt schnell irgendwas machen, nur weil ein Geschäftsführer dringende Überweisung über fünf Millionen braucht, sondern, ach, bitte noch mal denken, passt das ins Muster, passt das nicht ins Muster und dann, ich weiß, und damit Baust du Resilienz beim Menschen auf die Werkzeugunabhängig ist. Und da, glaube ich, sollte man sich tun, auch mit Trassfordern verlassen, jemand, der eine Cyber-Erwernes hat, der gewisse Grundresilienz hat, ist automatisch sicherer, auch wenn neue Werkzeuge kommen. Und inwieweit zahlt das dann? Für mich ist es von der Methodik her sofort nachvollziehbar. Ich kenne es ja auch, wenn hier irgendwelche Obstkuren imails wieder ankommen. Wo ich genau weiß, da habe ich eigentlich nie was bestellt. Dann schauen wir doch mal, ist die URL genau. Und sieht da, ob da, da ist schon wieder so ein kleiner Bedrüger unterwegs. Aber inwieweit zahlt diese Schuhnung, dieser Resilienz denn dann auf Nist 2 oder Dora 1? Wird das da überhaupt berücksichtigt und positiv bewertet? Du musst ja bei dem ganzen Mechanism nicht unabhängig von den Formalistmen, geht es ja ganz stark darum, dass man aktives Risikomänagement betreibt. Und im Risikomänagement, der betreibt, im Endeffekt, bankenbereitsprich mehr immer vom Financial Risk Management und non Financial Risk Management. Und im Endeffekt ist es eben so, dass zu diesem ganzen Risikomänagement, die auch eben zählt, wie es Resilient ist, in meiner ganze Mannschaft. Wie Resilient ist in meinen Unternehmen. Was habe ich verschutzt, mich an Nistmen in dem ganzen drinnen? Und dort zahlt das sofort ein. Also wenn ich jetzt mal in Basics anfange, und sage ich, ich habe eine Fishing Training etabliert, was wir verjahren eingeführt haben. Wir waren damals sehr, sehr früh dran. Wenn ich ein Fishing Training einführe und messe, eben den Wert wie gut die Leute beim Fishing Training sind und lege dann neben dann die Zahl der Erkunden-Shartfälle. Also bei uns gibt es eine Meldung. Dann kann man im Melden, ich habe ein verdächtiges E-Mail. Dann geht es dahinter zu den Experten, die Experten Wertenseienung, die qualifiziert die Rückmeldung. Dementsprechend ist das Zahlenmaterial, was dort ankommt, sehr außergefägt darüber, wie Resilient wir sind. Und wie sich dieses Zahlenwerk vor allem verändert, wie wir also solche Wellenabfangen können. Und das zahlt alles wie gesagt, das Risiko-Management ein, sodass ich ein Verständnis darüber entwickeln kann, massen jetzt beim Endanwender auf der menschlichen Seite ankommt. Jetzt Jetzt ist natürlich bei den Themen-Venys 2, ganz wichtig. Es ist ja nicht nur der Mensch, der irgendwo involviert ist, sondern ich habe ja meine Lieferketten. Darüber versteckt Risiken sitzen. Bedeutet also auch dort, kommen natürlich immer mehr an, wenn ich meine Inzidenzauswerte, wo kommen denn Schäden her, was schlägt durch, was kann ich auffangen, was kann ich nicht auffangen. Bekommen ich immer mehr Verständnis darüber, wie hoch meine Residienz ist, in diesem Gesamtgefüge aus, genutzt der Maschinerie, genutztem Prozessen, miterbeitern, miterbeitern, mänzen. Und das ist ein wichtiges Gefühl, ein wichtiges nicht nur Gefühl, sondern da musst du eine denkweise in der Art entwickeln, eine Modellbildung entwickeln, wie du mit dem ganzen Themenfeld umgehen kannst. Weil Risiko ist schwer fast beuer. Ich hoffe mir das ganz einfach, je Beispiel jeder von uns, der zum Beispiel Autofährt, kann Risikomentagement. Er entscheidet sich, bewusste einen Auto einzusteigen und das Risiko zu gehen, dass ihm der Gegenverkehr reinfährt. Das ist, schaut, ist das irgendetwas passiert. Wir haben halt das Auto vor. Geht? Da gibt es Töv-Bürerschein ausbildungen. Es gibt alles außen rum und deswegen ist Risikomentagement beim Autofahren für jeden normalen Einfach. Risikomentagement im Cyberbereich ist brutal schwer, weil die Leute den Verständnis des gesamten Systemen zusammen sind, gar nicht haben und weil vieles eben nicht geregelt ist. Einfach das Beispiel, wenn ich jetzt das Bankgerechenzentrum bauhe, kann ich mir vom Stromdienstleister kaufen, was Rechenzentrum zu betreiben. Ich glaube jetzt, ein Stromdienstleister gehen und zu sagen jetzt zeigt es mal die Wartungsaufgeber auf euren Generatoren und so und nun, sondern das Stromdienstleister ist überwacht und ich beziehe Strom als Leistung. Ziemlich ähnlich ist es bei einer Telefonleitung, bei einer Datenleitung. Aber dann geht es ja sehr schnell an, dass man praktisch wünscht, dass man Dienstleister überprüft, bei die Dienstleister nicht in der Überwochen sind. Und da wird sie