Fachbeiträge & Kommentare zu IT

Rz. 17 Im Rahmen der Risikosteuerung kommt der Begrenzung der Risiken eine besondere Bedeutung zu. Durch geeignete Maßnahmen ist zu gewährleisten, dass die Risiken unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam begrenzt und überwacht werden. Geeignete Maßnahmen zur Begrenzung von Risiken und damit verbundenen Risikokonzentrationen können quanti... mehr

Mit der nun eingeläuteten MaRisk-Überarbeitung sollen insbesondere die Inhalte des Baseler Papiers BCBS 239 zur Risikodatenaggregation und zur Risikoberichterstattung in die Aufsichts­praxis übernommen werden. Erklärtes Ziel ist es, die IT-Infrastruktur der großen, systemrelevanten Institute dahingehend zu verbessern, dass eine umfassende, genaue und zeitnahe Aggregation der... mehr

Rz. 188 Wegen der besonderen Bedeutung des Zahlungsverkehrs werden an "Zahlungsdienstleister"[1] ebenfalls besondere Anforderungen gestellt, die eine angemessene Pflege der Kundenbeziehungen mit "Zahlungsdienstnutzern" zum Ziel haben. So sollten die Zahlungsdienstleister Prozesse implementieren, mit deren Hilfe die Zahlungsdienstnutzer unterstützt und beraten werden und ihr ... mehr

Rz. 83 Im dualistischen System ("Two-tier-system") ist die Geschäftsleitung einer Bank primär für die Umsetzung der regulatorischen Anforderungen verantwortlich. Das Aufsichtsorgan muss sicherstellen, dass es alle Informationen verlangt und erhält, die für die Erfüllung seiner Überwachungsfunktion für die Bank und die Risiken, denen diese ausgesetzt ist, relevant sind. Eine ... mehr

Rz. 86 Beim IKT-Risiko sollte nicht nur nach den Vorstellungen des Baseler Ausschusses für Bankenaufsicht mit Verweis auf das Cyber-Lexikon des Financial Stability Boards (FSB) auch das "Cyberrisiko" berücksichtigt werden.[1] Der Definition des FSB zufolge wird die Kombination aus der Wahrscheinlichkeit des Auftretens von Cybervorfällen und deren Auswirkungen als "Cyberrisi... mehr

Rz. 5 Die MaRisk enthalten keine Vorgaben, auf welche Weise das Institut eine angemessene quantitative und qualitative Personalausstattung sicherzustellen hat. Es liegt demnach grundsätzlich im Ermessen des Institutes, sinnvolle und sachgerechte Lösungen zu entwickeln, die dem übergeordneten Regelungszweck Rechnung tragen. Ergänzende Anforderungen bzw. Empfehlungen der BaFin... mehr

Rz. 147 Gesetzliche Grundlage der MaRisk und Anknüpfungspunkt für die Umsetzung des "Supervisory Review Process" (SRP) ist § 25a Abs. 1 KWG, der von den Instituten eine "ordnungsgemäße Geschäftsorganisation" fordert. Das KWG zielt diesbezüglich in erster Linie auf ein aus qualitativer Sicht angemessenes Risikoumfeld in den Instituten ab, das zur Stärkung des Risikobewusstsei... mehr

Rz. 133 Die Anforderungen an die Funktionalität der Anwendung müssen laut Tz. 7.7 BAIT ebenso erhoben, bewertet, dokumentiert und genehmigt werden wie "nichtfunktionale Anforderungen". Nichtfunktionale Anforderungen an IT-Systeme sind beispielsweise: Anforderungen an die Informationssicherheit, Zugriffsregelungen, Ergonomie, Wartbarkeit, Antwortzeiten, Resilienz.[1] Rz. 134 Zu jede... mehr

Rz. 144 Daher ist, unabhängig vom Erfordernis eines Testes, immer eine Abnahme durch die fachlich und technisch zuständigen Mitarbeiter erforderlich. Im Rahmen dieser Abnahme steht die Eignung und Angemessenheit der IT-Systeme vor dem Hintergrund der spezifischen Situation des jeweiligen Institutes im Mittelpunkt. Wenn diese Mitarbeiter ihre Freigabe erteilen, ist davon ausz... mehr

Rz. 107 Der BCBS, dessen Empfehlungen sich grundsätzlich an große, international tätige Institute richten, betont die Bedeutung einer soliden internen Governance für ein effektives Management der operationellen Risiken. In diesem Zusammenhang äußert sich der BCBS auch zum Modell der drei Verteidigungslinien. Die Institute sollten insbesondere sicherstellen, dass die Funktion... mehr

