Compliance in Resilienz verwandeln: Vertrauen schaffen angesichts strengerer Vorschriften

Mangelnde Transparenz hinsichtlich der Abhängigkeiten. Unternehmen entdecken kritische Verflechtungen oft erst während eines Ausfalls oder Angriffs. 

Tests helfen dabei, blinde Flecken aufzudecken, Annahmen zu validieren und operatives „Muskelgedächtnis“ aufzubauen – so wird Compliance zu echter Vorsorge. 

Sie tragen dazu bei, robuste Architekturen, validierte Referenzdesigns, integrierte Tools und getestete Recovery-Abläufe bereitzustellen, die den regulatorischen Anforderungen entsprechen. 

Funktionsübergreifende Zusammenarbeit, regelmäßige Recovery-Übungen, Automatisierungskompetenzen und aufgabenorientiertes Denken – statt bloßer „Abhakmentalität“. 

Der Ansatz legt den Schwerpunkt auf getestete Wiederherstellbarkeit, Transparenz und Betriebskontinuität – die Kernsäulen einer Regulierung im DORA-Stil. 

Bitte sehen Sie sich hier das Video mit dem zeitgestempelten Transkript an

Ich habe heute ⁓ zwei Führungskräfte von Pure Storage und Kyndryl zu Gast, und ich freue mich sehr, dass ihr hier seid. Ich werde sie gleich selbst vorstellen lassen, aber zunächst möchte ich in das Thema einführen. Ihr seid also hier, weil ihr denkt, wir würden über Vorschriften und Compliance sprechen, darüber, wie man großartige Compliance-Teams aufbaut und wie man die Anforderungen erfüllt. Ganz und gar nicht. Darüber werden wir überhaupt nicht sprechen. Wenn ihr also in den nächsten 20 Sekunden gehen wollt, könnt ihr das gerne tun. Denn worüber wir sprechen werden, ist die Frage, warum diese Vorschriften eigentlich existieren.

Was steckt tatsächlich dahinter? Wovor versuchen wir uns zu schützen? Und wie denken wir darüber? In den Vereinigten Staaten und weltweit gibt es eine wahre Flut an Vorschriften, und sie alle sollen Unternehmen dabei helfen, das Vertrauen der Kunden und der Behörden in die von ihnen eingesetzten Produkte zu gewinnen. Und so viele Menschen in der Branche, in der Tech-Branche und in der Compliance-Welt verfehlen irgendwie den Kern der Sache.

Wenn Kunden Sicherheitsfragebögen verschicken – ja, dann überprüft zwar jemand, ob ihr alle Kästchen angekreuzt habt, aber darum geht es eigentlich gar nicht. Deshalb werde ich diese Leute sich selbst vorstellen lassen. Und wenn sie das tun, werde ich sie bitten, damit zu beginnen, mir eine Horrorgeschichte zu erzählen, die sie in ihren Unternehmen erlebt haben. Erzählt mir noch nicht, wie ihr das Problem gelöst habt, denn wir werden das gemeinsam aufschlüsseln. ⁓ Aber was ist passiert und wir…

Am Ende der Sitzung werdet ihr erkennen, warum und wie ⁓ Compliance der entscheidende Faktor ist: Wenn ihr sie im Hinterkopf behaltet und eure Prozesse unter Berücksichtigung der Compliance gestaltet, könnt ihr einige dieser Horrorgeschichten vermeiden oder zumindest erfolgreich meistern. Übrigens: Falls jemand während des Vortrags Fragen hat, nur zu. Okay? Dann übergebe ich das Wort an euch, damit ihr euch vorstellen könnt. Großartig. Danke, Danielle. Mein Name ist Yuvraj Mehta.

Ich leite den Bereich Strategie für Cyber-Lösungen bei Pure Storage. Ich bin nun seit über 18 Monaten bei Pure Storage. Und ⁓ ich beginne mit der Horrorgeschichte. ⁓ Es war also tatsächlich sechs Monate, nachdem ich bei Pure Storage angefangen hatte, und es betraf einen unserer Kunden aus der Finanzdienstleistungsbranche. ⁓ Man kann sich diesen Kunden als Musterbeispiel für einen Kunden vorstellen, der alle Compliance-Checklisten und dergleichen befolgt ⁓

aber sie wurden Opfer eines Ransomware-Angriffs. ⁓ Und ⁓ im Grunde drangen die Angreifer über einen Zeitraum von Wochen und Monaten ⁓ in ihre Daten ein und begannen, diese zu verschlüsseln. Doch als sie schließlich merkten, dass sie angegriffen worden waren, und im Krisenstab saßen, kam der Moment der Horrorgeschichte buchstäblich in dem Moment, als der Compliance-Beauftragte oder die betreffende Person

sagte: „Wir haben alle Vorschriften eingehalten. Wir haben die Überprüfungen durchgeführt. Wir haben die Überprüfungen durchgeführt.“ Doch der CISO sagte wörtlich: „Das ist alles bedeutungslos. Ich kann die Daten nicht wiederherstellen.“ Genau. Und in diesem Moment wurde im Grunde allen im Raum klar: „Mein Gott, wir stecken in Schwierigkeiten. Wir haben uns nicht darauf vorbereitet, die Daten wiederherzustellen – und zwar auf eine Weise, die sehr, sehr zuverlässig und sehr sicher ist.“

