Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 4.3.3 S ... / 2.12.9 Stresstests für IKT-Risiken

Rz. 159

Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.^[1] Neueren Definitionen zufolge wird damit das Risiko von Verlusten durch die Verletzung der Vertraulichkeit, das Versagen der System- und Datensicherheit, die Unangemessenheit oder Nichtverfügbarkeit von Systemen und Daten oder die Unfähigkeit, die IT innerhalb angemessener Zeit und mit angemessenem Aufwand zu ändern, wenn sich die Umgebungsbedingungen oder die Geschäftsanforderungen ändern (z. B. Agilität), bezeichnet.^[2]

Rz. 160

Das IKT-Risiko kann wiederum in verschiedene Risikokategorien unterteilt werden, die durch geeignete Wahl der Risikofaktoren beim Stresstest entsprechend berücksichtigt werden müssten. Unter dem "IKT-Verfügbarkeits- und Kontinuitätsrisiko" wird das Risiko verstanden, dass die Leistung und die Verfügbarkeit von IKT-Systemen und -Daten nachteilig beeinflusst werden. Dazu gehört auch die mangelnde Fähigkeit, die Dienste des Institutes infolge eines Ausfalls von IKT-Hardware- oder -Softwarekomponenten, von Schwächen im IKT-Systemmanagement oder eines sonstigen Ereignisses rechtzeitig wiederherzustellen. Das "IKT-Sicherheitsrisiko" betrifft das Risiko eines unbefugten Zugangs zu IKT-Systemen und eines unbefugten Datenzugriffs von innerhalb oder außerhalb des Institutes, z. B. durch Cyberattacken. Das "IKT-Änderungsrisiko" beschreibt das Risiko, das sich aus der mangelnden Fähigkeit des Institutes ergibt, IKT-Systemänderungen zeitgerecht und kontrolliert zu steuern, insbesondere was umfangreiche ...