Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk Anlage 43 ... / 8. IT-Betrieb

Rz. 1

Der IT-Betrieb hat die Anforderungen, die sich aus der Umsetzung der Geschäftsstrategie sowie aus den IT-unterstützten Geschäftsprozessen ergeben, zu erfüllen (vgl. AT 7.2 Tz. 1 und Tz. 2 MaRisk).

Rz. 2

Die Komponenten der IT-Systeme und deren Beziehungen zueinander sind in geeigneter Weise zu verwalten und die hierzu erfassten Bestandsangaben regelmäßig sowie anlassbezogen zu aktualisieren.

Erläuterung

Zu den Bestandsangaben zählen insbesondere:

• Bestand und Verwendungszweck der Komponenten der IT-Systeme mit den relevanten Konfigurationsangaben (z. B. Versionen und Patchlevel)
• Eigentümer der IT-Systeme und deren Komponenten
• Standort der Komponenten der IT-Systeme
• Aufstellung der relevanten Angaben zu Gewährleistungen und sonstigen Supportverträgen (ggf. Verlinkung)
• Angaben zum Ablaufdatum des Supportzeitraums der Komponenten der IT-Systeme
• Schutzbedarf der IT-Systeme und deren Komponenten
• Akzeptierter Zeitraum der Nichtverfügbarkeit der IT-Systeme sowie der maximal tolerierbare Datenverlust.

Rz. 3

Das Portfolio aus IT-Systemen bedarf der Steuerung. IT-Systeme sollten regelmäßig aktualisiert werden. Risiken aus veralteten bzw. nicht mehr vom Hersteller unterstützten IT-Systemen sind zu steuern (Lebenszyklus-Management).

Rz. 4

Die Prozesse zur Änderung von IT-Systemen sind abhängig von Art, Umfang, Komplexität und Risikogehalt auszugestalten und umzusetzen. Dies gilt auch für Neu- bzw. Ersatzbeschaffungen von IT-Systemen sowie für sicherheitsrelevante Nachbesserungen (Sicherheitspatches).

Erläuterung

Änderungen von IT-Systemen umfassen auch die Wartung von IT-Systemen. Beispiele für Änderungen sind:

• Funktionserweiterungen oder Fehlerbehebungen von Softwarekomponenten
• Datenmigrationen
• Änderungen an Konfigurationseinstellungen von IT-Systemen
• Austausch von Hardwarekomponent...