Fachbeiträge & Kommentare zu IT-Sicherheit

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun... mehr

Rz. 208 Vor diesem Hintergrund wurden die Anforderungen an IDV-Anwendungen konkretisiert. So sind laut Tz. 1.2 lit. f BAIT bereits in der IT-Strategie Aussagen zu IDV-Anwendungen zu treffen. Als Teil der Anwendungsentwicklung sind gemäß Tz. 7.6 BAIT auch für IDV-Anwendungen angemessene und risikoorientiert ausgestaltete Prozesse festzulegen, die Vorgaben zur Anforderungsermi... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 2 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung eines Institutes. Hierzu zählen z. B. Grundstücke, Gebäude, Büromaterial oder Aufbewahrungsmöglichkeiten. Es ist evident, dass sich z. B. hinsichtlich der Gebäude bei einem Institut mit weit verzweigtem Filialnetz andere Fragen ergeben als bei einem I... mehr

Rz. 42 Grundsätzlich sind für sämtliche Geschäftsabschlüsse außerhalb der Geschäftsräume interne Vorgaben erforderlich, aus denen insbesondere die Berechtigten, der Zweck, der Umfang und die Erfassung hervorgehen. Das gilt also nicht nur für die klassischen Außer-Haus-Geschäfte, sondern ebenso für die Geschäftsabschlüsse an häuslichen Arbeitsplätzen. Allerdings dienen die in... mehr

Rz. 93 Den Anforderungen des Moduls 3 der BAIT zufolge sollen die Institute beim IT-Risikomanagement vor allem auf den Schutzbedarf für die Bestandteile ihres festgelegten Informationsverbundes abstellen. Dabei sollten deren Abhängigkeiten und Schnittstellen einbezogen werden, um die Vernetzung des Informationsverbundes mit Dritten zu berücksichtigen. Auf dieser Basis müssen... mehr

Rz. 77 Der "IT-Betrieb" hat laut Tz. 8.1 BAIT jene Anforderungen umzusetzen, die sich aus der Geschäftsstrategie und den IT-unterstützten Geschäftsprozessen ergeben. Für die Umsetzung der Anforderungen des Informationssicherheitsmanagements ist nach Tz. 5.1 BAIT hingegen die "operative Informationssicherheit" zuständig. Insofern entspricht die Tätigkeit der operativen Inform... mehr

Rz. 11 Etwa zeitgleich mit der Veröffentlichung der EBA-Leitlinien zur internen Governance im Jahr 2011 hat sich der Baseler Ausschuss für Bankenaufsicht (BCBS) mit der Rolle der Internen Revision auseinandergesetzt.[1] Das im Dezember 2011 zur Konsultation gestellte Papier wurde im Juni 2012 in seiner endgültigen Fassung veröffentlicht. Darin beschreibt der BCBS das Verhäl... mehr

Rz. 194 Damit das Informationsrisikomanagement und das Informationssicherheitsmanagement (→ AT 7.2 Tz. 2) überhaupt greifen können, muss die Geschäftsleitung die IT-Organisation auch insgesamt angemessen steuern. Voraussetzung hierfür ist eine IT-Strategie, die dem Geschäftsmodell angemessen ist und in der IT-Organisation umgesetzt wird.[1] Die Geschäftsleitung hat daher nac... mehr

Rz. 112 Aufgrund ihrer besonderen Bedeutung für das Funktionieren der Prozesse hat das Institut in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten auch Aussagen zur zukünftig geplanten Ausgestaltung der IT-Systeme zu treffen (→ AT 4.2 Tz. 1, Erläuterung). Damit wird die in den letzten Jahren ständig gestiegene Bedeutung der Informationstec... mehr

Rz. 37 § 25a KWG und die MaRisk statuieren keine unmittelbaren Anforderungen an die Eignung von Geschäftsleitern. Nach der Veröffentlichung der MaK im Jahr 2002 ergaben sich jedoch erste Berührungspunkte zu dieser Thematik. Die Funktion eines Geschäftsleiters setzt persönliche Zuverlässigkeit und fachliche Eignung voraus. Durch diese Anforderungen soll sichergestellt werden,... mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör... mehr

Rz. 153 Mit der Anforderung, IT-Risiken angemessen zu überwachen und zu steuern, behandelt die deutsche Aufsicht IT-Risiken als eigene Risikokategorie, die im Risikomanagement entsprechend zu berücksichtigen ist. Hierfür sind angemessene Prozesse einzurichten. Der Begriff "IT-Risiko" wird in den MaRisk nicht definiert. Die BaFin zählt IT-Risiken zu den operationellen Risiken... mehr