Rz. 4 Die insgesamt vierzehn Grundsätze des BCBS werden nach einem allgemeinen Teil in die Abschnitte "Governance und IT-Infrastruktur" (Grundsätze 1 und 2), "Risikodatenaggregationskapazitäten" (Grundsätze 3 bis 6), "Risikoberichterstattung" (Grundsätze 7 bis 11) und "Aufsichtliche Überprüfung, Instrumente und Zusammenarbeit" (Grundsätze 12 bis 14) unterteilt (siehe Abbildu... mehr

Rz. 31 Der Baseler Ausschuss für Bankenaufsicht gibt in seinen Fortschrittsberichten zum Umsetzungsstand von BCBS 239 regelmäßig Empfehlungen für die Umsetzung der Grundsätze ab, um weitere Verzögerungen zu vermeiden. Diese Empfehlungen richten sich grundsätzlich an die Geschäftsleitung. Die Institute sollten demnach sicherstellen, dass sie über ein von der Geschäftsleitung ... mehr

Rz. 168 Um die inhaltliche Richtigkeit, Vollständigkeit und Aktualität der Daten sicherzustellen, müssen einerseits die Daten den IT-Schutzzielen Integrität, Authentizität und Verfügbarkeit genügen und andererseits durch die Fachbereiche geeignete inhaltliche Kontrollen durchgeführt werden.[1] Demnach liegt das Datenqualitätsmanagement sowohl in der Verantwortung der Fachber... mehr

Rz. 159 Gemäß Tz. 9.1 BAIT müssen auch Cloud-Dienstleistungen die Anforderungen nach AT 9 erfüllen. "Cloud-Dienstleistungen" sind demnach Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z. B. Rechenleistung, Speicherplatz, Plattformen oder Software) und deren Angebot, Nutzung und Abrechnung dyn... mehr

Rz. 100 Auch für die sonstigen vom Institut als wesentlich identifizierten Risiken gelten zunächst die allgemeinen Anforderungen an die Inhalte der Berichterstattung über die wesentlichen Risiken (→ BT 3.1 Tz. 2 und BT 3.2 Tz. 2). Grundsätzlich bleibt es den Instituten überlassen, zu den erforderlichen Mindestinhalten der Risikoberichterstattung über die anderen wesentlichen... mehr

Rz. 1 Dieses Kapitel richtet sich – im Kontext mit den anderen Kapiteln der BAIT und den sonstigen einschlägigen bankaufsichtlichen Anforderungen in Bezug auf die Sicherstellung angemessener Vorkehrungen zur Gewährleistung von Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Informationsverarbeitung – eigens an die Betreiber kritischer Infrastrukturen (KRITIS... mehr

Rz. 46 Die zur Durchführung eines NPP benötigten Informationen zur Produktausgestaltung sind i. d. R. vom Antragsteller zu liefern. In der Praxis ist es üblich, dass der NPP-Koordinator Vorgaben zur Standardisierung und Qualitätssicherung der NPP-Anträge macht, um eine ausreichende Qualität der eingehenden Anträge zur Initiierung eines NPP zu gewährleisten. Die Vorgaben des ... mehr

Rz. 57 Die Geschäftsfortführungspläne müssen als Bestandteil des Notfallkonzeptes gewährleisten, dass im Notfall zeitnah Ersatzlösungen zur Verfügung stehen. Hierzu gehören Maßnahmen, die bis zur Wiederherstellung des Normalbetriebes die Handlungsfähigkeit des Institutes sicherstellen. In Geschäftsfortführungsplänen können z. B. folgende Punkte geregelt werden: die Festlegung... mehr

Rz. 48 Das nachhaltige und kontinuierliche Daten- bzw. Datenqualitätsmanagement gewinnt enorm an Bedeutung und befördert den von der Aufsicht geforderten Kulturwandel in den Instituten. Die bisher eher als "IT-technisches Gut" betrachteten Daten stellen mittlerweile einen "wesentlichen Vermögenswert" der Institute dar, der entsprechend sorgsam behandelt werden sollte. Um die... mehr

Rz. 32 Die "Vertraulichkeit" ("confidentiality") bezieht sich laut BSI auf den Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein.[1] Das betrifft das Lesen, Anpassen, Bearbeiten und Verwalten dieser Daten und Informationen. Das Institut hat insofern sicherzustellen, d... mehr