mit seinem politisch recht interessant, wenn ich jetzt sage, die großen Dienstleister werden jetzt direkt überwacht, also eine Microsoft, eine Oracle, eine Amazon-HBS, rutscht jetzt in Richtung einer Wartenfall, einer Telekom, also einer Entität, die ich groß nutzen kann. Und das kann ich halt dann hoffentlich nutzen, ohne so viel darüber nachzudenken. Aber die ganze Unmenge an geinderten Dienstleistern sollen durch die Kunden wäre auch sichtigt werden und das sage das funktioniert ja nicht. So funktioniert weder unser Verkehrssystem, so funktioniert nicht unser Stromsystem, so funktioniert viele große Mechanismen nicht. Wäre jetzt genau meine Nachfrage gewesen, wenn ich es richtig im Kopf habe, seid ihr ja sehr stark laut orientiert. Wie will es du denn dann diese ganzen Cloud-Anbieter mit Blick auf Niz 2 oder Dora kontrollieren? Das ist ihm das interessant, der unser größter Cloud-Anbieter ist Microsoft, weil wir Microsoft Azure und M3565 ganz stark drauf setzen und das hat ganz bewusst gemacht haben, weil man eben mit den ganzen Anforderungen einen Eigenbetrieb, also ich habe 20 Jahre lang Eigenbetrieb verantwortet, das kriegt man als kleiner Sinnanführungszeichen Haus nicht hin. Wir hatten in München eine sehr gute Diskussion mit einem sehr großen Haus, der 40 Rechenzentren hatte, da ist dieser andere Hausnummer. Und dort ist es eben so, dass ich sage, ein großer Hyper-Skyler, ein großer Dienstleister ist eben so aufgestellt, dass ein gewissen Servicelevel erbringen kann. Und wenn ich mir jetzt bei der Beaufsichtigung die direkt beaufsichtig werden, dann brauchen wir nicht 1000 kleine Orte zu erleiden, durch die Kunden, sind wir auch neben einem großen Audit hoffentlich durch die Aufsicht. Bisher war ja der Ansatz, teilweise so, dass man sich so genannten Prüfgruppen anschließt und dann zu 20 banken miteinander im Prüfer zum Microsoft schicken. So, wie das ist immer nur viel zu klein gedacht. Mein simples Beispiel ist immer, wenn ich hier in Hamburg in die S-Bahn einsteige oder in die U-Bahn, dann gehe ich heute von aus, dass dieser S-Bahnzug gewartet wird von einem Fachmann und dass dieser Dienstleister weiß, wie man S-Bahnzüge betreibt, dass die Bremsen funktionieren und dieses ganze Thema fällt. Und in der, denkweise, will ich immer mehr, wird mehr extrem helfen, wenn man immer mehr dazu kommt, dass das funktioniert, dass man im Sagtokit da wird eine ganz andere Beaufsichtigung ausgeführt, damit ich mir um das Thema fällt, keine kleinen Gedanken machen muss, damit ich wirklich im großen Stil. Da wird natürlich der Dienstleistermarkt und die Dynamik wird jetzt ganz interessant, was durch die Regulatorik passiert, sich etwas differenzieren. Weil das ist ja, wir gehen ja in der Lernkurve miteinander rein, wo man sagt, okay, wie konsolidieren sich zum Beispiel Dienstleister, was passiert im großen Markt, wie funktioniert die Aufsicht, welche Punkte wir hatten erkannt? Es gibt in Deutschland, zum Beispiel große lokale Player, nicht mit dem Bankenbereich. Es gibt für alle möglichen Branchen, Player 4.000-5.000 Mann, die Sustinzele IT Dienstleisterman für Branchen zur Verfügung stellen. Und da bin ich sehr gespannt, wie sich der Reifegeraute die Prüfungen und der Kenntnisse daraus entwickeln. Könnten wir anderer Lösungen sein? Du brach das vorher, das Beispiel Auto, wo wir uns reinsetzen, dass wir vielleicht doch irgendwann sowas wie eine Art Softwaretiff oder ein Art Cloud-Tiff, gerade für die kleineren Bräuchten. Ja, ob es eben nicht wieder geschildert hat, da kommen wir 20 Unternehmen aus der Bankenbranche, dann kommen 20 Unternehmen aus der Foodbranche und jeder führt seinen eigenen Audi durch. Ich glaube, da wird ja der Dienstleister irgendwann auch kürre. Na ja, so haben wir mir so, es kommt ja noch eine ganz andere Diskussion, da mit drei Nähn über die Dienstleister und die Kosten dahinter. Wir müssen uns schlichten einfach mal klar machen, dass wir die Fachkräfte gar nicht haben. Also warum soll ich denn einen qualifizierten Software entwickelt? Ja, warum soll ich denn einen qualifizierten Test da? Warum soll ich denn einen qualifizierten IT-Oreter für verschwenden? Ein Stück Software, das bei 500 Kunden im Einsatz ist, von der Kundenseite her Einzelnen zu prüfen. Das ist ja völlig erwarnsend. Also, deswegen finde ich so interessant, weil im Endeffekt, wie es gehen wir jetzt durch ein Lernkurve durch, durch den die Automobilindustrie und andere Industrieien teilweise schon vor 30, 40 Jahren durchgegangen sind. Das ist eigentlich erbekannte