Das ist die Prämisse unserer Horrorgeschichte. Wir sitzen also in einer Krisensitzung mit dem CISO, dem Compliance-Team und dem IT-Team, und alle schauen sich nur an und versuchen herauszufinden: Was zum Teufel sollen wir tun? Beängstigend. Vielen Dank also, dass Sie heute Nachmittag bei uns sind. Mein Name ist Allen Downs. Ich bin bei Kyndryl für einen Bereich unseres Geschäftsfelds „Sicherheit und Ausfallsicherheit“ zuständig, der sich ausschließlich darauf konzentriert,

die Entwicklung von Fähigkeiten, Methoden und Kompetenzen, die es Kunden ermöglichen, sich wieder zu erholen. Der Fokus liegt also stark auf Ereignissen unmittelbar vor dem „Knall“ – wie ein Kunde vorgehen muss, wie er sich vorbereiten muss, wie er Vorfälle angemessen erkennen muss, damit er Vertrauen in seine Wiederherstellungsfähigkeit haben kann, insbesondere im Cyberbereich, denn das verändert

die gesamte Denkweise darüber, wie man damit umgeht, grundlegend verändert. Doch auch heute noch sind viele Probleme und Auswirkungen, an denen wir gemeinsam mit Kunden weltweit arbeiten, auf menschliches Versagen und Naturereignisse zurückzuführen. Diese sind nicht verschwunden, aber wir sind es gewissermaßen gewohnt, uns davon zu erholen. Die neue Dimension liegt wirklich in der Raffinesse und dem Tempo der Veränderungen, die wir im Zusammenhang mit von Menschen verursachten Cyberangriffen beobachten, die darauf abzielen, maximale Ausfälle zu verursachen, und so weiter und so fort.

Als Sie mich nach der Horrorgeschichte gefragt haben, fand ich das interessant, denn ich bin nun schon seit über 30 Jahren bei IBM in diesem Bereich tätig. Ich weiß, ich sehe nicht so alt aus, also stimmt das doch, oder? Und in dieser ganzen Zeit bei IBM und jetzt bei Kyndryl – wir kommen von IBM, wie Chris bereits vor drei Jahren in einer anderen Breakout-Session erwähnt hat, Emilio, vor drei, vier Jahren? – haben wir viele Auswirkungen miterlebt, die unsere Kunden durchgemacht haben. Okay.

Was mir dabei am meisten in Erinnerung geblieben ist, ist ein Treffen im Sitzungssaal einer Tier-1-Bank. Ich werde das Land gar nicht erst erwähnen, aber wir saßen im Sitzungssaal einer Tier-1-Bank, und es ging darum, wie wir Vertrauen in unsere Fähigkeit gewinnen können, den Aufsichtsbehörden umweltfreundliche Daten zu melden. Im Bankensektor. Sie standen also unter Aufsicht. Die Vorschriften wurden immer strenger,

erhielt einen höheren Stellenwert und eine höhere Priorität. Aber in der Diskussion ging es darum, uns zu helfen, zu verstehen, wie wir den „grünen“ Status erreichen können. Okay. Die Diskussion konzentrierte sich also auf die Kennzahlen, richtig? Es ging ausschließlich darum, wie wir den „grünen“ Status erreichen können. Der Vertreter des CIO-Büros, der für Daten und Datensicherung, Compliance sowie Erfolgsraten zuständig ist, kam sehr schnell auf die Erfolgsrate der Datensicherung und die Anzahl der abgeschlossenen

Wiederherstellungen zu sprechen und erklärte sehr selbstbewusst, dass sie die Daten innerhalb von acht Stunden wiederherstellen könnten. Diese acht Stunden fanden ihren Weg in ihren Bericht, in ihre Vorlage an die Aufsichtsbehörde. Diejenigen unter Ihnen, die mit europäischen Vorschriften vertraut sind, wissen, dass die Europäische Zentralbank ein Stresstest-Papier herausgegeben hat und daher alle diese Banken aufgefordert wurden, mit einer offiziellen Stellungnahme zu antworten, die vom Wirtschaftsprüfer –

Ihrem Pendant in dieser Organisation – alles feststehend, richtig? Auftrag erledigt. Die gemeldeten Kennzahlen – okay, basierend darauf, wie sie dies getestet und geprobt hatten. Interessanterweise wurde dann der Chief Risk Officer damit beauftragt, dies zu beweisen. Jemand außerhalb des CISO, jemand außerhalb des CIO-Büros, jemand außerhalb der Infrastruktur, RISO – denken Sie daran: Rechenzentrum, richtig? RISO, die Leute aus der Gebäudeverwaltung.

Der Chief Risk Officer sollte es beweisen. Wir wurden gebeten, den Nachweis zu erbringen. Unter den besten, perfektesten Bedingungen. Tatsächlich dauerte es eher vier bis fünf Wochen. Es ging um einen ihrer kritischen Geschäftsprozesse. Das wahrscheinlichste Ergebnis: Sie konnten es nicht. Das ist einer dieser Momente, in denen man denkt: Ich habe mein Konto bei diesem Kunden, meine Hypothek läuft bei diesem Kunden. Diese Leute, wissen Sie, haben meine Ersparnisse, okay?

Und das ist wahrscheinlich einer der eindrucksvollsten Momente, in denen man da sitzt und denkt: Meine Güte, diese Branche ist nicht vorbereitet. Übrigens: ein konservatives Unternehmen, das historisch gesehen sehr stolz auf seine Bilanz in Sachen Compliance und die Einhaltung von Vorschriften war. Es gab kein Fehlverhalten oder Irreführung, ein echtes Ergebnis, einen bewährten, alternativen Ansatz, um die Sache zu untersuchen – alles erwies sich als unrealistisch. Aber wenn man über die Auswirkungen nachdenkt, ist das wirklich erschreckend.

Ich habe noch viele weitere Horrorgeschichten, aber ich glaube, das war die, die mir wahrscheinlich am meisten in Erinnerung geblieben ist. Das ist mein Zuhause. Wow. Also habe ich mein Sparkonto zu ihnen verlegt. Ich habe meine Hypothek dort belassen. Ich habe deine Hypothek dort belassen. ⁓ Entschuldigung. Nein, aber der Punkt ist: Ich finde, du hast das so perfekt veranschaulicht. Da kommt ein Compliance-Mitarbeiter – ich weiß nicht, ob das tatsächlich passiert ist –, der hereinkommt und sagt: „Wir halten die Vorschriften ein.“ Und er meint: „Na und?“ Man kann die Daten nicht wiederherstellen

und eure Systeme sind ausgefallen und werden nicht innerhalb des Zeitraums wieder online sein, den ihr auf ein Blatt Papier geschrieben habt. Wie können wir das greifbar machen? Also werden wir ⁓ diese Geschichten aufschlüsseln, und ich möchte sie auf drei Arten beleuchten. Lasst uns sie in drei verschiedene Kategorien einteilen. Was steckt wirklich hinter Compliance? Kategorie eins: Transparenz. Kategorie zwei: Vertrauen und Kontrolle. Kategorie drei: Kompetenzen.

Sprechen wir also über Transparenz. Wer möchte den Anfang machen? Ich kann den Anfang machen. Ja. Ich denke, eines der Dinge, die man im Auge behalten muss, wenn man es mit einer komplexen Infrastruktur zu tun hat – die durch KI jetzt noch komplexer geworden ist –, ist, dass man keine Ausfallsicherheit für Dinge aufbauen kann, die man nicht sieht. Transparenz ist also der erste Schritt, der Ausgangspunkt. Und der Schlüssel

, den wir bei Pure zumindest unseren Kunden und Partnern immer wieder gesagt haben, lautet: Einer der ersten Schritte zur Transparenz ist die Vereinfachung. Vereinfachen Sie Ihre gesamte Infrastruktur und Ihre gesamten Tools. Wenn Sie Datensätze haben, wenn Ihr Netzwerk über Silos verteilt ist, dann haben Sie auch mehrere Tools, die

ebenfalls auf diese Silos zugeschnitten sind. Um also einen zusammenhängenden und umfassenden Überblick über Ihre Datensätze zu erhalten, muss man mit der Konsolidierung beginnen, mit der Vereinfachung. Also vereinfachen Sie. Das ist das Wichtigste, denn dadurch entsteht Vertrauen, dass das, was ich sehe, auch tatsächlich dem entspricht, was ich bekomme. ⁓ Das ist der erste Schritt. Der zweite Schritt in Bezug auf Transparenz ist die Automatisierung.

Sie benötigen Automatisierung über Ihren gesamten Stack hinweg ⁓, damit Sie diese gesamte Infrastruktur aufbauen können, die Ihre verschiedenen Tools miteinander integriert. Sie benötigen also Tools und eine Infrastruktur mit robusten APIs, die eine durchgängige Integration ermöglichen. Als Letztes – ich habe es bereits erwähnt – die Integration. Sie möchten, dass sich Ihre Speicher- oder Recheninfrastruktur

mit Ihren Cybersicherheits-Tools zu integrieren, richtig? ⁓ Mit Anbietern wie Commvault. Aber dann möchten Sie, dass dies auch mit Anbietern wie Kyndryl integrierbar ist – mit den Dashboards und den Funktionen, die Kyndryl und Ihr Dienstleister bereitstellen. Über diesen gesamten Stack hinweg erfordert diese Transparenz erstens Einfachheit, zweitens APIs und drittens eine sehr robuste Integration über diese drei Stacks hinweg.

