Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 4.2.3 Definition der Sollmaßnahmen

Rz. 165

Ist der Schutzbedarf ermittelt, soll das Institut nach Tz. 3.6 BAIT in einem "Sollmaßnahmenkatalog" jene Anforderungen definieren, die zur Erreichung des jeweiligen Schutzbedarfes angemessen sind, und diese in geeigneter Form dokumentieren. Insofern enthält der Sollmaßnahmenkatalog lediglich die Anforderungen, nicht jedoch deren konkrete Umsetzung. Auf dieser Basis hat das Institut gemäß Tz. 3.7 BAIT dann einen Vergleich der Sollmaßnahmen mit den jeweils wirksam umgesetzten Maßnahmen durchzuführen.

Rz. 166

Die EBA fordert von den Instituten ebenfalls, geeignete Maßnahmen zur Minderung der festgestellten IKT- und Sicherheitsrisiken und zum Schutz von IT-Assets in Übereinstimmung mit ihrer Klassifizierung (hinsichtlich Schutzbedarf) festzulegen. Damit sollen die festgestellten IKT- und Sicherheitsrisiken auf akzeptable Niveaus verringert werden. Zudem sollte geprüft werden, ob Veränderungen an bestehenden Geschäftsprozessen, Kontrollmaßnahmen, IKT-Systemen und IKT-Diensten erforderlich sind. Dabei sollte die Dauer berücksichtigt werden, die erforderlich ist, um diese Änderungen umzusetzen und angemessene Zwischenmaßnahmen zu ergreifen, um bis dahin innerhalb der IKT- und Sicherheitsrisikobereitschaft des Institutes zu bleiben.^[1]

Rz. 167

Für die konkrete Umsetzung der Sollmaßnahmen empfiehlt das BSI als Ergänzung zum Sollmaßnahmenkatalog einen "Risikobehandlungsplan", der von der Geschäftsleitung genehmigt werden und eine Beschreibung der geplanten Ressourcen sowie die zeitlichen Vorgaben enthalten sollte. Die einzelnen Anforderungen aus dem Risikobehandlungsplan sollten mindestens jährlich überprüft werden. Laut BSI sollte eine dauerhafte und unbefristete Übernahme von Risiken vermieden werden, da sich im Bereich der Informationssicherheit die Risiken in kurzer Zei...