Rz. 86 Beim IKT-Risiko sollte nicht nur nach den Vorstellungen des Baseler Ausschusses für Bankenaufsicht mit Verweis auf das Cyber-Lexikon des Financial Stability Boards (FSB) auch das "Cyberrisiko" berücksichtigt werden.[1] Der Definition des FSB zufolge wird die Kombination aus der Wahrscheinlichkeit des Auftretens von Cybervorfällen und deren Auswirkungen als "Cyberrisi... mehr

Rz. 5 Die MaRisk enthalten keine Vorgaben, auf welche Weise das Institut eine angemessene quantitative und qualitative Personalausstattung sicherzustellen hat. Es liegt demnach grundsätzlich im Ermessen des Institutes, sinnvolle und sachgerechte Lösungen zu entwickeln, die dem übergeordneten Regelungszweck Rechnung tragen. Ergänzende Anforderungen bzw. Empfehlungen der BaFin... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si... mehr

Rz. 97 Im Zusammenhang mit der Vermeidung oder Reduzierung operationeller Risiken werden häufig auch Auslagerungen genannt. Derartigen Maßnahmen könnte – neben betriebswirtschaftlichen Gesichtspunkten – auch die Überlegung zugrunde liegen, dass im Fall ausgelagerter Tätigkeiten die Gefahr von Verlusten, die infolge der Unangemessenheit oder des Versagens von internen Verfahr... mehr

Rz. 156 Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informati... mehr

Rz. 10 Um einen angemessenen Umfang und eine hinreichende Qualität der technisch-organisatorischen Ausstattung sicherstellen zu können, muss zunächst einmal Klarheit über den Ist-Zustand herrschen ("Bestandsaufnahme").[1] Zu diesem Zweck hat der IT-Betrieb gemäß Tz. 8.2 BAIT die Komponenten der IT-Systeme (Hardware- und Software-Komponenten) sowie deren Beziehungen zueinande... mehr

Rz. 43 Ein direkter Zusammenhang zu den operationellen Risiken besteht hinsichtlich der Risiken aus ausgelagerten Aktivitäten und Prozessen ("Outsourcing Risk"). Mangelhafte Leistungserbringung, schlecht vorbereitete Auslagerungen, insbesondere in Offshore-Regionen, unvollständige Kostenkalkulationen, Kontrollverluste und Abhängigkeiten sowie der irreversible Verlust von eig... mehr

Rz. 31 Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- un... mehr

Rz. 1 Risiken sind fester Bestandteil der menschlichen Umwelt. Neben gesundheitlichen Risiken, politischen Risiken oder unternehmerischen Risiken existiert eine Vielzahl weiterer Risiken. Ihre Dimensionen rücken dabei häufig erst durch Katastrophen, Unternehmenspleiten, Unfälle oder Krankheiten in das Bewusstsein unserer Gesellschaft. Risiken sind allgegenwärtig. Je offener ... mehr

Rz. 100 Auch für die sonstigen vom Institut als wesentlich identifizierten Risiken gelten zunächst die allgemeinen Anforderungen an die Inhalte der Berichterstattung über die wesentlichen Risiken (→ BT 3.1 Tz. 2 und BT 3.2 Tz. 2). Grundsätzlich bleibt es den Instituten überlassen, zu den erforderlichen Mindestinhalten der Risikoberichterstattung über die anderen wesentlichen... mehr

Rz. 1 Beim Abschluss von Handelsgeschäften müssen die Konditionen einschließlich der Nebenabreden vollständig vereinbart werden. Das Institut muss standardisierte Vertragstexte verwenden, soweit dies in Anbetracht der jeweiligen Geschäftsarten möglich und zweckmäßig ist. Interne Handelsgeschäfte dürfen nur auf der Basis klarer Regelungen abgeschlossen werden. Für interne Hand... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Elektronische Patientenakte (ePA) Weiterentwicklung der ePA bessere Nutzbarkeit der gespeicherten Gesundheitsdaten stärkere Einbindung von Apotheken neue digitale Anwendungen innerhalb der ePA barrierefreie Nutzung für unterschiedliche Patientengruppen Gesundheitsdaten bessere Nutzung von Gesundheitsdaten für Versorgung und Forschung Aufbau eines europäischen Gesundheitsdatenraums Ei... mehr

Bonnecke, Prozessoptimierung bei der Erstellung des (Jahres-)Abschlusses – Ziele, Methoden, generelles Vorgehen und organisatorische Maßnahmen zur optimierten Ausgestaltung der Prozesse im betrieblichen Rechnungswesen, BBK 1/2026, S. 58; Schneider/Wittreich, Business Analytics und Künstliche Intelligenz im Spannungsfeld regulatorischer Anforderungen der Rechnungslegung, IRZ... mehr

