Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk Anlage 30 ... / 5. Abgrenzung Auslagerung von Fremdbezug – Software/IT‐Dienstleistungen

Diskutiert wird seitens der Mitglieder des Fachgremiums, ob der Betrieb von Software in einer Cloud einen Auslagerungstatbestand darstellt. Der Betrieb von Software in einer Cloud ist immer dann als Auslagerung einzustufen, wenn die Cloud nicht vom Institut selbst erstellt worden ist, nicht unter eigener Kontrolle des Instituts steht sowie Software betrieben wird, die zur Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen genutzt wird. Das ist jedenfalls dann der Fall, wenn sie für die Risikosteuerung eingesetzt wird oder für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung ist. D. h., beim externen Betrieb gelten die gleichen Abgrenzungskriterien für Software wie bei den zuvor in AT 9 Tz. 1 Erl. genannten Unterstützungsleistungen.

Die Aufsicht stellt darüber hinaus klar, dass zu berücksichtigen ist, wofür eine Software verwendet wird. Wenn die Nutzung der Software z. B. von wesentlicher Bedeutung für die Durchführung von Bankgeschäften ist, gilt dies auch für die entsprechenden Unterstützungsleistungen. Diese Unterstützungsleistungen (und nur diese, nicht der Bezug der Software als solche, unabhängig davon, ob die Software gekauft wurde oder eine Lizenz zur Nutzung der Software vorliegt) sind gemäß AT 9 Tz. 1 Erläuterung MaRisk als Auslagerung einzustufen.

Im Zuge der Diskussion kommt die Frage nach der Bedeutung des Begriffs "Wartung" im Sinne der MaRisk auf. Die Wartung einer Software schließt die Behebung von Fehlern des Programms mit ein. Wenn das Institut, die gelieferten "Patches" vor dem Einspielen in das System selbst testet, handelt es sich nicht zwangsläufig um eine Auslagerung, da das Institut sich eigenständig ein Bild zu den erweiterten Funktionen oder Fehlerbehebungen macht u...