Meldepflicht für IT- und Cybervorfälle verbindlich geregelt
Südafrikas Finanzaufsichtsbehörden haben verbindliche Meldevorlagen und Übermittlungswege für schwerwiegende IT- und Cybervorfälle festgelegt. Die Vorgaben für Banken, Versicherer und Fondsmanager gelten ab dem 1. September 2026.
Zwei Portale für den gesamten Finanzsektor
Die Prudential Authority und die Financial Sector Conduct Authority (FSCA) haben mit der gemeinsamen Bekanntmachung 2 von 2026 die Meldevorschriften für IT-Störungen finalisiert.
Unterzeichnet von FSCA-Commissioner Unathi Kamlana und PA-Chefin Fundi Tshazibana, regelt der Beschluss Form und Fristen für gravierende Vorfälle.
Banken, Zweigstellen ausländischer Institute und Versicherer müssen Meldungen über das elektronische Umoja-Portal der Notenbank einreichen.
Für Verwalter von Kollektivanlagen, Marktinfrastrukturen, Pensionsfonds und OTC-Derivateanbieter ist das Einreichungsportal der FSCA verpflichtend.
Die Regulierung setzt Vorgaben aus dem Joint Standard 1 von 2023 sowie dem Joint Standard 2 von 2024 operativ um.
Klare Kriterien für schwerwiegende Störungen
Als wesentlicher Vorfall gilt jede Störung von Geschäftsaktivitäten, die gravierende Auswirkungen auf den Betrieb, Kundendienste oder das gesamte Finanzsystem hat oder erwarten lässt.
Die Behörden schaffen damit eine standardisierte Datenbasis zur Erfassung systemischer Risiken.
Neben Banken fallen auch Discretionary FSPs, Ratingagenturen und registrierte Pensionsfonds unter das Melderegime, das ab dem 1. September 2026 nahtlos greift.
Standardisierung mit Reibungsverlusten
Die getrennten Portale spiegeln Südafrikas Twin-Peaks-Aufsicht wider, bergen im Ernstfall jedoch Reibungsverluste.
Für Institute erzwingt die Meldevorlage eine diszipliniertere Vorfallsanalyse.
Der eigentliche Nutzen hängt davon ab, wie schnell die Behörden Cyberrisiken sektorweit aggregieren können.
IN: