Sean Inggs von Leeward zu den Cyberrisikolücken, die Fonds-Vorstände übersehen

Cyberangriffe auf Finanzunternehmen machen selten wegen cleverem Code Schlagzeilen. Sie machen Schlagzeilen wegen dessen, was kaputtging und wer für die Überwachung verantwortlich war. Für Investmentfonds ist diese Frage der Verantwortung trüber, als die meisten Vorstände annehmen, und es ist eine Lücke, die Leeward, das auf den Kaimaninseln ansässige Unternehmen für Governance und unabhängige Direktoren, als überfällig für Aufmerksamkeit ansieht.

„Vorstände sagen sich, dass die Cybersicherheit abgedeckt ist, weil der Fonds keine eigenen Systeme betreibt“, sagte Sean Inggs, ein unabhängiger Direktor bei Leeward. „Aber das Geld des Fonds und die Daten der Anleger fließen dennoch täglich über einen Manager und einen Administrator. Das ist die Angriffsfläche, und der Vorstand trägt die Aufsicht darüber, unabhängig davon, ob die Regulierung den Fonds direkt benennt oder nicht.“

Wo die Regulierung reicht und wo sie aufhört

Die Cayman Islands Monetary Authority hat seit einigen Jahren ein verbindliches Cybersicherheitsregime durch ihre Richtlinie und Leitlinien zur Cybersicherheit für regulierte Einrichtungen im Einsatz. Die Richtlinie legt die ultimative Verantwortung für das Management von Cyberrisiken bei der leitenden Körperschaft einer Einrichtung fest, erfordert einen dokumentierten Rahmen zur Identifizierung, Überwachung und Wiederherstellung nach Vorfällen, fordert regelmäßige unabhängige Überprüfungen und verpflichtet einschlägige Einrichtungen, wesentliche Vorfälle innerhalb von 72 Stunden der CIMA zu melden.

Die Einzelheit, die viele Direktoren überrascht, betrifft den Anwendungsbereich. Die Richtlinie gilt für Investmentmanager und die meisten anderen von der CIMA regulierten Einrichtungen, jedoch nicht direkt für Mutual Funds und Private Funds selbst. Laut Leeward ist genau diese Unterscheidung der Grund, warum Fonds-Vorstände dies nicht als das Problem eines anderen lesen können.

„Der Manager, der in den Anwendungsbereich fällt, ist derselbe Manager, der Ihre Zeichnungen und Rückzahlungen abwickelt“, sagte Inggs. „Das Risiko erreicht also den Fonds, auch wenn die Regel dies nicht tut. Ein Direktor, der beim Satz ‚der Fonds fällt nicht in den Anwendungsbereich‘ aufhört zu lesen, hat eine Zeile zu früh aufgehört zu lesen.“

Von Fragebögen zu echter Aufsicht

Leewards Position ist, dass die meisten Fonds bereits die richtigen Dokumente sammeln und diese zu wenig hinterfragen. Der Audit-Bericht eines Dienstleisters oder der jährliche Sicherheitsfragebogen bestätigt, dass ein Prozess existiert. Er bestätigt jedoch nicht, dass der Fonds die Woche überstehen würde, wenn dieser Dienstleister offline geschaltet würde.

Das Unternehmen ermutigt Vorstände, von Papierkram zu operativen Tests überzugehen. Das bedeutet, zu verstehen, welche Anbieter tatsächlich kritisch für die Kontinuität des Fonds sind, den Wiederherstellungsplan zu kennen, falls einer von ihnen ausfällt, und zu bestätigen, dass das Incident-Response-Verfahren tatsächlich geübt wurde und nicht nur dokumentiert ist. Es bedeutet auch Klarheit in der Benachrichtigungskette, damit der Vorstand von einem Sicherheitsvorfall so schnell erfährt, dass es von Bedeutung ist, insbesondere angesichts der 72-Stunden-Meldepflicht, die für die Einrichtungen rund um den Fonds gilt.

„Resilienz ist eine Frage der Kontinuität, und Kontinuität ist die Aufgabe des Vorstands“, sagte Inggs. „Sie müssen keine Firewall auditieren. Sie müssen wissen, was am ersten Morgen eines Vorfalls passiert, und Sie müssen es wissen, bevor dieser Morgen kommt.“

Offenlegungen erhöhen den Einsatz

Der Druck wächst auch von der Offenlegungsseite. Als die Kaimaninseln ihren Fondsrahmen Anfang 2026 aktualisierten, wurden Anforderungen eingeführt, dass Angebotsdokumente technologiespezifische Risiken, einschließlich Cybersicherheit, darlegen und erklären müssen, wie diese Risiken gemildert werden. Anleger werden diese Aussagen lesen und testen.

Leeward erwartet, dass operative Resilienz zu einem routinemäßigen Bestandteil der institutionellen Due Diligence wird, anstatt ein Nischenthema zu bleiben. Fonds, die nachweisen können, dass sich der Vorstand ernsthaft mit der Frage auseinandergesetzt hat, werden es nach Ansicht des Unternehmens leichter haben, institutionelles Kapital zu gewinnen und zu halten, als solche, die Cyberrisiken als technische Fußnote behandeln.

„Die Fonds, die dies richtig machen, sind nicht die mit den längsten Richtlinien“, sagte Inggs. „Es sind die, bei denen der Vorstand Ihnen in verständlicher Sprache erklären kann, wie der Fonds an einem schlechten Tag weiterläuft.“

Leeward bietet unabhängige Direktoren- und Governance-Dienstleistungen von den Kaimaninseln aus an. Sean Inggs ist unabhängiger Direktor bei Leeward und registrierter professioneller Direktor gemäß dem Cayman Islands Directors Registration and Licensing Act mit mehr als 20 Jahren internationaler rechtlicher und Governance-Erfahrung in den Bereichen Hedgefonds, Private Equity, Family-Office-Strukturen und Blockchain-Unternehmen. Erfahren Sie mehr unter leeward.ky.