Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 3.1 Notwendigkeit von Test und Abnahme

Rz. 118

Der Einsatz von unzureichend getesteten und nicht abgenommenen IT-Systemen kann den gesamten IT-Betrieb erheblich beeinträchtigen. So können z. B. Fehler in der Software nicht erkannt werden, wenn diese nicht ausreichend getestet und freigegeben wird. Solche Fehler gefährden den produktiven Einsatz und die Informationssicherheit der neuen Software sowie unter Umständen auch andere Anwendungen und IT-Systeme in der Produktivumgebung. Ebenso wenig kann sichergestellt werden, dass die entwickelte Software den Sicherheitsanforderungen des Institutes genügt, wenn Sicherheitsfunktionen bzw. die grundlegenden Sicherheitsanforderungen nicht getestet werden. Sofern dadurch z. B. unbefugte Dritte aufgrund mangelhafter Authentifizierungsfunktionen auf die Software zugreifen, können deren schützenswerte Informationen offengelegt, manipuliert oder zerstört werden.^[1]

Rz. 119

Neue IT-Systeme sind daher vor ihrem erstmaligen Einsatz und nach wesentlichen Veränderungen zu testen und von den fachlich sowie den technisch zuständigen Mitarbeitern abzunehmen. Durch den Test und die Abnahme soll zum einen beurteilt werden, ob z. B. neue Softwareprodukte den spezifischen fachlichen Anforderungen des Institutes genügen. Zum anderen soll geprüft werden, ob die neuen Produkte für den operativen Einsatz geeignet sind und ob sie friktionslos in die Gesamtorganisation des Institutes integriert werden können. Auch nach den Vorgaben der EBA sollen die Tests vor allem sicherstellen, dass neue IKT-Systeme die beabsichtigte Leistung erbringen.^[2]

Rz. 120

Bei der Beurteilung der "Wesentlichkeit" von Veränderungen ist nicht etwa auf deren Umfang, sondern auf die Auswirkungen abzustellen, die eine Veränderung auf die Funktionsfähigkeit des betroffenen IT-Systems haben kann (→ AT 7.2 Tz. 3, Erläuteru...