Mechanismus, den wir in der IT jetzt wieder neu erfinden, weil wir IT sind, das macht keinen Sinn, das funktioniert so nett. Und diese Qualitätsansprüche, die Mindesqualitätsansprüche, wenn die nicht eingehalten sind, dann werden wir immer noch mehr böse Überraschungen erleben. Also Sie, die Großärgung ist sie wie Crowds Drive. Wo ich halt sage, okay, das zeigt ja, dass der organisationale Reife gerade diese ganzen Situation nicht ausreichend ist. Oder das letzte Großärgung ist der Vorlog for Chain. Wo man halt auch sagt, okay, also jeder, der einiger Massensystemkenntnis hat, war vor Log for Chain nicht überrascht, weil das hat man bei, in den Computer Comics vor Jahren schon noch lesen können, dieses obskürig Stück Software, das irgendein boh von irgendeinem freiwilligen Betrieben wird. Ist ja schön, dass es so funktioniert, aber es ist halt auf der anderen Seite, wenn es kritisch ist, halt auch ein Problem. Dann sind die Parallelen. Du sprachst gerade an in der Autoeindustrie, haben wir schon teilweise seit 20 Jahren so und eigentlich sollte das Ganze keine Überraschung sein, dann wunderts mich allerdings doch, ich meine, dadurch, dass die Regierung nicht vorangekommen ist, haben wir ja noch einen Knadenfrist bis ins Zweite Quartal in Sachen Nis, aber warum hängen denn trotzdem so viele dem Zeitplan hinterher? Oder war der von von der Reihen zu ergeizig gestalten? Sag mal so, also ich habe da sehr interessante Einblicke bekommen in letzter Zeit durch Kontakt der außerhalb der Bankenbranche. Also wir in den Banken haben natürlich folgende Situation, die wir Sanjulänger entsprechend reguliert. Wir mussten ins Metabia-IT, mit der Bia-IT-Norwelle schon viele Gedanken machen. Bei mir persönlich ist es so, ich war, bevor ich noch Hamburg in Luxemburg und Luxemburg auf der gauernendste Seite Deutschland noch weit voraus. Wir mussten ja drinnen denken, der EU-Saiber-Security-Ekt, dieser europäische Regulierung und dementsprechend die Sanjerauswirkungen, die treffen auf unterschiedliche Länder, auf unterschiedliche Kulturstile. Also in Italien geht man mit Regulatorik etwas anders um als in Deutschland. Das ist definitiv auch in Belgien, geht man anders damit um. Und dementsprechend trifft natürlich EU-Regulatorik auf unterschiedlichste Reife gerade. Sammelsmessow. Und das ist natürlich ganz klar, je mehr ich aufholen muss, je von die weniger Grundlage nicht ausgehen kann, ist das schwierig wird das Ganze. Und dann passiert natürlich noch Folgendes durch diese extreme Braschenbreite. Triff natürlich, die Nist 2 jetzt, auf Braschen, die eben auch schon erwähsam, jeder der Krittis hatte, also Größenwartungen entsprechend ist jetzt sowieso schon vorbereitet. Das ist es nur der Evolution-Stufe, aber es trifft ja jetzt Braschen, die haben noch nicht mal kapiert, dass dieses Thema sie trifft. Und demen, das ist dann natürlich schwierig dieses Thema ein Feld hinzubringen. Dann brauchst du einen Haufen nach Hau, dieses nach Hau, hat teilweise einen komplett anderen Charakter, also es zu tun. Da bin ich in einem Forschungslabor, eine Infrastrukturaufbau nicht regulierten Umfeld. Und ich vergleich mal, wenn ich die gleiche Infrastruktur bei mir in der Bank aufbaut, dann gibt es Substanzelle Unterschiede, ja. Also der in Forschungslabor gibt sich, der klickt sich online drei Dienste zusammen und wir brauchen, brauchen allein so lang, um mal festzustellen, was den, was den brauchen. Also da geht die Welt weiter auseinander. Und deswegen trifft hatte jetzt mit Nist 2 ein zu einer Riesenimpäck, auf extrem und vorbereitete Braschen. Und dann gibt es natürlich dahinter die ganze Detailarbeit, wie, wie, wie, wie fütmal diese komplexe Welt in Datenbanken so rein, dass man damit ein Informationsregister erstellen kann, dass man Analysen erstellen kann. Es ist alles leicht geschrieben, schwer getan, ja. Weil wenn man mal in der Haus reinget, das ein hoher Reife gehört hat und ich bin in der Lage, aus End-to-End-Prozessen nach unten, riesigen Ob zu leiten und Schutzbedarf für Ob zu leiten und hab das alles Daten gestützten, das System, da bin ich schon sehr reid, weil es ist halt einmal schwierig, das Ganze zu beschreiben. Und das erleben wir jetzt. Und was ich ganz erschütternd finde ist, dass man dann sagt, okay, man nimmt die Behörden aus, also ich wundern mich da total, weil okay, wenn die Behörden meiner Bing wenigstige Italisierungsoppinigkeit, Hitten oder wenig Bedeutung hätten, wo sich mir schwierig vorstelle, hat man natürlich da andere mehr in den Riesen-Team, in dem Bereich