57. Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die …

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Datenintegritätsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Im Rahmen des Instituts sollten die Risiken berücksichtigt sein, die mit der Wahrung der Integrität der von den IKT-Systemen gespeicherten und verarbeiteten Daten verknüpft sind. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob in dem Rahmen Folgendes berücksichtigt ist:

• a. Richtlinien, in denen die Rollen und Verantwortlichkeiten für die Verwaltung der Integrität der Daten in den IKT-Systemen festgelegt sind (z. B. Datenarchitekten, Datensachbearbeiter⁶ , Datentreuhänder⁷ , Dateneigentümer/-verwalter⁸ ) und in der Orientierungshilfen dazu enthalten sind, welche Daten im Hinblick auf die Datenintegrität kritisch sind und spezifischen IKT-Kontrollen (z. B. automatisierte Eingabevalidierungskontrollen, Datenübertragungskontrollen, Datenabgleichen usw.) oder Überprüfungen (z. B. eine Kompatibilitätsprüfung mit der Datenarchitektur) in den verschiedenen Phasen des IKT-Datenlebenszyklus unterzogen werden sollten;
• b. eine dokumentierte Datenarchitektur, ein Datenmodell und/oder ein Datenbeschreibungsverzeichnis, das mit relevanten Geschäfts- und IT-Stakeholdern validiert wird, um die erforderliche Datenkohärenz in den IKT-Systemen zu unterstützen und

6 Ein Datensachbearbeiter ist für die Datenverarbeitung und -nutzung zuständig. 7 Ein Datentreuhänder ist für sichere Aufbewahrung, den Transport und die Speicherung von Daten zuständig. 8 Ein Datenverwalter ist für die Verwaltung und die Tauglichkeit von Datenelementen – sowohl der Inhalte und der Metadaten – zuständig. sicherzustellen, dass die Datenarchitektur, das Datenmodell und/oder das Datenbeschreibungsverzeichnis auf die Geschäfts- und Risikomanagement-Erfordernisse abgestimmt sind;

• c. eine Richtlinien im Hinblick auf die zulässige Nutzung und Vertrauenswürdigkeit von End User Computing, insbesondere hinsichtlich der Ermittlung, Registrierung und Dokumentation wichtiger Endbenutzer-Computing-Lösungen (z. B. bei der Verarbeitung wichtiger Daten) und der erwarteten Sicherheitsstufe zur Verhütung unbefugter Änderungen sowohl im Tool selbst als auch in den darin gespeicherten Daten;
• d. dokumentierte Ausnahmebehandlungsprozesse, um ermittelte IKT-Datenintegritätsprobleme gemäß ihrer Kritikalität und Empfindlichkeit zu lösen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.