Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 4.2 Informationsrisikomanagement

Rz. 156

Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informationssicherheit schaffen und bei den Instituten das Bewusstsein für IT-Risiken stärken.^[1] Die bisher geltenden BAIT interpretieren die gesetzlichen Anforderungen des § 25a Abs. 1 Satz 3 Nr. 4 und 5 KWG und konkretisieren, was die Aufsicht unter einer angemessenen technisch-organisatorischen Ausstattung der IT-Systeme, unter besonderer Berücksichtigung der Anforderungen an die Informationssicherheit sowie eines angemessenen Notfallkonzepts, versteht.^[2]

Rz. 157

Vom Institut sind angemessene Prozesse zum "Management der IT-Risiken" einzurichten, das nach den bisher geltenden BAIT als "Informationsrisikomanagement" bezeichnet wird und dem bestimmte Aufgaben zugewiesen werden. Dazu gehören die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und -minderung. Die Formulierung "angemessene Überwachungs- und Steuerungsprozesse" im Wortlaut von AT 7.2 Tz. 4 MaRisk ist streng genommen nicht ganz korrekt, weil die "Identifikation von IT-Risiken" formal betrachtet ein separater Prozess und insofern nicht Bestandteil der Steuerung oder Überwachung der IT-Risiken ist.^[3]

Rz. 158

Nach den Vorstellungen der EBA sollten die Institute die Zuständigkeit für das Management von IKT- und Sicherheitsrisiken einer Kontrollfunktion übertragen, die nicht f...