die ganze öffentliche Verweutung muss, damit rein muss. Also es ist schon Herkulesakt, wo es da kommt. Wenn du sagst, ein Herkulesakt, inwieweit haben wir diesen Herkulesakt so aus deiner Erfahrung schon schon bewältigt oder richtig angegangen und wie ist es da der Unterschied vielleicht dann zwischen regulierter Branche, also finanzwistisch betrifft und dem ganzen Rest, weil du sagst, dass es da manche relativ, wenn man es mal so relativ blaueuig ist, waren unser Sitz kalt erwischt hat. Ja, genau. Also das große Thema, was mich immer so umdreibt, ist uns fehlen, uns fehlen teilweise ja baus, auch pragmatische Ansätze. Man kommt viel zu viel aus dem kleinen, kleinen und hat und kämpft damit natürlich in ganz schön aufenten. Also ich versuch es mir plakativ zu machen, wenn wir, wenn man im Haus wie bei uns, mehrere verschiedene Themen, wir reichen niebeneinander hat, wo jeder Modell, jeder Bereich quasi gezwungen ist, ein eigenes Modell zu bilden. Also das Informationssicherheitsmanagement braucht ein etwas anderes Modell, also das Informationsschrisikomänagement. Das Ganze ist non-financial-Risk, im Financial-Risk schaut die Welt sowieso anders aus, man spricht also schon unterschiedliche Sprachen, dann braucht man die Leute, die in der operativen Informationssicherheit tatsächlich was tun, die brauchen sehr realitätsnahes Bild, wenn die in Analyse gehen und damit haben wir immer wieder so ganz unterschiedliche Bilder, ganz unterschiedliche Details gerade. Und aus meiner Sicht fehlen hier teilweise vorgesehen Modelle, die das unterstützen, dass das insgesamt leichter wird und auch teilweise Ansätze, die etwas erleichtern. Also ich bin zum Beispiel ein Fan von dem Fundament ansatz. Ganz einfach historie dahinter, man nimmt sich eine Gruppe, erforderner Eitiler, die Branchen auch auch haben. Die wissen, wo sind dieser Branchen für Spezialitäten benötigt werden. Schickt die mit einer dicken Kreditkarte auf die grüne Wiese, die grüne Wiese braucht natürlich einen Internet Anschluss. Und dieses Team an Fachleuten baut dann einen Fundament für ein Unternehmen ihrer Branchen. Und normalerweise müssen die in der Lage sein, wenn es gute Leute sind, dass euch das Fundament zu die Seinen ohne dass jemand vom Fachbereich im Moment mit helfen muss, um nur das Fundament aufzustellen. Und dieses Fundament hat Eigenschaften, also für Fügbarkeitszeiten. Wie schnell bin ich in der Lage dieses Fundament wieder herzustellen, wenn irgendwo sie es wissig ja mache ich jetzt. Und dann baue ich auf dem Fundament des Unternehmern auch an einen Schicht nachauf. Was wir tun, wir haben komplex gebaut die Strukturen. Unternehmen. Unternehmen, die stehen auf so ein Fundament, dann gehen wir an detaillierte Erfassung an dieser ganzen Systematik ran und versuchen das einzuwerten. Und auf diesem ganzen technischen Haus haben wir Prozesshausen der Aufbauorganisationen und da reiten wir Prozessstecken ab. Und der Witz ist die Basis Daten, die ich dann unten rausfilte, der aus diesem ganzen Konstrukte kann mit dem Fundament ansonsten etlichen Stellen einfach finden. Weil deswegen schaut das Fundament, die er so auswärts ausschaut, wenn ich ja gewisse Erfahrungsgerätten gewissen Reife geraut habe. Und das ist zum Beispiel einer dieser Mechanismen, wo ich einfach so das sowas findet man in der Regulatorik nicht nur ganz wenig, weil man ihm immer wieder vom Teil block herkommt und damit natürlich die Aufhände natürlich hochtreibt. Und damit erbistelt wir so mal sagen, man nutzt dann Erfahrungswissen des Branchen über 20, 30 Jahre aufgebauten, nutzt man dann runter umständen nicht. Und ich darf nicht nur annehmen, dass alles schlecht ist in der Welt, es gibt ja viel Gutes und das sieht man daran, dass endlich Unternehmen noch stehen, keine größeren Inziditartensachen über Überstandenerhaben, weiß ich, jemand schon, was wir richtig gemacht haben. Also nicht nur vom negativen Hersehen, sondern auch im positiven Hersehen. Ich hätte jetzt aber bei diesem Bild, ich fand das sehr schön eingangs. Ich gebe am Team von erfahrenen Spezialisten die Grett-Dit-Katte mit und schickse raus auf die grüne Wiese, wo sie das Fundament aufbauen. Jetzt habe ich aber in der Realität ja nicht die grüne Wiese, sondern ich habe schon irgendwelche Häuser, die sind auf Fundamenten gebaut und wenn ich Pech habe, haben diese Fundamente auch schon, weil es ein paar jährigen stehen, womöglich auch schon Schimmeln in der Wand drin. Wir sollen die dann an diese Miss 2 herausforderungen rangehen. Mit der gleichen Logik, dann