Fachbeiträge & Kommentare zu IT

Rz. 41 Mit der "Authentizität" ("authenticity") wird gewährleistet, dass eine Kommunikationsstelle tatsächlich diejenige ist, die sie vorgibt zu sein. Es handelt sich um authentische Informationen, wenn sichergestellt ist, dass sie von der angegebenen Quelle erstellt wurden. Der Begriff wird sowohl zur Prüfung der Identität von Personen als auch bei IT-Komponenten oder Anwen... mehr

Rz. 200 Die Aufsichtsbehörden nutzen verschiedene Möglichkeiten, um sich über den Umgang der Institute mit IKT- und Sicherheitsrisiken zu informieren. Neben Vor-Ort-Prüfungen und der Berücksichtigung im Rahmen des aufsichtlichen Überprüfungs- und Bewertungsprozesses (Supervisory Review and Evaluation Process, SREP) verschicken sowohl die EZB als auch die BaFin an die von ih... mehr

Rz. 2 Naturkatastrophen, Terroranschläge, Pandemien oder Hackerangriffe können Unterbrechungen der innerbetrieblichen Geschäftsabläufe zur Folge haben, die sich im Extremfall aufgrund der Vernetzung der internationalen Finanzmärkte zu globalen Krisen ausweiten. Aber auch weniger spektakuläre Ereignisse können bei Instituten zu gravierenden Beeinträchtigungen führen, wie z. B... mehr

Rz. 3 Natürlich spielt die Auslagerung von Aktivitäten und Prozessen auf Dritte auch bei Banken und Finanzdienstleistern eine wichtige Rolle.[1] Auslagerungen fallen im Bankensektor sogar auf besonders fruchtbaren Boden, da die Institute im Vergleich zu Industrieunternehmen immer noch einen recht hohen Anteil der Leistungen in Eigenregie erstellen.[2] Dennoch geht der Trend ... mehr

Rz. 47 Die "Verfügbarkeit" ("availability") von Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.[1] Damit verbunden ist insbesondere die zeitliche Verfügbarkeit bestimmter IT-Dienstleistungen, wozu auch der Zugriff auf Daten bzw. Inf... mehr

Rz. 16 Der deutsche Gesetzgeber hat erstmals im Rahmen der sechsten KWG-Novelle im Jahr 1998 in § 25a Abs. 2 KWG a. F. für Institute Anforderungen an die Zulässigkeit und Ausgestaltung der Auslagerung von Aktivitäten und Prozessen auf andere Unternehmen festgelegt. Die Aufnahme der Regelung in das KWG stellte zugleich klar, dass die Auslagerung von Aktivitäten und Prozessen... mehr

Rz. 71 Die Aufsicht macht die Sicherstellung der Datenqualität zu einer Managementaufgabe und nimmt die Geschäftsleitung sehr stark in die Verantwortung. Sowohl der Baseler Ausschuss für Bankenaufsicht (BCBS) als auch die EZB[1] haben betont, dass eine intensive Einbindung der Geschäftsleitung[2] unerlässlich für die Verbesserung der Risikodatenaggregation und der Risikoberi... mehr

Rz. 37 § 25a KWG und die MaRisk statuieren keine unmittelbaren Anforderungen an die Eignung von Geschäftsleitern. Nach der Veröffentlichung der MaK im Jahr 2002 ergaben sich jedoch erste Berührungspunkte zu dieser Thematik. Die Funktion eines Geschäftsleiters setzt persönliche Zuverlässigkeit und fachliche Eignung voraus. Durch diese Anforderungen soll sichergestellt werden,... mehr

Rz. 1 Das Informationssicherheitsmanagement macht Vorgaben zur Informationssicherheit, definiert Prozesse und steuert deren Umsetzung (vgl. AT 7.2 Tz. 2 MaRisk). Das Informationssicherheitsmanagement folgt einem fortlaufenden Prozess, der die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung umfasst. Die inhaltlichen Berichtspflichten des Informa... mehr

Rz. 150 Da die relevanten Annahmen von grundsätzlicher Bedeutung für die Umsetzung der Strategie sind, müssen sie einer mindestens jährlichen und anlassbezogenen Überprüfung unterzogen werden. Auf diese Weise wird sichergestellt, dass das Institut zeitnah reagieren kann, wenn die Realität von den maßgeblichen Annahmen abweicht.[1] Eine anlassbezogene Überprüfung der Strategi... mehr

