Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk BTR 4 Oper ... / 1.2.3 IKT- und Sicherheitsrisiken

Rz. 31

Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- und Informationssysteme, jeglicher technologieabhängiger Instrumente oder Prozesse, von Geschäften und Prozessen oder der Bereitstellung von Diensten beeinträchtigen könnten.

Rz. 32

Unter dem Begriff "IT-Risiko" versteht die deutsche Aufsicht alle Risiken für die Vermögens- und Ertragslage der Institute, die aufgrund von Mängeln entstehen, die das IT-Management bzw. die IT-Steuerung, die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität der Daten, das interne Kontrollsystem der IT-Organisation, die IT-Strategie, -Leitlinien und -Aspekte der Geschäftsordnung oder den Einsatz von Informationstechnologie betreffen.^[1] Die Bedeutung des IT-Risikos kommt auch darin zum Ausdruck, dass die BaFin im Dezember 2018 die Prüfung der IT-Systeme und der dazugehörigen IT-Prozesse neben der Durchführung des LSI-Stresstests 2019 zu Schwerpunktthemen der Bankenaufsicht für das Jahr 2019 erklärt hat.^[2] Auch in den folgenden Jahren hat das IT-Risiko eine wesentliche Rolle in der Aufsichtstätigkeit der BaFin gespielt, im Jahr 2024 z. B. mit Blick auf die Risiken aus Cyberattacken mit gravierenden Auswirkungen und die Risiken aus Konzentrationen bei der Auslagerung von IT-Dienstleistungen.^[3]

Rz. 33

In den neueren Ausarbeitungen der Aufsichtsbehörden wird das IT-Risiko nahezu durchgängig im Zusammenhang mit der Kommunikationstechnologie erwähnt. Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko)...