nehme ich aber nicht die grüne Wiese, sondern immer weitbord. Also das ist wirklich so der Ansatz, wenn du an der komplexes System rangehst. Ich habe das in meinem Berufsleben mehrfach erlebt und du fängst anders Post dazu zu zeichnen, was ist da und willst du das Post da umzeichnen? Dann bist du sehr, sehr schnell in einem sehr, sehr komplexen Bereich. Du hast immer die Möglichkeit hängt daneben, ein weitbord des Lehres. Fangen von vorne an und denk mal so in diese ganze Struktur rein. Der grässeste Denkansatz ist immer der, das ich gesagt habe, ich kann als Bank, ich kann als Bank immer so überlegen, wenn ich meine eigene Struktur nicht mehr betreiben kann, können alle Kunden woanders hingehen. Das ist der grässeste und schwierige Denkansatz. In Braschen die langfristige Verpflichtungen haben es, ist oft noch viel schlimmer geistig umzusetzen, wenn ich also Versicherungsverträge auf 30, ja, ich habe dann dann dieser langfrist, denke da. Es gibt sein in der Industrie, wo langfrist Verpflichtungen mit Garantien oder Patentet, also die betriebswirtschaftliche Realität spricht immer ein anderes Bild, aber auf der Technik eben nicht kannst du mal denken. Du baust einfach Technik einmal neu und migriersts ganze Unternehmen rüber. Und das macht es denkenfrei, um solche Unterschiede zu finden, weil in den gewachsenen Strukturen, wo man altlastend drin hat, es oft so ist, da wird es verdammt, verdammt quer verbunden. Was der Liesenvater ist, wir haben vor Jahren bei der Cloud Migration einmal radikal durchgehme durch die Landschaft und das hat nämlich unheimlich geholfen, weil wir mit dem Vollmigrationsansatz durchgingen und damit war einfach die Liste, das ist das ist und das Muss rüber. Die Frage war wie bringt man so rüber? Und nicht ob und wo lässt man was, sondern das Muss rüber und das muss dazu wieder zurückgeführt auf Standards umgeschrieben werden und so weiter, um im So-Reinigungsaktion herbeizuführen. Das ist der Denkansatz, die grüne Wiese und wenn die Grüne nicht hast, dann im weiße Waldbord. Das wird mich eben noch dem Gedanken spielen, kann ich Folgen mit dem weißen Waldbord. Und das ist gerade auch schon ein bisschen angedeutet, was mich dann noch mal ein bisschen interessieren wird. Wie schaffe ich dann die Transformation von den Ideen, die ich auf meinem Waldbord habe in die IT, die ich hier in der Realität eben dann im Keller vor finde. Da muss dem hergenut, muss das Ganze in die Blöcke sehr schneiden, die notwendig sind und wichtig sind. Im schlimmsten Fall tut das halt dann auch mal weh, also im schlimmsten Fall heißt das auch mal, dass man parallel voran muss. Also in unserem eigenen Fall, was zum Beispiel so wir haben teilweise Datenbunken ausgetauscht und dann kommst du eben auf Abhängigkeit und kriegst die Datenbunknet weg. Dann musst du, dann haben wir damals Datenbunk, ja wie so, dann sind Datenbunk zu im Endeffekt gebildet und haben gesagt, okay, es gibt eben für die Legacy, die die du so nicht weckt bringst, eine Miche in der du die für einen beschränkten Zeitraum mit schleppen kannst. Da muss man solche Lösungen teilweise dran denken. Im Job davor, was zum Beispiel ganz interessant, da mussten wir komplette Infrastruktur einer Punkt auflösen. Und zwar so, dass sie noch in der Lage war, danach die langen, langen Auskunftspflichten für Steuerrecht und für solche Sachen darzustellen. Und da wurde im Endeffekt, haben wir die ganze Struktur auf dem Kern zurück gefahren und für diesen Kern eine rein, auf Informationsbasis, Lauffähige Struktur erzeugt, auch wieder eben so eingesperrt. Und was natürlich im Klautzeit halt das Interessante ist, wenn man Funktionen halt bei den einmal entscheidet, die macht man nicht mehr intenser, am Bezieht sie aus Dienstleistung, da bist du ja sowieso in der Migration. Du migrierst ja inhalten meistens und migrierst im Aus- und Abbestandslösung, raus in eine Software Servicelösung und baust dann die Lösung bei dir wieder entsprechend zurück. Also, wir sind mal sagen sehr, sehr sehr aufs Zielbild hin, im Endeffekt zu sagen, altes Fundament, neues Fundament, das neue Fundament plus meiner den Klaut-Service ist. Und dann einen in den Stufen zerlegten Plan entsprechend durchziehen. Du hast das vorher und ich habe es auch in der Einleitung gesprochen, ja selber schon 2023 in eigenen Prototypen, dies bezüglich entwickelt und auch im Vorgespräch haben wir mal über Risikomanagement, versus Enterprise-Architekture-Management gesprochen, wie unterscheidet sich denn dein oder euer Ansatz von dem was man sonst im