Rz. 1 Ein Identitäts- und Rechtemanagement stellt sicher, dass den Benutzern eingeräumte Berechtigungen so ausgestaltet sind und genutzt werden, wie es den organisatorischen und fachlichen Vorgaben des Instituts entspricht. Das Identitäts- und Rechtemanagement hat die Anforderungen nach AT 4.3.1 Tz. 2, AT 7.2 Tz. 2 sowie BTO Tz. 9 der MaRisk zu erfüllen. Jegliche Zugriffs-, ... mehr

Rz. 10 Die dem Risikomanagementbegriff der MaRisk zugrunde liegende Systematik ist durch die verschiedenen Novellierungen des § 25a Abs. 1 KWG ebenfalls weitgehend unberührt geblieben. Auch für die Anforderungen an das Risikomanagement gilt grundsätzlich das Proportionalitätsprinzip: Die Ausgestaltung des Risikomanagements hängt von Art, Umfang, Komplexität und Risikogehalt ... mehr

Rz. 141 Die innovativen Entwicklungen auf den Finanzmärkten erfordern eine laufende Anpassung des Risikomanagements in den Instituten. Vor allem der technische Fortschritt im IT-Bereich trägt dazu bei, dass neue Konzepte schnell und erfolgreich von den Instituten umgesetzt werden können. An dieser Stelle sei z. B. auf die Digitalisierung sowie die zunehmende Bedeutung der In... mehr

Rz. 139 Gemäß Tz. 7.11 BAIT ist eine Methodik für das "Testen" von Anwendungen vor ihrem erstmaligen Einsatz und nach wesentlichen Änderungen zu definieren und einzuführen. Die Tests haben in ihrem Umfang die Funktionalität der Anwendung, die implementierten Maßnahmen zum Schutz der Informationen und bei Relevanz die Systemleistung unter verschiedenen Stressbelastungsszenari... mehr

Rz. 38 Die Aufsicht muss sich im Rahmen des SREP intensiv mit den Methoden, Prozessen, Verfahren und Strategien der Institute auseinandersetzen und diese u. a. hinsichtlich ihrer Angemessenheit bezüglich einer dauerhaften Sicherstellung der Risikotragfähigkeit beurteilen. Dabei misst sie bei der Beurteilung des ICAAP verstärkt der Datenhaltung sowie den Management-Informatio... mehr

Rz. 91 Das Informationsrecht kann mündliche oder schriftliche Informationen betreffen. So kann sich z. B. ein konkreter (mündlicher) Erläuterungsbedarf zu den Inhalten der Organisationsrichtlinien ergeben. Die Mitarbeiter sind verpflichtet, hierzu jederzeit im notwendigen Umfang Auskunft zu geben. Informationsrechte umfassen natürlich auch den Einblick in Geschäftsbriefe und... mehr

Rz. 160 Ausgangspunkt für alle weiteren Überlegungen ist ein "aktueller Überblick" über die Bestandteile des festgelegten Informationsverbundes. Dazu gehören z. B. geschäftsrelevante Informationen, Geschäfts- und Unterstützungsprozesse, IT-Systeme und die zugehörigen IT-Prozesse sowie Netz- und Gebäudeinfrastrukturen (→ AT 7.2 Tz. 2). Dabei sollten deren Abhängigkeiten und S... mehr

Rz. 36 Die Geschäftsleitung ist verantwortlich für das angemessene Risikomanagement eines Institutes und muss den Einsatz der Modelle genehmigen (→ AT 3 Tz. 1). Das setzt hinreichende Kenntnisse über die Modellkonzeption, insbesondere zu wesentlichen Annahmen und Parametern sowie den zugrunde liegenden Daten voraus. Auch die Grenzen und Beschränkungen dieser Modelle müssen d... mehr

Rz. 83 Die Auslagerung von zeitkritischen Aktivitäten und Prozessen darf nicht dazu führen, dass die Vorsorge für Notfälle vernachlässigt oder sogar komplett ausgeblendet wird. Das wäre insbesondere vor dem Hintergrund der großen Bedeutung der IT-Auslagerungen für die Institute ein fataler Trugschluss.[1] Rz. 84 Allerdings ist es schon unter Praktikabilitätsgesichtspunkten ka... mehr