Rz. 176 Vor allem wegen der direkten Auswirkungen auf die Eigenkapitalunterlegung der operationellen Risiken ist mit dem Ausbruch der COVID-19-Pandemie schnell die Frage aufgetreten, ob und ggf. wie Ereignisse und Verluste aus COVID-19 in den Bereich des operationellen Risikos fallen und inwiefern deren ökonomische Auswirkungen bei der Berechnung der Eigenkapitalanforderunge... mehr

Rz. 8 Das branchenübergreifend praktizierte Vier-Augen-Prinzip bezweckt, dass bestimmte Tätigkeiten oder Entscheidungen eines Mitarbeiters durch einen zweiten Mitarbeiter kontrolliert werden. Klassisches Beispiel sind betriebsintern festgelegte Unterschriftenregelungen, nach denen unter rechtlichen Gesichtspunkten relevante Entscheidungen (z. B. Kaufverträge) von zwei Mitarb... mehr

Rz. 76 Traditionell erfolgte die Erfassung durch Händlerzettel, die mit anderen relevanten Unterlagen an die Abwicklung weitergeleitet wurden. Auch die Fortschreibung der Bestände, die dazu dient, dass der Händler vor dem Abschluss weiterer Handelsgeschäfte über die aktuellen Positionen informiert ist, erfolgte früher ausschließlich manuell. Derartige Abläufe sind jedoch nic... mehr

Rz. 25 2 Prozesse sowie die damit verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege sind klar zu definieren und aufeinander abzustimmen. Berechtigungen und Kompetenzen sind nach dem Sparsamkeitsgrundsatz (Need-to-know-Prinzip) zu vergeben und bei Bedarf zeitnah anzupassen. Dies beinhaltet auch die regelmäßige und anlassbezogene Über... mehr

Rz. 309 Die BaFin hat am 8. November 2018 eine Orientierungshilfe zu Auslagerungen an Cloud-Anbieter in Form eines Merkblattes veröffentlicht.[1] In diesem mit der Deutschen Bundesbank abgestimmten Dokument wird die aufsichtliche Praxis bei derartigen Konstellationen dargelegt. Gleichzeitig soll bei den beaufsichtigten Unternehmen ein Problembewusstsein im Umgang mit Cloud-D... mehr

Rz. 48 Auch die deutschen Aufsichtsbehörden führen regelmäßig aufsichtliche Stresstests für die weniger bedeutenden Institute ("Less Siginificant Institutions", LSI) durch, um die Widerstandsfähigkeit dieser Institute gegenüber adversen wirtschaftlichen Rahmenbedingungen zu überprüfen ("LSI-Stresstest"). Die Ergebnisse der aufsichtlichen Stresstests werden unter anderem als ... mehr

Rz. 310 Korrekte Ergebnisse der Stresstests setzen eine angemessene Dateninfrastruktur voraus. Die EBA erwartet von den Instituten, dass ihr Stresstestprogramm durch eine angemessene Dateninfrastruktur unterstützt wird.[1] Unter Proportionalitätsgesichtspunkten sollte dabei auf die Vorgaben des Baseler Ausschusses für Bankenaufsicht für eine wirksame Risikodatenaggregation u... mehr

Rz. 113 Die zuständigen Behörden sollten im Rahmen des SREP bewerten, ob das Institut über einen wirksamen und angemessenen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Datenintegritätsrisikos verfügt. Dabei sollten jene Risiken berücksichtigt werden, die mit der Wahrung der Integrität der von den IKT-Systemen gespeicherten und verarbeite... mehr

Rz. 105 Die fünfte und sechste MaRisk-Novelle haben zu erheblichen Überarbeitungen der Anforderungen an Auslagerungen geführt.[1] Positiv ist dabei anzumerken, dass die in die MaRisk übernommenen Regelungen deutlich prinzipienorientierter ausgestaltet sind als ihre europäischen Vorgaben. Zwar betont auch die EBA die Bedeutung des Grundsatzes der Proportionalität sowohl bei d... mehr

Rz. 131 Im Interesse einer aussagekräftigen Risikoberichterstattung sollten die Risikodaten korrekt und konsistent sein. Hierfür sollten die Möglichkeiten zum Abgleich und zur Plausibilisierung der Risikodaten mit den im Institut vorhandenen Informationen genutzt werden. So fordert der Baseler Ausschuss für Bankenaufsicht (BCBS), die Risikodaten mit anderen im Institut zur V... mehr

