Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 4.3.1 A ... / 2.2.2 Regelmäßige und anlassbezogene Überprüfung

Rz. 41

Die Vergabe von Berechtigungen und Kompetenzen beinhaltet seit der vierten MaRisk-Novelle auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen.

Rz. 42

Die regelmäßige Überprüfung muss innerhalb angemessener Fristen erfolgen. Diese Fristen sollen sich an der Bedeutung der Prozesse und, bei IT-Berechtigungen, dem Schutzbedarf^[1] verarbeiteter Informationen orientieren. Bei Zeichnungsberechtigungen in Verbindung mit Zahlungsverkehrskonten sowie bei wesentlichen IT-Berechtigungen wird eine mindestens jährliche Überprüfung erwartet. Alle anderen Berechtigungen und Kompetenzen müssen mindestens alle drei Jahre überprüft werden. Besonders kritische IT-Berechtigungen, wie sie beispielsweise Administratoren aufweisen, sind mindestens halbjährlich zu überprüfen (→ AT 4.3.1 Tz. 2, Erläuterung). Insofern ist der Überprüfungsturnus risikoorientiert auszugestalten. Dabei muss institutsintern beurteilt werden, was unter "wesentlichen" oder "besonders kritischen" IT-Berechtigungen zu verstehen ist.

Rz. 43

Die BAIT machen auch hier detailliertere Vorgaben. Laut Tz. 6.4 BAIT haben die Verfahren zur Einrichtung, Änderung, Deaktivierung oder Löschung von Berechtigungen für Benutzer, die jeweils die Umsetzung des Berechtigungsantrages im Zielsystem umfassen, durch Genehmigungs- und Kontrollprozesse sicherzustellen, dass die Vorgaben des Berechtigungskonzeptes eingehalten werden. Dabei ist die fachlich verantwortliche Stelle angemessen einzubinden, so dass sie ihrer fachlichen Verantwortung nachkommen kann. Unabhängig von der turnusmäßigen Überprüfung der IT-Berechtigungen haben die Institute laut Tz. 6.7 BAIT nach Maßgabe des Schutzbedarfes und der Soll-Anforderungen Prozesse zur Protokollierung und Ü...