Rz. 204 Den Vorgaben der EBA zufolge sollen die ermittelten Geschäftsfunktionen, Unterstützungsprozesse und IT-Assets unter Berücksichtigung der Schutzziele im Hinblick auf ihre "Kritikalität" ("criticality") eingestuft werden.[1] Eng damit verbunden ist die Umsetzung verschiedener Anforderungen. Folglich wird von der deutschen Aufsicht gefordert, dass die Anforderungen aus ... mehr

Rz. 1 Die Informationsverarbeitung und -weitergabe in Geschäfts- und Serviceprozessen wird durch datenverarbeitende IT-Systeme und zugehörige IT-Prozesse unterstützt. Deren Umfang und Qualität hat sich insbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie an der Risikosituation zu orientieren (vgl. AT 7.2 Tz. 1 MaRisk). IT-Systeme, die zugehörigen I... mehr

Das nun vorliegende Rundschreiben zu den BAIT besteht aus insgesamt acht Themenbereichen. In den einzelnen Themenbereichen verweisen Leitsätze auf die jeweiligen Textziffern der MaRisk, die IT-spezifisch konkretisiert werden. Zentrales Ziel dieses Rundschreibens zu den BAIT ist es, dem Management der Institute auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisn... mehr

Rz. 94 Die Grundlage für eine reibungslose Aggregation von Daten im Institut ist eine einheitliche Systematik der Datenhaushalte. Ein Institut hat integrierte Datentaxonomien einschließlich einer entsprechenden konzernweiten Datenarchitektur zu erstellen, in der auch Angaben zu den Eigenschaften der Daten (Metadaten) enthalten sind. Darüber hinaus sind Standardkennzeichnunge... mehr

Rz. 159 Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.[1] Neueren Defini... mehr

Rz. 22 Die Adressenausfall-, Marktpreis- und Liquiditätsrisiken werden als "finanzielle Risiken" bezeichnet, weil sie sich auf das klassische Kredit- und Handelsgeschäft sowie deren Refinanzierung beziehen. Diese Risiken sind auf natürliche Weise auch dann mit der gewöhnlichen Geschäftstätigkeit eines Institutes verbunden, wenn diese keinen Änderungen oder Störungen unterlie... mehr

Rz. 70 Die Umsetzung der EBA-Leitlinien zum Management von IKT- und Sicherheitsrisiken ist in erster Linie im neu gefassten Modul zum Notfallmanagement erfolgt (→ AT 7.3). Die Institute haben für alle im Rahmen einer durchzuführenden Auswirkungsanalyse identifizierten zeitkritischen Aktivitäten und Prozesse eine Risikoanalyse durchzuführen, um potenzielle Gefährdungen zu ide... mehr

Rz. 25 Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und die sonstigen Bestandteile des Informationsverbundes müssen die "Integrität", die "Verfügbarkeit", die "Authentizität" sowie die "Vertraulichkeit" der Daten sicherstellen. Gemäß Tz. 4.7 BAIT handelt es sich dabei um die sogenannten "Schutzziele" bzw. im Sprachgebrauch des Bundesamtes... mehr

Rz. 106 Im Rahmen seines letzten Umsetzungsberichtes hat der Baseler Ausschuss für Bankenaufsicht (BCBS) Beispiele für eine effektive Datenarchitektur und IT-Infrastruktur von Instituten aufgezählt, bei denen die Grundsätze bereits im Wesentlichen bzw. vollständig umgesetzt sind. Hierzu gehören die effektive Integration isolierter Datenbanken von verschiedenen Konzerngesells... mehr

Rz. 8 Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus abgeleitet einen Notfallmanagementprozess festzulegen. Die Ziele zum Notfallmanagement ergeben sich im Grunde bereits aus dessen Definition und den damit verbundenen Aufgabenstellungen zur Notfallvorsorge und zur Notfallbewältigung. Die Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. ... mehr

Rz. 1 Nach Auffassung des Finanzstabilitätsrates ("Financial Stability Board", FSB) hat die Finanzmarktkrise verdeutlicht, dass viele Institute hinsichtlich ihrer Informationstechnologie und Datenarchitektur nicht in der Lage waren, Risikodaten vollständig und schnell genug zu aggregieren. Eine angemessene Steuerung der Risiken war daher nur eingeschränkt möglich, was bekann... mehr

Rz. 25 Der Baseler Ausschuss für Bankenaufsicht (BCBS) überprüft seit Veröffentlichung des BCBS 239 in 2013 die Einhaltung dieser Grundsätze. Von 2013 bis 2015 hat er drei Berichte veröffentlicht, die auf den Selbsteinschätzungen der 30 von ihm als global systemrelevant eingestuften Banken[1] zur Umsetzung der Grundsätze beruhten.[2] Der im März 2017 veröffentlichte Bericht ... mehr