Rz. 97 Im Zusammenhang mit der Vermeidung oder Reduzierung operationeller Risiken werden häufig auch Auslagerungen genannt. Derartigen Maßnahmen könnte – neben betriebswirtschaftlichen Gesichtspunkten – auch die Überlegung zugrunde liegen, dass im Fall ausgelagerter Tätigkeiten die Gefahr von Verlusten, die infolge der Unangemessenheit oder des Versagens von internen Verfahr... mehr

Rz. 58 Im Januar 2013 hat der Baseler Ausschuss für Bankenaufsicht Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung veröffentlicht.[1] Mit diesen Grundsätzen hat er auf einen entsprechenden Beschluss der G20 und damit verbundene Anforderungen des FSB vom 4. November 2011 reagiert. Betroffen sind das Risikomanagement und die Information... mehr

Pump, Abgrenzungskriterien für die Feststellung des "einem Ingenieur ähnlichen Berufs" gem § 18 EStG in der Rspr, StBp 1992, 91; Reiter/Weyand, Die Entwicklung der höchstrichterlichen Rspr zur Qualifizierung der Einkünfte des EDV-Beraters, INF 1995, 553; Centrale-Gutachtendienst, Ingenieurtätigkeit eines Gesellschafter-Geschäftsführers, GmbH-Rdsch 1996, 680; Schottelius, Der zu... mehr

Rz. 73 An die dabei zu berücksichtigenden "Notfallszenarien" werden von der deutschen Aufsicht gewisse Mindestanforderungen gestellt. So sollen mindestens ein (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Gebietssperrung, Ausfall der Zutrittskontrolle), ein erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur (z. B. aufgrund von Fehlern ... mehr

Rz. 91 Die EZB hat die bedeutenden Institute bereits zu Beginn der COVID-19-Pandemie aufgefordert, ihre Vorkehrungen für die Mitarbeitersicherheit und zur Aufrechterhaltung des Geschäftsbetriebes (Geschäftsfortführung) zu prüfen und darüber nachzudenken, welche Maßnahmen sie treffen können, um allgemein auf "Pandemien" besser vorbereitet zu sein und konkret die möglichen neg... mehr

Rz. 382 In der Fachliteratur unterscheidet man grundsätzlich zwischen formellen und informellen Steuerungs- und Überwachungsmechanismen.[1] Formelle Mechanismen beruhen im Wesentlichen auf schriftlich fixierten Regeln und Anweisungen, die z. B. im Auslagerungsvertrag oder den Organisationsrichtlinien des auslagernden Institutes verankert werden. Informelle Mechanismen können... mehr

Rz. 43 Ein direkter Zusammenhang zu den operationellen Risiken besteht hinsichtlich der Risiken aus ausgelagerten Aktivitäten und Prozessen ("Outsourcing Risk"). Mangelhafte Leistungserbringung, schlecht vorbereitete Auslagerungen, insbesondere in Offshore-Regionen, unvollständige Kostenkalkulationen, Kontrollverluste und Abhängigkeiten sowie der irreversible Verlust von eig... mehr

Rz. 10 Die Risiken von Auslagerungen sind auch für die Bankenaufsicht von Bedeutung. Gesetzgeber und Aufsichtsbehörden können es nicht hinnehmen, wenn Institute die Kontrolle über ihre ausgelagerten Aktivitäten und Prozesse verlieren. Die BaFin hat frühzeitig darauf hingewiesen, dass Auslagerungen nicht zur Beaufsichtigung von "virtuellen Banken" oder "Parabanken" führen dür... mehr

Rz. 170 Unabhängig davon muss sich das Institut nach Tz. 3.10 BAIT laufend über "Bedrohungen" und "Schwachstellen" seines Informationsverbundes informieren, ihre Relevanz prüfen, ihre Auswirkung bewerten und, sofern erforderlich, geeignete technische und organisatorische Maßnahmen ergreifen. Dabei sind interne und externe Veränderungen, z. B. der Bedrohungslage, zu berücksi... mehr

Rz. 52 Der Baseler Ausschuss für Bankenaufsicht (BCBS) hat explizit klargestellt, dass sich die Grundsätze an die systemrelevanten Institute richten und sowohl auf Konzernebene (bzw. Gruppenebene) als auch auf Ebene der wesentlichen Einzelinstitute innerhalb der Gruppe anzuwenden sind.[1] Die deutsche Aufsicht erwartet entsprechend, die Anforderungen nicht nur auf Gruppenebe... mehr

