Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 4.5 Softwarebezug

Rz. 196

Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten. Der isolierte Bezug von Software ist i. d. R. als "sonstiger Fremdbezug von Leistungen" einzustufen. Allerdings sind mit dem Bezug von Software häufig auch Unterstützungsleistungen verbunden. Sofern die Software zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken eingesetzt wird oder für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung ist, sind die damit verbundenen Unterstützungsleistungen als Auslagerung einzustufen. Soweit es sich dabei um eine Auslagerung handelt, hat das Institut die Bewertung der damit verbundenen Risiken im Rahmen einer "Risikoanalyse" vorzunehmen. Die Anforderungen an diese Risikoanalyse werden an anderer Stelle erläutert (→ AT 9 Tz. 2).

Rz. 197

Sofern hingegen ein sonstiger Fremdbezug von IT-Dienstleistungen vorliegt, erwartet die deutsche Aufsicht gemäß Tz. 9.2 BAIT, dass das Institut aufgrund der grundlegenden Bedeutung der IT vorab eine "Risikobewertung" durchführt. Art und Umfang einer solchen Risikobewertung kann das Institut unter Proportionalitätsgesichtspunkten nach Maßgabe seines allgemeinen Risikomanagements flexibel festlegen.^[1] Für gleichartige Formen des sonstigen Fremdbezugs von IT-Dienstleistungen kann auf bestehende Risikobewertungen zurückgegriffen werden. Bei der Risikobewertung müssen die für Informationssicherheit und Notfallmanagement verantwortlichen Funktionen des Institutes eingebunden werden.

Rz. 198

Der sonstige Fremdbezug von IT-Dienstleistungen ist laut Tz. 9.3 BAIT im Einklang mit den Strategien unter Berücksichtigung der Risikobewertung zu steuern. Diesem Zweck dient eine vollständige, strukturierte Vertragsübersicht. Die Steuerung kann auf der Basis dieser Vertrag...