Rz. 177 Zu den Aufgaben der internen Validierung zählt die Überprüfung sowohl der Angemessenheit des Rahmenwerkes für Risikodatenaggregation und Risikoberichterstattung als auch dessen faktische Umsetzung im Institut bzw. in der Gruppe. Die interne Validierungsfunktion sollte sich in erster Linie mit dem "BCBS-239-Zielbild" des Institutes bzw. der Gruppe beschäftigen und die... mehr

Rz. 95 Nicht zuletzt aufgrund der zunehmenden Bedeutung der Informationstechnologie wird seit der vierten MaRisk-Novelle auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen gefordert (→ AT 4.3.1 Tz. 2). Zumindest bei Zeichnungsberechtigungen in Verbindung mit Zahlungsverkehrskonten sowie b... mehr

Rz. 165 Ist der Schutzbedarf ermittelt, soll das Institut nach Tz. 3.6 BAIT in einem "Sollmaßnahmenkatalog" jene Anforderungen definieren, die zur Erreichung des jeweiligen Schutzbedarfes angemessen sind, und diese in geeigneter Form dokumentieren. Insofern enthält der Sollmaßnahmenkatalog lediglich die Anforderungen, nicht jedoch deren konkrete Umsetzung. Auf dieser Basis h... mehr

Rz. 176 Zwar sind mit Informations- und Kommunikationstechnologien (IKT) sowohl Chancen als auch Risiken verbunden. Die IKT-Risiken bleiben nach Einschätzung der EU-Kommission aber trotz zahlreicher regulatorischer Maßnahmen in erster Linie eine Herausforderung für die "Betriebsstabilität", die Leistungsfähigkeit der Institute und die Stabilität des Finanzsystems in der EU. ... mehr

Rz. 49 Die Anforderungen an die Auslagerung von Aktivitäten und Prozessen nach § 25b KWG sind nicht isoliert zu betrachten. Vielmehr besteht zwischen § 25a Abs. 1 KWG und § 25b KWG ein enger Zusammenhang. Gemäß § 25a Abs. 1 Satz 1 KWG muss ein Institut über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bes... mehr

Rz. 216 Die Institute müssen für die Generierung von Daten und Informationen zu den als wesentlich eingestuften Risikoarten angemessene technische Kapazitäten vorhalten sowie effektive Prozesse zur Sicherstellung der Datenqualität einrichten, mit denen die korrekte und vollständige Erfassung und der Ausweis der wesentlichen Komponenten dieser Risiken ermöglicht wird. Diese A... mehr

Rz. 18 Die Organisationsrichtlinien sind den Mitarbeitern in geeigneter Weise bekannt zu machen. Dabei muss sichergestellt werden, dass sie den Mitarbeitern in der jeweils aktuellen Fassung zur Verfügung stehen. Bezüglich des konkreten Mediums sowie der Forderung nach Aktualität sind z. B. folgende Alternativen denkbar: Handbücher, die den Mitarbeitern als Gesamtwerk zur Verf... mehr

Rz. 40 Aufgrund der Abhängigkeit von der IT wird wohl bei nahezu allen Instituten deren teilweiser oder vollständiger Ausfall als "zeitkritisch" und somit als Notfall eingestuft werden. Dasselbe trifft auf Liquiditätsengpässe zu, für deren Beseitigung sogar explizit ein Notfallplan gefordert wird (→ BTR 3.1 Tz. 9). Ähnlich bedeutsam kann der Ausfall wesentlicher Geschäftspro... mehr

Rz. 158 Die Sicherstellung der Datenqualität ist eine unternehmensweite Aufgabe, die nicht nur von einer Organisationseinheit bewerkstelligt werden kann. Der Baseler Ausschuss für Bankenaufsicht erwartet, dass die zuständigen Mitarbeiter (Geschäftsbereiche und IT-Funktionen) gemeinsam mit den Risikomanagern sicherstellen, dass während des gesamten Datenzyklus und unter sämtl... mehr

[…] die Europäische Bankenaufsichtsbehörde (EBA) hat im November 2019 mit den "EBA-Leitlinien für IKT und Sicherheitsrisikomanagement" (ICT Guidelines) für den Binnenmarkt einheitliche Anforderungen an das Management von Informationstechnik und Informationssicherheit für Kreditinstitute, Wertpapierfirmen und Zahlungsdienstleister veröffentlicht. Aus dem Anlass haben Vertreteri... mehr