Also, Allen, ich möchte dem noch Transparenz und Kontrolle hinzufügen, denn in Ihrem Beispiel, der Bank, bezweifle ich stark, dass diese Bank ihre gesamte Technologie, die zu dieser Situation geführt hat, selbst entwickelt hat. Wie gehen Sie also mit der Lieferkette um – mit Kontrolle und Vertrauen –, zusätzlich zu dem wahrscheinlich fehlenden Einblick, den dieses Team hatte, und zu dem, was vor sich ging? Lassen wir das für einen Moment beiseite.

Ich bin fest davon überzeugt – aufgrund meiner Zusammenarbeit mit zahlreichen Kunden auf der ganzen Welt –, dass die größte Herausforderung und Schwachstelle, mit der sie heute konfrontiert sind, das Bewusstsein und die Transparenz sind. Ja. Ich glaube wirklich, dass dies eine zentrale Herausforderung für sie ist. Und es beginnt damit, dass ein Kunde wirklich versteht, wie hoch seine maximale Ausfalltoleranz ist. Sehen Sie, es gibt viele Kennzahlen rund um Backups und RTOs. Die Welt hat sich verändert, nicht wahr?

Es geht jetzt wirklich darum, sicherzustellen, dass im gesamten Unternehmen ein Bewusstsein für diese maximale Ausfalltoleranz vorhanden ist, und dafür zu sorgen, dass ein Verständnis für die Abhängigkeiten innerhalb des Unternehmens besteht. Wir sprechen alle vom „Minimum Viable Company“, nicht wahr? Die meisten Unternehmen werden sagen: „Ich kenne mein Minimum Viable Company.“ Wir helfen ihnen dabei, das zu überprüfen, nicht wahr? Aber dann geht es darum, die Auswirkungen zu verstehen.

Die Auswirkungen eines Ausfalls dieses „Minimum Viable Company“ sind etwas, womit Kunden zu kämpfen beginnen – sei es in Bezug auf finanzielle Folgen, Reputationsrisiken, Verstöße gegen Vorschriften und ganz zu schweigen vom Vertrauensfaktor gegenüber ihren Nutzern und so weiter und so fort. Ich habe also den Eindruck, dass es an Bewusstsein mangelt, wenn es darum geht: Erstens, was sind meine kritischen Geschäftsprozesse? Was sind die kritischen Geschäftsdienste, die diese Prozesse unterstützen? Wie sehen die Abhängigkeiten im gesamten Unternehmen aus

, die diese kritischen Geschäftsdienste stützen? Bewusstsein. Wie sehen die Abhängigkeiten auf der Organisationsebene aus? Wir haben ja bereits von Zuständigkeiten gesprochen, nicht wahr? Wie sehen die Abhängigkeiten auf der Anwendungsebene oder einer Gruppe von Anwendungsebenen aus? Wie sehen die Abhängigkeiten auf der Datenebene aus? Kenne ich die Abhängigkeit eines kritischen Geschäftsservers von meinen Daten? Wo befindet er sich? Wo existiert er? Vielleicht in AWS. Okay, wo genau? Was sind die Single Points of Failure? Was sind die damit verbundenen Risiken? Für mich muss sich dieses Bewusstsein also

sich durch jede einzelne Schicht des Unternehmens ziehen. An alle: Lasst uns kurz innehalten. Wie viele von euch hier im Raum, wie viele eurer Unternehmen haben auf einer Liste festgehalten oder zumindest in einer Vorstandssitzung darüber gesprochen: „Hier sind die fünf Systeme im Unternehmen, die nicht ausfallen dürfen, sonst sind wir offline?“ Wie viele von euch wissen, welche Systeme das sind? Könnt ihr sie benennen? Alle von euch? Keiner von euch?

Okay, also nicht viele. Ihr seid übrigens in guter Gesellschaft. ⁓ Hätte sich jemand von euch getraut zu sagen: „Nein, keine Sorge, ich hätte euch nicht in Verlegenheit gebracht und gefragt“, denn die nächste Frage wäre gewesen: „Wisst ihr, was die Ausweichlösung ist, falls sie ausfallen? Wie stellt ihr den Ausfall sicher?“ Das ist so eine großartige Frage, und niemand weiß, wie man sie überhaupt beantworten soll. Aber ohne diese Antwort habt ihr keinen Überblick. Ihr beantwortet sie erst im Moment einer Krise.

