It Sicherheit Banken

Die Erwartungshaltung der Bankenaufsichtsbehörden an die Kontrolle und Kontrolle des IT-Betriebs - einschließlich des erforderlichen Genehmigungsmanagements, der Erfordernisse des IT-Projektmanagements und der Applikationsentwicklung - ist nun ebenfalls ersichtlich. In der Gesamtbetrachtung geht BAIT auf die Themen ein, die die Aufsichtsbehörden aufgrund der Resultate der IT-Prüfungspraxis als besonders bedeutsam erachten.

Darin wird festgelegt, was die Aufsichtsbehörde unter angemessener technischer und organisatorischer Ausrüstung der IT-Systeme zu verstehen hat, unter spezieller Beachtung der Erfordernisse der Informationssicherheit und eines geeigneten Notfallkonzeptes. Weil die Institutionen zunehmend IT-Dienstleistungen von Dritten sowohl durch Outsourcing von IT-Dienstleistungen als auch durch andere externe Beschaffung beschaffen, nimmt das BAIT auch 25b KG in diese Deutung auf.

Die Bezugnahme auf bestimmte Textgrößen in den MaRisk stellt einen Hinweis auf die allgemeinen bankaufsichtsrechtlichen Vorgaben zur Risikosteuerung sicher. Im Besonderen befasst sich mit Fragen, bei denen die Aufsichtsbehörden in den letzten Jahren erhebliche Defizite bei IT-Audits festgestellt haben (siehe Abbildung 1: Ermittelte IT-Mängel). Mit Hilfe von Business Intelligence (BAIT) sollen die Institutionen bei der Sicherstellung einer ordnungsgemäßen IT-Organisation unterstützt werden.

Allerdings sollten die grundsätzlichen Forderungen von BAIT nicht als kompletter Forderungskatalog betrachtet werden. Insofern sind die Banken gemäß AT 7.2 MaRisk weiterhin verpflichtet, bei der Implementierung der BAIT-Vorgaben die aktuellen Normen einzuhalten. Außerdem ist es ein offensichtliches Merkmal von BAIT, dass der doppelte Proportionalitätsgrundsatz ohne Einschränkung zur Anwendung kommt. Darin heißt es, dass sowohl die Führungsinstrumente einer Hausbank als auch die Überwachungsintensität durch die Bankenaufsichtsbehörden im Verhältnis zu den Bankrisiken stehen sollten.

Eine zentrale Zielsetzung von BAIT ist es, das IT-Risikobewusstsein in den Institutionen und vor allem auf Managementebene zu erhöhen. Die Notwendigkeit, auf allen Stufen des Hauses Transparenz zu schaffen und mit IT-Risiken umzugehen, durchläuft alle acht BAIT-Themenmodule und ist fester Teil der individuellen IT-Anforderungen (siehe Abbildung 2: Erhöhung des Risikobewusstseins der IT durch BAIT).

Dazu gehört neben der Aufbau- und Ablauforganisation der IT und dem Outsourcing von IT-Dienstleistungen zum Beispiel auch die gezielte Abwicklung der Individualdatenverarbeitung (IDV) in den Fachgebieten. Die Definition der IT-Strategie und die daraus abgeleiteten Massnahmen zur Umsetzung der intern zu veröffentlichenden strategischen Ziele verdeutlichen auch die für das IT-Risikobewusstsein notwendige IT-Betriebswirtschaft.

Das ist aus Aufsichtssicht von Bedeutung, damit das Risikopotenzial einer qualitativ oder quantitativ bedingten Unterfinanzierung dieser Gebiete früh genug identifiziert und schnellstmöglich beseitigt werden kann. Die FAT enthält aus dem gleichen Grunde die Forderung, inkompatible Aktivitäten innerhalb der IT-Struktur und Prozessorganisation zu unterlassen. Auch das IT-Risikobewusstsein des Managements und aller Mitarbeiter des Instituts wird dadurch gestärkt.

Schon bei der Anwendungsentwicklung müssen Maßnahmen getroffen werden, um die Geheimhaltung, Unversehrtheit, Verfügbarkeit und Echtheit der in diesem Anwendungsprogramm zu bearbeitenden Informationen zu gewährleisten. Die Aufsichtsbehörde geht zudem davon aus, dass das Kreditinstitut alle für die Bankprozesse, für die Risikoüberwachung oder für die Buchhaltung besonders wichtigen IDV-Applikationen in einem Zentralregister unterhält.

Prinzipiell sollten die Institutionen dazu eine so genannte Konfigurationsmanagement Datenbank (CMDB) verwenden. Das Outsourcing von IT-Dienstleistungen muss den Vorgaben der AT 9 der MaRisk entsprechen und durch eine Risikobewertung bewertet werden. Darüber hinaus sind weitere externe Beschaffungsrisiken von IT-Dienstleistungen zu beurteilen, da nur so die gesamte Risikolage erfasst bzw. Klumpenrisiken bei IT-Dienstleistungen identifiziert werden können.

Weil BAIT keine neuen Vorgaben für Institutionen oder deren IT-Dienstleister enthält, sondern nur die bestehenden Vorgaben erläutert oder spezifiziert, sind keine Implementierungsfristen geplant. Durch den modularen Aufbau von BAIT erhält die Aufsichtsbehörde die nötige Spielraum, um die Gesamtarbeit anzupassen oder zu ergänzen, falls dies in Zukunft aufgrund von neuen internationalen oder nationalen Erfordernissen notwendig werden sollte.

So wird zurzeit geprüft, ob die Kernelemente der Internetsicherheit, die die G-7-Staaten im Okt. 2016 veröffentlicht haben, durch eine Anpassung des BAIT implementiert werden können. Diese sollte die notwendigen Voraussetzungen zur Erfüllung der Forderungen des BSI-Gesetzes enthalten. Geplant ist auch die Erweiterung von BAIT um das IT-Notfallmanagement inklusive Test- und Recovery-Verfahren.

Sie wird im Rahmen der europaweit angestrebten Vereinheitlichung der bankaufsichtsrechtlichen Vorgaben für das IT-Risikomanagement die BAIT in die Diskussion einbeziehen.