[…] die Novellierung der BAIT ist abgeschlossen. Vielen Dank für Ihr Mitwirken durch schriftliche Rückmeldungen, beispielsweise in der öffentlichen Konsultation sowie durch konstruktive Mitarbeit im Fachgremium IT. Mein Dank gilt auch der Deutschen Bundesbank, die in enger Zusammenarbeit mit der Gruppe IT-Aufsicht an der BAIT-Novelle mitgewirkt hat. Ich freue mich, Ihnen nun ... mehr

Rz. 208 Vor diesem Hintergrund wurden die Anforderungen an IDV-Anwendungen konkretisiert. So sind laut Tz. 1.2 lit. f BAIT bereits in der IT-Strategie Aussagen zu IDV-Anwendungen zu treffen. Als Teil der Anwendungsentwicklung sind gemäß Tz. 7.6 BAIT auch für IDV-Anwendungen angemessene und risikoorientiert ausgestaltete Prozesse festzulegen, die Vorgaben zur Anforderungsermi... mehr

Ich bitte Sie hiermit, bei Bedarf der Deutschen Bundesbank und der BaFin schriftliche Stellungnahmen zum beigefügten Rundschreiben zu den BAIT postalisch oder per E-Mail (Konsultation-02-17@bafin.de sowie b32_marisk@bundesbank.de) bis zum 05.05.2017 zukommen zu lassen. Deutsche Bundesbank und BaFin werden die eingegangenen Stellungnahmen bewerten und konsolidieren. Im Anschlu... mehr

Rz. 115 Traditionell werden in den Instituten selbst entwickelte Anwendungen ("Individuelle Datenverarbeitung", IDV) auf Basis von MS Excel und MS Access als zentrale Aggregations- und Weiterverarbeitungstools verwendet. Diese Anwendungen werden oft zur Lösung von Ad-hoc-Anfragen verwendet, aber auch für regelmäßige Informationsbedürfnisse eingesetzt. Sie ermöglichen flexibl... mehr

Rz. 308 Seit der sechsten MaRisk-Novelle haben die Vertragsparteien bei wesentlichen Auslagerungen mit Auslandsbezug im Auslagerungsvertrag die Standorte (d. h. Regionen oder Länder) festzulegen, in denen die Durchführung der Dienstleistung erfolgt und/oder maßgebliche Daten gespeichert und verarbeitet werden. Darüber hinaus ist vertraglich zu vereinbaren, dass das Institut ... mehr

Rz. 80 Bei der Direkterfassung in den IT-Systemen sind von den Instituten bestimmte Anforderungen zu erfüllen. Diese präzisieren vor allem den Grundsatz der Funktionstrennung bei IT-gestützter Bearbeitung für das Handelsgeschäft (→ BTO Tz. 9 i. V. m. BTO 2.1 Tz. 1): Es ist zunächst sicherzustellen, dass der Händler nur unter seiner eigenen Händleridentifikation Handelsgeschäf... mehr

1 Einführung und Überblick Rz. 1 Aufgrund des technologischen Fortschrittes sowie umfangreicher Marktliberalisierungen sind die Finanzmärkte heutzutage dynamischer und vernetzter als je zuvor. Das wirkt sich zunächst einmal auf die Entwicklung von Produkten aus. Private und institutionelle Nachfrager von Finanzdienstleistungen haben auf der einen Seite ständig Bedarf an neuen... mehr

Rz. 241 Zur Einhaltung der Vorgaben an das Informationssicherheitsmanagement haben die Institute die Funktion des Informationssicherheitsbeauftragten einzurichten. Die Funktion umfasst gemäß Tz. 4.4 BAIT die Verantwortung für die Wahrnehmung aller Belange der Informationssicherheit innerhalb des Institutes und gegenüber Dritten (→ AT 7.2 Tz. 2).[1] Jedes Institut hat gemäß T... mehr

Rz. 163 In der Praxis stellen die Anforderungen an eine Festlegung von Verantwortlichkeiten große Herausforderungen für die Institute dar. Die EZB hat im Rahmen ihres Thematic Reviews festgestellt, dass die mangelhafte Zuordnung von Verantwortlichkeiten auf verschiedenen Ebenen bis einschließlich der Geschäftsleitung oftmals Ursache für eine mangelhafte Umsetzung der Grundsä... mehr