Markt üblicherweise hatte. Also gerade bezüglich der Dokumentationspflichten. Ja, wir gehen ganz klassisch beim etlichen Sachen unterscheiden wir uns überhaupt nicht vom Markt, da geht's genauso genauso in die Richtung, dass man eben sagt, du gehst mal ein Baute, eine Dokumentenstruktur auf, ein Dokumentenbaum, dem man eben braucht, wie in die Regulatorik fordert. Und auf der anderen Schiene verweben auch heute ein paar ein paar interessante. Ansetze, die habe ich bei dem Vordergubi uns damals ja getroffen mit München gezeigt. Es geht da stark darum, dass man eben sagt, klassischerweise denkt man auf den Dokumenten Pyramiden. Man fängt oben an mit der Strategie aus der Strategie Leitlinien ob den Obbleiten und dann immer weiter nach unten, das ganze Querverbund mit Prozessen. Und das Ganze impliziert eigentlich immer, dass man eine saubere, klare Logik und Struktur hat. Das ist aber nicht der Fall, weil viele dieser Dokumente sich aufeinander beziehen, weil man sehr, sehr viele Abhängigkeiten davor anunter hat. Und da setzen wir eben zum Beispiel schon Mechanismus ein, das wir, wir haben da in IT ganz stark damit begonnen, Informationsobjekte miteinander vernetzen, nicht in einer hierarchischen Struktur, sondern Struktur, die sowohl Hierarchie als auch ein Netzwerkstruktur unterstützt. Und damit besteht eben die folgende Möglichkeit, dass man die komplexen Querverweise, die aus dem ganzen Regelwerk quasi rauskommen, eben als Datenabgreifbar zur Verfügung hat und weniger pflegen muss. Weil, ist ja ganz geil, ich habe, nehm' er auch nicht, habe drei Dokumente mit Kreuzereferenzen, da muss ich in jedem Dokument die Kreuzereferenz aufs andere Dokument immer wieder erneuern, wenn sich ein Link ändert, wenn sich zusammen hängen, wenn ich was zusammenfüge, was aus einander füge und wenn ich dieser Staatenstruktur hab, dann wird das plötzlich viel leichter. Und da setzen wir eben Mechanismen ein und dass wir immer mehr von dieser Datenstruktur abbilden können. Zum Beispiel bei uns so, dass das komplette Glossar in den sogenannten Policies, das komplette Glossar ausgelage, die sind nur nur Datenbank basiert läuft. Das bedeutet, da haben jetzt nimmer wie früher 350, 400 einzelne Datenpflegepunkte, sondern es gibt die mit so ein aggregiertes Glossar mit ich, weil es in 220 Begriffen, das nur noch mit Dokumenten vergnüpft ist und der Pflegeaufwand quasi auf 0 runter gegangen ist, das bedeutet der Pflegeaufwand, wer nur noch ein Glossar begrifft, habe in einem neuen Dokument benötigt. Und das ist also ansatz, wo man sich dem Pflegeaufwand über Zeit viel leichter machen kann, gerade in komplexen Strukturen und bei der Bank kommt man immer sowas wie schriftlich fixierte Ordnung. Also ein Riesendokumentenwus, das dem das Ganze rauskommt. Und die ganzen Dokumente haben wir wieder Quervverbindung zu den Prozessen. Und das ganze Prozess regelwerk einer Bank, diese auch wieder hierarchische Strukturen. Und da entsteht schon viel Informationsvernetzung. Das haben wir noch nicht auf Daten eben hier herunter, auf einen wirklichen reinen Daten, sondern auf einer qualifizierten Informationsvernetzung, wo man damit sehr, sehr viel machen kann. Und dann hat man zum Beispiel da mit so ich im Möglichkeiten, es passiert also im Prinzip, auf dem Grundprinzip, dass man einfach in unser Enterprise-Architekture-Management Werkzeug, auch ein Knowledgemanagement-Schicht darüber gelegt haben. So ist es simpel, kann man es immer in die Fektion der liegt. Also da runter Graf-Daten-Bunk, keine Relational-Daten-Bunk, dadurch ist es relativ einfach erweitbar. Und dadurch haben wir dann solche Möglichkeiten, dass man eben auf diesem bestehenden Informationsschutz, Zusatzinformationen oben drüber kippen kann. Und das haben wir dann zum Beispiel an einem Thema mehr, man ist ganz deutlich. Ich habe so genannt den NIST CSF, das Cybersecurity-Fremberg der Amerikaner. Es ist frei verfügbar und ich habe das NIST CSF einfach über die ganze Schicht drübergelegt. Und dementsprechend ist bei uns, wie es möglich im NIST CSF, also ein Cybersecurity-Frembergsansatz, nicht nur Technikarchitektur zu sehen, sondern auch alles, was im Knowledgemanagement auf Dokumenten eben nicht drin ist. Und mit solchen Ansätzen kann man halt wirklich enorme Effizienzgewinnige winnen. Ich habe das bei dem NIST CSF wirklich so macht, nur im Tagesgeschäfte, Informationsanreicherung produziert. Und da entstehen Hundere bis 1000 davon von Gipfungen im Tagesgeschäft. Aber heute auf Datenbombgebe nehmen und nicht in Dokumenten. Und