56. Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die …

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Änderungsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Der Rahmen des Instituts sollte die Risiken umfassen, die mit der Entwicklung, dem Testen und der Genehmigung von Änderungen der IKT-Systeme verbunden sind, einschließlich der Entwicklung oder Änderung von Software, bevor sie in die Produktionsumgebung migriert werden, und ein angemessenes IKT-Lebenszyklusmanagement gewährleisten. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob der Rahmen Folgendes berücksichtigt:

• a. dokumentierte Prozesse zur Verwaltung und Kontrolle von Änderungen an IKT-Systemen (z. B. Konfigurations- und Patch-Management) und Daten (z. B. Fehlerbehebung oder Datenkorrekturen), um eine angemessene Einbindung des IKT-Risikomanagements für wichtige IKT-Änderungen zu gewährleisten, die das Risikoprofil oder die Risikoposition des Instituts erheblich beeinträchtigen können;
• b. Spezifikationen im Hinblick auf die erforderliche Aufgabentrennung in den verschiedenen Phasen der implementierten IKT-Änderungsprozesse (z. B. Lösungskonzept und -entwicklung, Prüfung und Genehmigung neuer Software und/oder Änderungen, Migration und Implementierung in der Produktionsumgebung und Fehlerbehebung) mit Schwerpunkt auf den implementierten Lösungen und der Aufgabentrennung in Verwaltung und Kontrolle von Änderungen an den IKT-Produktionssystemen und -daten durch IKT-Mitarbeiter (z. B. Entwickler, IKT-Systemadministratoren, Datenbankadministratoren) oder eine andere Partei (z. B. geschäftliche Nutzer, Dienstanbieter);
• c. Testumgebungen, die die Produktionsumgebungen angemessen widerspiegeln;
• d. ein Asset-Inventar der bestehenden Anwendungen und IKT-Systeme in der Produktionsumgebung sowie die Test- und Entwicklungsumgebung, so dass erforderliche Änderungen (z. B. Versions-Updates oder -Upgrades, System-Patching, Konfigurationsänderungen) für die beteiligten IKT-Systeme ordnungsgemäß verwaltet, implementiert und überwacht werden können.
• e. ein Prozess für Lebenszyklusmanagement und -überwachung der verwendeten IKT-Systeme, um sicherzustellen, dass sie weiterhin die tatsächlichen Anforderungen an das Geschäfts- und Risikomanagement erfüllen und unterstützen und dafür sorgen, dass die verwendeten IKT-Lösungen und -Systeme weiterhin von ihren Anbietern unterstützt werden; und dass dies mit angemessenen Prozessen zum Softwareentwicklungs-Lebenszyklus einhergeht.
• f. ein Software-Quellcode-Kontrollsystem und entsprechende Verfahren zur Verhütung unbefugter Änderungen im Quellcode der intern entwickelten Software;
• g. ein Prozess zur Durchführung eines Sicherheits- und Sicherheitslücken-Screenings von neuen oder erheblich modifizierten IKT-Systemen und Software, bevor sie zur Produktion freigegeben und möglichen Cyber-Angriffen ausgesetzt werden;
• h. ein Prozess und Lösungen zur Verhinderung der unbefugten oder unbeabsichtigten Freigabe vertraulicher Daten beim Austausch, Archivieren, Entsorgen oder Vernichten von IKT-Systemen;
• i. ein unabhängiger Überprüfungs- und Validierungsprozess zur Reduzierung der Risiken in Bezug auf menschliche Fehler bei der Durchführung von Änderungen an den IKT-Systemen, die erhebliche nachteilige Auswirkungen auf die Verfügbarkeit, Kontinuität oder Sicherheit des Instituts (z. B. wichtige Änderungen an der Firewall-Konfiguration) oder auf die Sicherheit des Instituts (z. B. Änderungen an den Firewalls) haben können.
• (d) Kontrollen für den Umgang mit erheblichen IKT-Datenintegritätsrisiken

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.