Soweit die Verlagerung des Tätigkeitsorts auf die Initiative des Arbeitnehmers zurückgeht, stellen die damit verbundene Änderung des Arbeitsorts sowie der Arbeitsumstände mangels Zuweisung durch den Arbeitgeber selbst bei längerer Dauer keine nach §§ 99 Abs. 1, 95 Abs. 3 BetrVG mitbestimmungspflichtige Versetzung dar. Soll nicht nur einzelnen Mitarbeitern, sondern einem größe... mehr

Hinweis Maschinenverordnung tritt im Januar 2027 in Kraft Da die MVO noch nicht vollumfänglich in Kraft ist, gibt es momentan noch keine Urteile dazu. Die juristische Diskussion konzentriert sich aktuell auf Haftungsfragen bei Software-Updates und die Aktualisierung der Liste der “Hochrisiko-Maschinen“ (Anhang I). Die Maschinenrichtlinie formulierte bislang Ziele hinsichtlich ... mehr

Rz. 9 Das Außenwirtschaftsrecht kann Beschränkungen für den Erwerb von Unternehmen beinhalten. Während bislang der Erwerb von Unternehmen, die bestimmte Sicherheitsinteressen Deutschlands berühren, beschränkt war, sieht das Gesetz seit seiner Novellierung im Jahr 2009 eine branchenunspezifische (sog. sektorübergreifende) Prüfung und Untersagung eines Unternehmenserwerbs vor.... mehr

Zu berufsrechtlicher Einordnung, regulatorischen Anforderungen durch den EU AI Act sowie Haftungs- und Datenschutzfragen beim KI-Einsatz in Steuerkanzleien siehe: Vertiefende Inhalte Verordnung über künstliche Intelligenz (AI Act) KI, Inkrafttreten der Verordnung (Infografik) KI-Modelle: Einsatz, Risiken, Zulässigkeit und berufsrechtliche Aspekte für Steuerberater Künstliche Inte... mehr

Sorgen Sie dafür, dass bei der Digitalisierung Datenschutz- und Sicherheitsaspekte berücksichtigt werden. Implementieren Sie robuste Sicherheitsmaßnahmen, um sensible Daten zu schützen und das Vertrauen Ihrer Kunden zu erhalten. Hier ist auch die Implementierung von wiederkehrenden Prozessen notwendig: Zum Beispiel das Löschen von Daten, die nicht mehr benötigt werden. Das h... mehr

Das Programm richtet sich an Unternehmen mit bis zu 500 Mio. EUR Jahresumsatz, die ihre digitale Infrastruktur ausbauen oder Prozesse transformieren möchten. Förderfähig sind unter anderem: Aufbau oder Erweiterung von IT-Systemen, Digitalisierung von Geschäftsprozessen, Investitionen in Software, Plattformen und Netzwerke, Maßnahmen zur IT-Sicherheit sowie Mitarbeiterschulungen z... mehr

mehr

Hier gelangen Sie zum Energiewirtschaftsgesetz. mehr

Die Löschpflichten nach Art. 17 DSGVO beruhen vor allem auf den folgenden Erwägungsgründen: "Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. […] Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert wer... mehr

Bei dem Device as a Service Modell (DaaS) mietet der Arbeitgeber Mobilgeräte wie Smartphones, Tablets oder Laptops nicht einfach an, sondern bezieht die Mobilgeräte als umfassenden Service von einem spezialisierten Anbieter im Rahmen eines Leasingvertrags mit zusätzlichem Service. Der Service umfasst nicht nur die Bereitstellung des Mobilgeräts, sondern auch die Verwaltung, ... mehr

Bei dem Bereitstellungsmodell Choose Your Own Device (CYOD) wird dem Arbeitnehmer vom Arbeitgeber ein Mobilgerät zur Verfügung gestellt, das die Konfiguration und Sicherheitsprogramme des Arbeitgebers enthält und der Arbeitnehmer das Gerät selbst auswählen und auch privat nutzen darf.[1] Inwieweit der Arbeitnehmer das Gerät hier tatsächlich selbst auswählen darf, hängt vom E... mehr

Das sogenannte "echte" Bring Your Own Device (BYOD) meint, dass Arbeitnehmer eigene private IT-Geräte auch für dienstliche Zwecke nutzen dürfen. Das Mobilgerät steht also im Eigentum des Arbeitnehmers und neben der bisherigen privaten Nutzung werden auch dienstliche Daten auf dem Mobilgerät gespeichert.[1] Hinweis Keine Nutzungspflicht für Arbeitnehmer Wichtig ist, dass der Ar... mehr