Ja. Und oft entdecken Kunden die Abhängigkeit erst im Moment einer Krise oder eines Ereignisses, und dann ist es bereits zu spät. Daher der große Einzelhändler in Großbritannien, richtig? Ein Einzelhändler in Großbritannien. Ich meine, wie lange sind wir jetzt schon dabei? Fünf Monate? Wenn Derek hier wäre, wüsste er es ganz genau, aber seit fünf Monaten sind sie nicht mehr im Geschäft. Okay. Interessante Geschichte. Eine große Tier-1-Bank war überrascht, als sie nach einem der Ausfälle bei den Hyperscalern in der vergangenen Woche einen ihrer kritischen Geschäftsdienste verlor

nach einem der Ausfälle bei den Hyperscalern vor ein paar Wochen verlor. Sie wussten es nicht einmal, weil es über die Lieferkette eines Drittanbieters lief. Ihnen war nicht bewusst, dass einer der kritischen Geschäftsdienste von einem Rechenzentrum in Virginia abhängig war. Okay. Sie hatten eine Störung, die auf menschliches Versagen zurückzuführen war. Das ist nicht einmal ein Cyberangriff. Ich weiß, ich rede viel darüber und werde dabei ziemlich leidenschaftlich, aber ich arbeite mit so vielen Kunden zusammen, die die Antwort auf diese Frage nicht kennen. Tolle Frage

, die du gerade gestellt hast. Deshalb ist meiner Meinung nach das Bewusstsein entscheidend. Das zu verstehen, die gegenseitigen Abhängigkeiten zu begreifen und dann zu erkennen, wie hoch die maximale Toleranzgrenze ist – das wird zu deinem KPI, um den herum du den Prozess gestaltest, die Kompetenzen förderst und die Lösung mit den richtigen Kontrollmechanismen implementierst, um dieses Risk bewältigen zu können. Ja. Keine Antwort für dich. Nein, das ist fantastisch. Okay. Reden wir also über die dritte Ebene, nämlich die Kompetenzen.

Das ist wirklich wichtig, denn wir hoffen, dass die Teilnehmer diese Konferenz verlassen – und wenn du überhaupt im Compliance-Bereich tätig bist – und sagen: „Okay, ich weiß, was ich tun muss.“ Ich muss herausfinden, welche Systeme geschäftskritisch sind. Und das sind nicht viele, höchstens ein halbes Dutzend. Und ich muss sicherstellen, dass ich das verstehe. Und dann muss ich herausfinden, wer für den Failover-Plan verantwortlich ist. Welche Kompetenzen sind erforderlich, um das erfolgreich zu bewältigen? Also, Danielle, ich möchte darauf antworten,

aber ich möchte noch etwas zu dem hinzufügen, was Allen gesagt hat, insbesondere in Bezug auf Kontrolle und Vertrauen, richtig? ⁓ Die große Herausforderung – die Herausforderungen, die Allen dargelegt hat –, die sehen wir doch überall, oder? Vor allem, was das Bewusstsein angeht, aber man kann kein Vertrauen aufbauen, wenn man nicht überprüfen kann, oder? Das alte Sprichwort, nicht wahr? Vertrauen ist gut, Kontrolle ist besser. ⁓ Und wie baut man diese Kompetenzen auf? Indem man

sicherstellt, dass die Systeme, in die man Einblick hat, und die Abhängigkeiten, die man identifiziert hat – genau wie Allen erwähnt hat –, dass man einen Prozess hat, um diese Pläne kontinuierlich zu überprüfen. Es geht darum, dieses „muskuläre Gedächtnis“ aufzubauen. Ich komme noch einmal auf die Horrorgeschichte von vorhin zurück:

Diese Bank hatte kein „muskuläres Gedächtnis“ in Bezug auf die Wiederherstellbarkeit aufgebaut. Das führt also zurück zu Ihrer Organisation, nicht wahr? Und Ihre Mitarbeiter müssen dieses „muskuläre Gedächtnis“ in Bezug auf die Wiederherstellbarkeit entwickeln. Sie brauchen es – und wie erreicht man das? Es ist genauso, als würde man ins Fitnessstudio gehen, um Muskeln aufzubauen: Man muss jeden Tag hingehen oder einen konsequenten Ablauf dafür haben. Diese Prozesse müssen also Teil

des täglichen oder monatlichen Betriebs Ihrer Organisation werden: „Wir haben diese Systeme, wir haben sie identifiziert, wir können sehen, wo sie sind“, aber wir müssen alle unsere Vorgehensanleitungen durchgehen. Wir müssen dieses „muskuläre Gedächtnis“ bei unseren IT-Mitarbeitern und unserem CISO-Team verankern, damit sie wissen, wie sie reagieren müssen, wenn etwas passiert. Und es darf nicht so sein,

dass wir, wenn etwas passiert, Leute einfliegen lassen, die uns dann helfen, denn das ist ein Rezept für eine Katastrophe, weil das einfach zu lange dauert. Es ist so, weißt du, man kann keinen Kuchen backen, nur weil zehn Leute da sitzen – ⁓ also sind die Fähigkeiten, die man braucht, tatsächlich diejenigen, die im Laufe der Zeit in der Organisation aufgebaut wurden. Man muss einen Plan haben, wie man das angeht, aber er muss auf dem Fundament der

Transparenz beruhen: Ich weiß, was ich tue, ich kenne die Abhängigkeiten, und dann: Hey, was stelle ich wieder her? Was sind diese geschäftskritischen Anwendungen, die ich unbedingt wiederherstellen muss? Und dann erarbeitet man diese Pläne auf einheitliche Weise.