das ist jetzt Effektivitätsansatz, den nicht dort verfolge. Und ich krieg mittlerweile von von diversen Kollegen, der aus der Power Usergruppe kommen immer mit, der dieses Feedback wollen wir auch, wollen wir auch mal nachbauen. Wenn ich mir das so anhöre, wäre dann nicht der nächste logische Schritt auf das Ganze dann noch eine KI aufzusetzen, um mehr die Datenverarbeitung, weil es sind ja doch sehr viele unstrukturierte Daten, noch mal weiter zu vereinfachen. Ja, das ist absolut absolut logisch und zwar ist es absolut logisch, die KI an beiden Enten einzusetzen. Also ich habe schon einen Prototypen gesehen und zwar macht der Folgenes, der Prototyp also beim ERM System, geht der Prototyp von folgende Logik aus. Die meisten Häuser haben ja irgendeine Form von Beschreibung ihrer Technik. Ja, aus bedeutet, die nehmen diese Irgendwie Beschreibung der Technik, schieben die vorne in der Eirein, die EYE bereitet das auf und sagt, zum Anwender, was habe ich erkannt. Und damit passiert Folgendes und das war sehr, sehr, sehr schön in der Demo zu sehen im Mockup. Normalerweise würde ich quasi einen Architekten hinsetzen, würde ihm ein Staub-Balp-Pier auf den Tisch schmeißener oder im PDFs und er sitzt dann wochenlang dort und überträgt, weil sie da sind es Architektursystemen. Und jetzt macht er praktisches gleiche aber die EYE-gestützte Lösung, hat vorher schon rausgesucht, ich erkenne folgende Begriffe, ich kenne die für diese Begriffe folgende Technik. Also simples Beispiel, in der Dokumentation ist genannt, Anwendung er braucht, braucht eine Datenbank. Als Architektursystem weiß ich habe folgende Datenbank-Söber und kann Datenbanken zur Verfügung stellen von dem Hersteller, von dem Hersteller, also kann es system ja ganz simple sagen, okay, die Capability Datenbank zuerstellen ist da, hier wird in der Anwendung eine Datenbank benötigt, die muss mir nur sagen, welches ist. Und damit ist dieses ganze Einlesen-Inrichtung-Architektur schon ganz wesentlich einfacher. Das gleiche funktioniert natürlich bei Regen werden. Ich packe also den von dir angesprochenen Prototypen zum Beispiel, der war relativ simple, der hat einfach darauf passiert, dass ich alle verfügbaren Gesetzestexte und verfügbaren Dokumenten der deutschen Aufsicht verwendet habe und habe die JetGPT-Bott zur Verfügung gestellt. Und dann haben wir eben darauf testabfragen angewendet, wo man sehr, sehr schnell gesehen hat, kann uns wesentlich schneller die Information konsolidiert liefern. Das heißt also diese ganze Themenblock-Information packen in der Lutzbore im Bereich System, da ist die AI natürlich prädestiniert und auf dem anderen Ende der Strecke ist die AI dafür prädestiniert, weil sie ja generativ ist, auch Daten sehr schön produzieren kann. Wenn ich dir strukturierte Daten zur Verfügung stehe, die eine Logik folgen und das unterstützt mit ein Launch Language Modell, das dann wieder mit dem Minimus RPG, die Daten spezialisiert nutzen kann, dann hat sie ja ihren Vektorraum, wo sie ihre Weltwissen drin hat und ich vergnüpfe ist die mit dem Domänenwissen und des Domänenwissen ist ja schon strukturiert. Das ist eine große Vorteile, das muss nicht wieder morgensmäßig übersetzt werden und da sehe ich ja rieseng Potenzial, dass dann der Output aus dem ganzen Themenfeld, durch die AI natürlich entsprechend unterstützt wird. Können wir nochmal zurück, werden ja voll über Zeitpläne gesprochen, zusammen mit NISS und DORA. Angenommen, die gerade es gezierte KI-Lösung wäre dann Realität und wie viel schneller könnte ich dann eine NISS 2 Compliance zum Beispiel herstellen? Um welten schneller würde ich vermuten, weil du diese ganze Daten sammelae und diese Daten analysieren natürlich massiv unterstützen könntest. Immer muss ich ja immer auch mit dem Zeitplan ist, es passieren ja folgendes Sachen, ist ja nicht mehr so, dass jedes Unternehmen jetzt durch ein Tudulist, das sich durchwühlen muss, sondern im Endeffekt ist es ja notwendig, dass mehrere Schichten hintereinander sich durch Tudulisten durchwühlen. Und ich glaube, das wurde bei der Legislaturik komplett vergessen, also wenn das Anwanderunternehmen jetzt zum Dienstleister kommt und sagt okay bitte Dienstleister, wir gehen jetzt nicht gemeinsam durch die Lerenköve durchsachen, ihr müsstet in der Lerenköve schon weiter, so als wir, weil du musst mir erleben. Der Dienstleister geht zu seinem Subdienstleister und stellt die gleiche Frage, dann bricht einem dieses ganze Modell auseinander. Und ich schätze, dass es und man merkt ja, Marc, mit den