Der Zentralverband des deutschen Handwerks (ZDH) hat ein Kompetenzzentrum Digitales Handwerk eingerichtet. Hier können Sie Ihr Geschäftsmodell auf den digitalen Prüfstand stellen und Geschäftsprozesse auf digitalen Anpassungsbedarf optimieren lassen. Auch in Sachen Information, Kommunikation und Marketing-Strategien gibt es hilfreiche Tipps und Anregungen. Die Spezialisten de... mehr

Aue, Telekommunikationsüberwachung bei Steuerhinterziehung, PStR 2010, 81; Bär, Telekommunikationsüberwachung und andere verdeckte Ermittlungsmaßnahmen, MMR 2008, 215; Beukelmann, Die Neuregelung der Telekommunikationsüberwachung, NJW Spezial 2008, 88; Beukelmann, Sicherung von Verkehrsdaten – Quick-Freeze, NJW-Spezial 2024, 312; Blechschmidt, Quellen-TKÜ und Online-Durchsuc... mehr

Rz. 33 Soweit Fragen der Datensicherheit berührt sind, sind diese durch die gematik im Benehmen mit dem BSI zu regeln (Satz 1). Die Vorgaben nach dem BSI-Gesetz zur Einhaltung von Mindeststandards in der IT-Sicherheit und zur Meldung von IT-Störungen an das BSI sind dabei nicht zu beachten. Die Regelungen in § 311 sind für die IT-Sicherheit ausreichend. Doppelregulierungen w... mehr

Rz. 22 Informationstechnische Systeme sind verboten und dürfen nicht angewendet werden, wenn sie außerhalb der Telematikinfrastruktur betrieben werden (Satz 1). Damit werden technische Möglichkeiten zum Makeln von elektronischen Rezepten unterbunden (BT-Drs. 20/9048 S. 128). Versicherte können elektronische Verordnungen diskriminierungsfrei in allen Apotheken einlösen und di... mehr

Messenger haben sich im alltäglichen Bereich durchgesetzt. Die Nachrichten zeichnen sich grundsätzlich durch eine hohe Übertragungs- und Verschlüsselungssicherheit ihrer Nachrichten inklusive beigefügter Anlagen aus. Naheliegend könnte es daher sein, eine Rechnung im PDF-Format als Anlage einer Messenger-Nachricht zu versenden. Lediglich bei dem Erstkontakt mit einem Empfänge... mehr

Datensicherheit oder IT-Sicherheit bezeichnet einen Zustand in einem Betrieb, in dem die Risiken für die Informationssicherheit, die beim Einsatz von digitalen Technologien aufgrund von Bedrohungen und Schwachstellen vorhanden sind, durch passende Maßnahmen auf ein tragbares Maß reduziert sind. Erst durch Gewährleistung des Schutzes von IT-Systemen und Daten (IT-/Cyber-Secur... mehr

Möglicherweise hat es sich bereits in den Schilderungen der 3 Szenarien aus den vorangegangenen Kapiteln erschlossen: Die Ursachen für Mängel der Datensicherheit entstehen immer auf dem Fundament einer Gemengelage aus technischen, organisatorischen und/oder personellen Gründen (Abb. 2). Abb. 2: Mögliche Ursachen für Sicherheitspannen – Beispiele Abb. 2 zeigt, dass Datensicherh... mehr

Bevor ein Tool Einzug in die Kanzlei hält, sollte der Prozess bzw. die Prozesse, die damit effizienter gestaltet oder automatisiert werden sollen, ermittelt werden. Bei der Tool-Auswahl selbst stehen technische Zuverlässigkeit und Rechtskonformität an erster Stelle. Man sollte nur KI-Lösungen einsetzen, die die rechtlichen Rahmenbedingungen erfüllen und die zudem seriös, sic... mehr

Im Falle einer Verletzung des Schutzes personenbezogener Daten muss das Unternehmen nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde melden. Ob eine Pflicht für Meldungen oder Benachrichtigungen besteht, ist individuell zu beurteilen. So ist z. B. der Verlust eines Speichermediums... mehr

Unter der EU-Datenschutz-Grundverordnung richten sich Benennung, Stellung und Aufgaben Datenschutzbeauftragter nach den Art. 37, 38 und 39 DSGVO. Für öffentliche Stellen in Deutschland gilt zusätzlich das BDSG. Darin werden die Öffnungsklauseln genutzt, welche die DSGVO einräumt. Das bedeutet, dass das BDSG Lücken der DSGVO schließt und sie für landesspezifische Anwendungsfä... mehr