Da stimme ich zu. Auf der Ebene der Kompetenzen ist es interessant – ich betrachte das in zwei Dimensionen. Da sind zum einen die technischen Kompetenzen: Wer weiß, wie man die Erkundung durchführt und die Abhängigkeiten aufdeckt? Aber wissen Sie, worauf ich den Schwerpunkt bei den Kompetenzen lege – und wenn ich über die Kompetenzen in unserer Organisation nachdenke –, dann hat das mehr mit einer Denkweise und einer Kultur zu tun. In Ordnung. Es hat mehr mit dieser Denkweise und dieser Kultur zu tun. Und genau dieser Wandel muss stattfinden. Richtig. Also, ich habe gehört …

Chris Lovejoy in der anderen Sitzung etwas sagen hören, das ich mir notiert habe und das mir gefällt. Wir leben in einer Welt der Kennzahlen, und eines der Probleme bei Vorschriften ist, dass man oft dazu neigt, zu sagen: „Zeig mir deine Erfolgsraten und zeig mir, dass du deine KPIs einhältst“, und so weiter und so fort. Der Fokus liegt also auf den vorgegebenen Kennzahlen. Chris erwähnte, dass Kennzahlen zu einer Mission werden müssen, richtig?

Und das finde ich großartig, denn dabei geht es darum, die Kompetenzen zu betrachten, auf die wir angewiesen sind, um diese kritischen Unternehmensdienste zu betreiben und das Vertrauen in unsere Organisationen zu sichern – genau diese Kompetenzen stehen im Blick. Und es bedeutet, dass ein Wandel stattfinden muss. Es braucht eine andere Denkweise in Bezug darauf, wem wir vertrauen, wie wir vertrauen, wie wir Vertrauen schaffen und wie wir Dinge überprüfen.

Und ich liebe diesen Satz: „Vertrauen, aber überprüfen“ – „If I verify, right?“ Ich weiß, dass es diesen Satz schon lange gibt, aber er ist heute relevanter denn je zuvor, denn diese Kompetenzen gehen über reine Kennzahlen, technisches Wissen, Fähigkeiten, Zertifizierungen usw. hinaus. Wir neigen dazu, auf dieser Grundlage einzustellen, aber ein wichtiger Aspekt dabei ist die kulturelle Denkweise und Einstellung. Okay. Das sollte nicht als Kennzahl betrachtet werden, sondern muss eine Mission sein.

Das Gute an einer Mission ist: Man ist motiviert, sie zu erreichen. Der Erfolg, der sich daraus ergibt – versteht ihr, was ich meine? Entschuldigung, ich möchte noch etwas hinzufügen. Um auf Allens Punkt zurückzukommen: Die Mission kann nicht lauten: „Wir müssen diese Vorschrift einhalten“ oder „diese Compliance-Anforderungen erfüllen“. Es muss ein Ergebnis sein. Und was ist das Ergebnis? Versteht ihr? Es gibt DORA in der EU, ähnliche Vorschriften in Indien, ⁓

in Australien, hier gibt es Vorschriften im Gesundheitswesen. Das Ergebnis, das sie alle anstreben, ist Ausfallsicherheit und Wiederherstellbarkeit. Wenn man also in sein Unternehmen geht und eine Mission rund um dieses Thema aufbauen will, kann es nicht heißen: „Hey, ⁓ wir müssen eine Mission rund um die Einhaltung von DORA oder NIST aufbauen.“

Das funktioniert nicht, denn dann ist das sehr isoliert. Das wird dann vielleicht zur Mission Ihrer Compliance-Abteilung oder Ihrer Risk-Abteilung. Außerdem ist es langweilig. Ja, es ist langweilig, oder? Es läuft so ab: „Hey, wie viele Kennzahlen muss ich abhaken? Wie viele Berichte muss ich für meine Aufsichtsbehörde erstellen?“ Es muss vielmehr so lauten: „Unsere Mission ist es, widerstandsfähig zu sein und uns schnell zu erholen, wenn etwas Schlimmes passiert.“ Das ist alles. Ich glaube, vor vier oder fünf Jahren

lautete das Schlagwort in der IT-Abteilung „Effizienz“. Wie werden wir immer effizienter, richtig? Indem wir Kosten senken usw. Das ist heute nicht mehr der Fall, oder? Es muss anders sein – und es ist nicht einmal mehr ein Schlagwort. Es muss fest verankert sein. Wie werden wir widerstandsfähiger? Richtig? Und das sollte die Mission sein. Nicht etwa, dass ich eine bestimmte Vorschrift einhalten muss. Ihr beide seid ⁓

bei diesem wirklich wichtigen Thema zu dem Schluss, dass sich die Compliance-Kultur verändert und wahrscheinlich noch schneller verändern muss. Wir müssen – wisst ihr – die technischen Fähigkeiten sind zwar grundlegend, aber wir müssen das aus dem rein technischen Bereich herausholen und es in etwas übersetzen, das den Menschen wichtig ist, etwas, für das sich die Leute in einen Raum setzen und zuhören wollen. Also ⁓ ich denke, der beste Weg, die Kultur zu verändern, ist, bei uns selbst anzufangen. Deshalb werde ich noch eine letzte Frage stellen und dann die Diskussion eröffnen. Wir haben nur noch ein paar Minuten Zeit.