Konsolidierungen was passiert, dass natürlich diese Markteffekte, diese Lerenkurfen-Thema-Tik sich alles jetzt dann nacheinander durchschlägt, da muss ich Vertrauchswerke anpassen, da gibt es Vertrauchswerke, die natürlich unter dem Schönen Schlange nicht mehr angefasst wurden, wo es jetzt nicht gut ist, dass sie nicht angefasst wurden, aber es kann natürlich sagen, dann stellen sich unter dem bestimmten bedriebswirtschaftliche Fragen, der angeforderte Dienst wird plötzlich teurer, wer trägt die Kosten. Und deswegen sind das so Effekte und wenn du sie jetzt sind, nur diese Hausaufgaben im Endeffekt schon vereinfachen kannst, also dieses durchbühlen der Vertrauchswerke, herausfinden der Details, die Details wieder analysieren, hast du natürlich ein Rieseneffizienz gewinnen, wo Menschen, wo sonst hochqualifizierte Leute viel handarbeit machen und dass sie in diesen Nutzen, wo es dort gewaltig voran kommen könnte. Ich schätze zum Schluss vielleicht noch eine ganz andere Frage. Wir hatten ansonsten sehr viel darüber diskutiert, wie ich NIS DORA ready werde, welche Herausforderung ich habe. Jetzt gehen wir doch mal davon aus, ich bin jetzt NIS DORA ready, ich bin DORA konform. Was muss ich dann im Alltag, ich habe ihr euch sicherlich auch schon Gedanken dazu gemacht, was muss ich dann später im Alltag tun, um weiterhin NIS und DORA konform zu bleiben. weil es ist sicherlich kein einmaliger Job, den ich erneutigen will. Nein, überhaupt nicht. Also aus meiner Sicht eines ist ganz wichtig, du musst das, was du im Lernsten, wo du im Umbaus musst, überall ins Tagesgeschäft einfließen. Das heißt, wenn du also ein neues Vertrauxwerk eingehst, eine neue Dienstleistung, da musst du das schon unter den ganz anderen Rahmenbedingungen eben betreiben in dem ganzen Themenfeld. Ich gehe davon aus, dass das unter anderem auch dazu führt, dass man bei Grundsätzlichen, megabay Entscheidungen noch mal ganz anders darüber nachdenken wird. Also bei der Dienstleistung auswollt vielleicht schon mit einem ganz anderen Fokus draufgehen. Vielleicht sogar zur Entscheidung, wenn es kommt. Ich habe der ganz interessante Diskussion mit Kollegen aus größeren Häusern, bei denen ihm das Rieinswörz singen. Jetzt plötzlich einen ganz andere Drag bei den entwickelt, warum. Man hat früher im jasischen Auszüssinger gesagt, okay, ich muss natürlich diesen Steuereffekt und den Skalierungseffekt mit einrichten und dann rentiert sich das auszursingen. Und jetzt kommt dieser Riesengarbern ins Aufschlag dazu. Das heißt, was vermeidlich bediebswirtschaftlich günstiger ist, wird jetzt einfach teurer, in dem andere Leute sich massiv noch mal im Thema können müssen. Und das werden alles so Themen, wo man im in einer veränderten Realität leben muss. Und auf der Sicherheitseite geht es sollte aus meiner Sicht ganz stark darin. Und da wird man es am deutlichsten merken oder ich persönlich bin am deutlichsten merken. Einfach das Thema Sicherheit lebt sie mal 24 Stunden. Sicherheit, vorgobben, Reaktionszeiten werden sich gewaltiger erhöhen. Die Menge an Betrohungsallahmen wird sich erhöhen. Das heißt, du musst in eine andere denkweise kommen, um mit dieser Wachsenengeschwindigkeit der Entwicklung. Also nicht nur der Entwicklung Cyberrisiken, sondern der Entwicklung Reaktion auf Cyberrisiken entsprechend mitzuwachsen. Und das wird die, werden die Auswirkungen, wenn ich mal ein Bauchgefühl richtig hab, werden die Auswirkungen im Tagesgeschäft sein. Ständiges Drumbleiben bleiben in der Blerkurve mitgeben. Da bleibt man in der Stelle nur noch ein Zwiebricht, Andreas. Danke, dass du da warst und das waren aus meiner Sicht sehr interessante Einblicke eines Praktikers in den Umgang mit Niz 2 und Dora. Ja, danke. Das freut mich. Aber bei dir sagst Interessante, es gibt den amerikanischen Sprungsspruch, was man seinen Freunden an tun will. May you live in interesting times. Und ich kann, ich kann nur so irgendwie lieben, in lustigerweise interesting times. Das ist schon fast ein perfektes Flusswort, dennoch lass ich mir nicht nehmen, das letzte Wort zu haben. Liebe Zuneurin und Zuhörer, das war die heutige Folge von Tech Talk, "Wolls auf Digital". Mein Gast war Andreas Weinberger. Ich bin Jürgen Hill, Chefre Potter Future Technologies bei Computerwoche und CEO. Danke an alle, die zugehört haben. Tschüss. Und wenn Sie jetzt noch Fragen haben, dann schreiben Sie uns eine E-Mail an [email protected]. In der Tee-Pisote gefallen, dann hören Sie auch in unserer anderen Tech Talks rein. Und es gibt's überall da, wo es Podcasts gibt.