Rz. 36 Die "Integrität" ("integrity") bezeichnet laut BSI die Sicherstellung der Korrektheit (Unversehrtheit) von Daten bzw. der korrekten Funktionsweise von Systemen. Das BSI unterscheidet außerdem zwischen der Integrität von "Daten" und der Integrität von "Informationen". Das ist darauf zurückzuführen, dass der Begriff "Informationen" vom BSI als Synonym für "Daten" verwen... mehr

Rz. 60 Gemäß Tz. 4.7 BAIT sollen die Institute die Begriffe "Informationssicherheitsvorfall"[1], "sicherheitsrelevantes Ereignis" im Sinne der operativen Informationssicherheit und ungeplante "Abweichung vom Regelbetrieb" im Sinne einer "Störung" nachvollziehbar voneinander abgrenzen. Die Definition des Begriffes "Informationssicherheitsvorfall" orientiert sich nach Art und... mehr

Rz. 185 Betrachtet man den gesamten Auslagerungsprozess, der von der strategischen Grundsatzentscheidung über die Anbahnung und Implementierung bis hin zum Regelbetrieb reicht, so nimmt die "Analyse der Risiken" eine exponierte Stellung ein.[1] Erst durch deren Einbindung in den Auslagerungsprozess entfaltet die Risikoanalyse ihre volle Wirksamkeit. Zugleich trägt das Instit... mehr

Rz. 169 Die MaRisk enthalten im Hinblick auf die Risikoanalyse keine konkreten Vorgaben. Es gilt der Grundsatz der Proportionalität. Die Intensität der Analyse hängt von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab. Die MaRisk verlangen lediglich, dass die maßgeblichen Organisationseinheiten bei der Erstellung der Risikoanalyse einz... mehr

Rz. 112 Angesichts der besonderen Merkmale von ESG-Risiken sollten die Institute ihre IT-Systeme anpassen, um die erforderlichen Daten systematisch erheben und aggregieren sowie beurteilen zu können, inwieweit sie diesen Risiken ausgesetzt sind. Außerdem sollten sich die Institute darüber Gedanken machen, wie die bestehenden Datenlücken in diesem Bereich geschlossen werden ... mehr

Rz. 292 Die konkrete Ausgestaltung des Vertrages ist insbesondere bei komplexen Auslagerungsmaßnahmen alles andere als ein leichtes Unterfangen. Abstrakt gehaltene Formulierungen können sich dabei im Nachhinein als genauso problematisch erweisen wie ein zu hoher Detaillierungsgrad. Auslagerungsverträge haben typischerweise eine mehrjährige Laufzeit, so dass Anpassungen, die ... mehr

Rz. 302 Die Spezifizierung der vom Auslagerungsunternehmen zu erbringenden Leistung ist ein zentraler Bestandteil des Auslagerungsvertrages, dessen Bedeutung allerdings in der Praxis häufig unterschätzt wird.[1] Die zu erbringende Leistung sollte so exakt wie möglich mit dem Auslagerungsunternehmen abgestimmt und in einer Leistungsbeschreibung fixiert werden. Um nachträglich... mehr

Rz. 70 Die zuständigen Behörden sollten im Rahmen des SREP auf Basis eines tiefgreifenden Verständnisses vom Geschäftsmodell, den Geschäften und der Risikokultur des Institutes sowie vom Umfeld, in dem das Institut operiert, die Quellen und die wesentlichen Treiber des operationellen Risikos sowie deren Wechselwirkungen ermitteln. Zudem sollten sie die Art und den Umfang des... mehr

Rz. 77 6 Bei Direkterfassung in den IT-Systemen muss sichergestellt sein, dass ein Händler nur unter seiner eigenen Händleridentifikation Handelsgeschäfte eingeben kann. Erfassungstag und -uhrzeit sowie fortlaufende Geschäftsnummern müssen automatisch vorgegeben werden und dürfen vom Händler nicht veränderbar sein. 6.1 Direkterfassung in den IT-Systemen Rz. 78 Die maßgeblichen... mehr

Rz. 2 Die Institute haben sich bei wesentlichen Veränderungen in der Aufbau- und Ablauforganisation mit deren Auswirkungen auf ihre internen Kontrollverfahren und -prozesse sorgfältig auseinanderzusetzen. Wegen der besonderen Bedeutung für nahezu sämtliche Risikomanagementprozesse erwartet die Aufsicht eine vergleichbare Analyse auch bei wesentlichen Veränderungen in den IT-... mehr