Was ist eine Lektion, die du in deiner Karriere in diesem Bereich auf die harte Tour gelernt hast? Und wie können andere daraus lernen?

Das ist eine gute Frage. Ich denke, die … Denn wenn man vor einem Vorstand steht, ist es – wie du schon gesagt hast – langweilig zu erklären, dass wir die DORA-Vorschriften einhalten müssen. Ich war schon einmal in einer Situation, in der das passiert ist, und ich möchte nicht, dass es noch einmal passiert. Das habe ich daraus gelernt, und das werden wir dagegen unternehmen. Ich glaube, die wichtigste Lektion, die ich auf die harte Tour gelernt habe, ist: Wenn man die Silos innerhalb der Organisation nicht aufbricht und …

zwischen den Teams, also den Kernteams, von denen man weiß, dass man sie braucht, wenn etwas Schlimmes passiert. Und wenn man nicht im Voraus Maßnahmen ergreift, um diese Silos aufzubrechen, wird die Wiederherstellbarkeit viel schwieriger. Und diese Silos sind nicht nur die Silos zwischen den Menschen, richtig? Es sind Silos, die sich auch über den gesamten Technologie-Stack und den Daten-Stack erstrecken, nicht wahr? Wenn man nicht im Voraus proaktiv handelt, um die Silos zu identifizieren,

und damit beginnt, sie so abzubauen, dass – wenn tatsächlich etwas Schlimmes passiert – diese Silos nicht mehr existieren und alle zusammenarbeiten – von den Menschen bis zur Technologie –, um diese Wiederherstellbarkeit zu erreichen. Dann werden Sie in einer sehr schlechten Lage sein, wenn diese Situation eintritt. Das ist eine wirklich interessante Frage. Und wissen Sie, eines der Dinge, die mir im Laufe der Jahre besonders aufgefallen sind, ist die Bedeutung von Vertrauen.

Die Bedeutung des Vertrauens in die eigene Organisation, die Bedeutung, Vertrauen bei den Kunden aufzubauen, Vertrauen auf dem Markt, Vertrauen bei den Aufsichtsbehörden – was auch immer, nicht wahr? Vertrauen ist wahrscheinlich einer der wichtigsten geschäftlichen Faktoren. Mit Vertrauen wächst man. Übrigens: Wenn man das richtige Maß an Vertrauen hat, konkurriert man nicht über den Preis, sondern über den Ruf.

Woher kommt Vertrauen? Vertrauen entsteht – und das haben wir bereits gesagt, und danke, dass du es angesprochen hast, denn es hat mich zum Nachdenken gebracht –, dass das wahre Wesen des Vertrauens darin besteht, dass man es überprüfen kann. Man kann es überprüfen. Es ist unverantwortlich, zu vertrauen, ohne die Möglichkeit zur Überprüfung zu haben. Viele, viele Organisationen sind daran gescheitert. Deshalb betrachte ich das so: Wie kann man überprüfen? Man überprüft, und Compliance ist in gewisser Weise wie eine Richtlinie. Das ist es nicht wirklich –

ohne die Compliance damit herabsetzen zu wollen – sie ist fantastisch, wo sie angebracht ist. Es ist eine Richtlinie, aber die Fähigkeit einer Organisation zur Überprüfung wird unterschiedlich sein. Okay. Deshalb ist das Bewusstsein so wichtig. Transparenz ist so wichtig, oder? Die Fähigkeit zur Überprüfung hängt davon ab, dass man über die richtigen Kontrollmechanismen verfügt, um überprüfen zu können. Ich sage es ganz offen. Vielleicht verrate ich hier mein Alter: Hey, testen, testen, testen – angemessen testen. Und was ich mit „angemessen testen“ meine:

Baut die Silos ab, über die wir zuvor gesprochen haben. Testet nicht das Silo. Testet, was für den Kunden des Kunden wichtig ist. Testet, was für den Vorstand wichtig ist. Deshalb tun wir … Ja, und das sollte ich wirklich tun. Ihr wünscht euch das wahrscheinlich von mir. Aber der springende Punkt ist, dass die Fähigkeit zu testen in einer Weise erfolgen muss, die den Erfolgskriterien der Organisation angemessen ist. Deshalb beginnt die Konzentration auf das „Minimum Viable“ und auf kritische Geschäftsdienste genau dort.

Und übrigens: Man muss wissen, welche Auswirkungen das hat, was man testet. Der Zahlungsverkehr kostet in bestimmten Fällen Milliarden Dollar pro Tag, oder? Das ist keine Übertreibung, Clearingstellen, oder? Et cetera. Das ist das Risiko, von dem wir hier sprechen. Daher war die Erkenntnis, die ich daraus gewonnen habe, wohl die Notwendigkeit, vertrauen zu können. Man kann vertrauen, muss aber überprüfen. Um zu überprüfen, braucht man die entsprechenden Kontrollmechanismen. Man muss in der Lage sein, Tests durchzuführen.

Und dann braucht man aus kultureller Sicht die entsprechenden Kompetenzen. Ich glaube fest an diese drei Kategorien, die Sie zuvor erwähnt haben. Transparenz ist entscheidend, Kontrollmechanismen sind unerlässlich. Die entsprechenden Kompetenzen zu besitzen, ist für Unternehmen absolut vorrangig, um in diesem Bereich erfolgreich und ausgereift zu sein. Ich würde sagen, es hängt von Ihrem Unternehmen ab, davon, wo Sie stehen. Richtig. Es gibt kein Patentrezept. Was Commvault, Pure und Kyndryl getan haben

ist, dass wir ein Werkzeug, einen Mechanismus bereitgestellt haben, den Unternehmen sich ansehen, nachahmen und bei Bedarf auch übernehmen können, richtig? Wir setzen neue Maßstäbe dafür, wie Unternehmen und Kunden diese Vorschriften erfüllen können – und zwar so, dass wir die technische Lücke, die Kompetenzlücke und die Vertrauenslücke schließen, richtig? Das ist unser Ansatz, und wir haben einen Standard gesetzt.

Wird das den Bedürfnissen eines Unternehmens entsprechen? Das hängt vom jeweiligen Unternehmen ab. Wer nach einer Wunderwaffe sucht, geht das Thema Resilienz und Wiederherstellbarkeit wahrscheinlich von vornherein nicht richtig an. Aber was wir getan haben, ist, ein Beispiel zu liefern, richtig? Das heißt: Hey, okay, das ist ein Ansatz, den wir verifiziert haben. Wir haben Tests auf technischer Ebene und auf der Ebene der Fachkompetenzen durchgeführt

und sind nun so überzeugt, dass wir unseren Kunden und Partnern mit gutem Gewissen sagen können: „Ihr könnt diesen Ansatz übernehmen, und er wird euch helfen, euch wiederherzustellen, wann immer ein Ransomware-Angriff stattfindet.“ Das ist also das, was wir getan haben. Wenn es den Anforderungen eines Unternehmens entspricht, ist das ein großartiger Anfang, und wir würden uns freuen, auch mit diesem Unternehmen zusammenzuarbeiten.

Und um das noch weiter auszuführen: Ich finde, das wirklich Faszinierende an dem, was wir mit Commvault, Pure Storage und Kyndryl erreicht haben, ist, dass unser Ausgangspunkt die Perspektive des Kunden war. ⁓ Was versuchen wir für den Kunden zu lösen? Und wir haben uns zufällig eine Verordnung ausgesucht, nämlich DORA. Also haben wir drei uns zusammengesetzt – ich meine, Emilio, du warst doch auch dabei, oder? Stunden, Tage, Monate. Wir haben daran gearbeitet, die Kompetenzen

über alle Kompetenzen, Technologien, Speicherlösungen und den Kontroll-Stack hinweg, den Commvault mitbringt, zu bündeln. Und wir haben eine Lösung für die damalige DORA-Vorschrift gefunden. Wie sich herausstellt, findet sich DORA in jeder Region der Welt wieder, was die gemeinsamen Themen betrifft, die wir beobachten. Was wir also gemeinsam entwickelt haben, basiert sehr stark auf einem Kundenbedarf und schafft ein Ergebnis für den Kunden, das wir ihm anbieten können.

Es zeichnet sich durch eine sehr hohe Geschwindigkeit und Leistungsfähigkeit aus, die viele dieser Kundenanforderungen erfüllt. Ja. Ob reguliert oder nicht reguliert. Und ich denke, kulturell gesehen hat die Zusammenarbeit der drei Organisationen außergewöhnlich gut funktioniert, denn bei der Zusammenarbeit der drei Organisationen ging es nicht so sehr um die Technologie oder die Features – bei allem Respekt –, sondern wirklich um die Beziehung. Das ist das Ergebnis. Das ist das Ergebnis, das auch wir anstreben. Ja. Das ist ein perfekter Abschluss, denn –

Was ich im Namen von Commvault sagen wollte, ist: Vielen Dank an euch beide. Vielen Dank an Pure und an Kyndryl. Ihr seid wirklich wichtige Partner für uns. Wir haben sehr hart daran gearbeitet, gemeinsam Beziehungen und Vertrauen aufzubauen. Das bedeutet nicht, dass wir perfekt sind. Es bedeutet nicht, dass unsere Lösung perfekt ist, aber es bedeutet, dass wir viel Know-how in die Beziehung und die Partnerschaft einbringen, die wir gemeinsam für unsere Kunden gestalten. Und wir sind euch beiden sehr dankbar. Also, ich danke Ihnen. Ich danke Ihnen. Vielen Dank für die Einladung. Ich danke Ihnen. Vielen Dank für die Einladung.