3.3 Bewertung der Kontrollen zur Minderung erheblicher IKT-Risiken

Um die verbleibende IKT-Risikoposition des Instituts zu bewerten, sollten die zuständigen Behörden prüfen, wie das Institut die von den zuständigen Behörden in der obigen Bewertung ermittelten erheblichen Risiken ermittelt, überwacht, einstuft und mindert.

Zu diesem Zweck sollten die zuständigen Behörden im Hinblick auf die ermittelten erheblichen IKT-Risiken das Zutreffende überprüfen:

• a. IKT-Risikomanagementrichtlinien, -prozesse und Risikotoleranzschwellen;
• b. Organisationsmanagement- und Aufsichtsrahmen;
• c. interner Prüfungsumfang und -feststellungen; und
• d. IKT-Risikokontrollen, die für das ermittelte erhebliche IKT-Risiko spezifisch sind.

Bei der Bewertung sollten das Ergebnis der Analyse des Gesamtrisikomanagement- und internen Kontrollrahmens, wie in Titel 5 der EBA-SREP-Leitlinien erwähnt, sowie die Governance und Strategie des Instituts gemäß Titel 2 dieser Leitlinien berücksichtigt werden, da signifikante Mängel, die in diesen Bereichen identifiziert wurden, die Fähigkeit des Instituts zur Steuerung und Minderung seiner IKT-Risikopositionen beeinträchtigen können. Soweit erforderlich, sollten die zuständigen Behörden auch die Informationsquellen in Absatz 37 dieser Leitlinien nutzen.

Die zuständigen Behörden sollten die folgenden Bewertungsschritte in einer Weise durchführen, die der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts angemessen ist, und dabei eine aufsichtlichen Überprüfung vornehmen, die dem IKT-Risikoprofil des Instituts angemessen ist.

3.3.1 IKT-Risikomanagementpolitik, -prozesse und -toleranzschwellen

Die zuständigen Behörden sollten prüfen, ob das Institut über geeignete Risikomanagementpolitiken, - prozesse und -toleranzschwellen für die ermittelten erheblichen IKT-Risiken verfügt. Diese können Teil des operationellen Risikomanagementrahmens oder eines separaten Dokuments sein. Bei dieser Bewertung sollten die zuständigen Behörden berücksichtigen, ob:

• a. die Risikomanagementrichtlinien vom Leitungsorgan formalisiert und genehmigt wurde und hinreichende Richtlinien in Bezug auf die IKT-Risikobereitschaft des Instituts und die wichtigsten IKT-Risikomanagementziele und/oder angewandten IKT-Risikotoleranzschwellen enthält. Außerdem sollten alle relevanten Stakeholder über die relevante IKT- Risikomanagementrichtlinien informiert werden;
• b. die anwendbare Politik alle wesentlichen Elemente für das Risikomanagement der ermittelten erheblichen IKT-Risiken umfasst;
• c. das Institut einen Prozess und zugrunde liegende Verfahren zur Ermittlung (z. B. „Risikokontroll-Selbstbewertung“, Risikoszenarioanalyse) und Überwachung der einbezogenen erheblichen IKT-Risiken umgesetzt hat; und
• d. das Institut über eine Berichtslinie zum IKT-Risikomanagement verfügt, die der Geschäftsleitung und dem Leitungsorgan zeitgerechte Informationen zur Verfügung stellt und der Geschäftsleitung und/oder dem Leitungsorgan die Möglichkeit gibt, zu bewerten und zu kontrollieren, ob die IKT-Risikominderungspläne und -maßnahmen des Instituts mit den genehmigten Risikobereitschafts- und/oder -toleranzschwellen (soweit relevant) übereinstimmen, und Änderungen erheblicher IKT-Risiken zu überwachen.

3.3.2 Organisationsmanagement- und Aufsichtsrahmen

Die zuständigen Behörden sollten bewerten, wie die anwendbaren Risikomanagement-Rollen und -Verantwortlichkeiten in die interne Organisation eingebettet und integriert werden, um die ermittelten erheblichen IKT-Risiken zu steuern und zu überwachen. In diesem Zusammenhang sollten die zuständigen Behörden bewerten, ob das Institut Folgendes nachweist:

• a. klare Rollen und Verantwortlichkeiten für die Ermittlung, Bewertung, Überwachung, Minderung, Meldung und Überwachung des damit verbundenen erheblichen IKT-Risikos;
• b. dass die Risikoverantwortlichkeiten und -rollen in allen relevanten Teilen (z. B. Geschäftsbereiche, IT) und Prozessen der Organisation klar kommuniziert, zugewiesen und eingebettet werden, einschließlich der Rollen und Verantwortlichkeiten für die Erhebung und Aggregation der Risikodaten und ihrer Berichterstattung an die Geschäftsleitung und/oder das Leitungsorgan;
• c. dass die IKT-Risikomanagement-Aktivitäten mit ausreichenden und qualitativ angemessenen personellen und technischen Mitteln durchgeführt werden. Zur Bewertung der Glaubwürdigkeit der anwendbaren Risikominderungspläne sollten die zuständigen Behörden auch beurteilen, ob das Institut ausreichende Finanzmittel und/oder sonstige für ihre Umsetzung erforderlichen Mittel bereitgestellt hat;
• d. eine angemessene Nachbereitung und Reaktion des Leitungsorgans auf wichtige Feststellungen der unabhängigen Kontrollfunktionen hinsichtlich des oder der IKT-Risiken unter Berücksichtigung der möglichen Delegierung einiger Aspekte an einen Ausschuss, soweit vorhanden; und
• e. dass Ausnahmen von den anwendbaren IKT-Vorschriften und -Regeln erfasst und einer dokumentierten Überprüfung und Berichterstattung durch die unabhängige Kontrollfunktion unter Berücksichtigung der damit verbundenen Risiken unterzogen werden.

3.3.3 Interner Prüfungsumfang und -feststellungen

Die zuständigen Behörden sollten beurteilen, ob die Innenrevision im Hinblick auf die Prüfung des anwendbaren IKT-Risikokontrollrahmens wirksam ist, indem sie überprüft, ob:

• a. der IKT-Risikokontrollrahmen mit der geforderten Qualität, Gründlichkeit und Häufigkeit geprüft und er der Größe, den Aktivitäten und dem IKT-Risikoprofil des Instituts entspricht;
• b. der Prüfungsplan die Prüfung der vom Institut ermittelten kritischen IKT-Risiken berücksichtigt;
• c. die wichtigen IKT-Prüfungsfeststellungen, einschließlich der vereinbarten Maßnahmen, dem Leitungsorgan mitgeteilt werden; und
• d. IKT-Prüfungsfeststellungen, einschließlich vereinbarter Maßnahmen, nachverfolgt und Fortschrittsberichte von der Geschäftsleitung und/oder dem Prüfungsausschuss regelmäßig überprüft werden.

3.3.4 IKT-Risikokontrollen, die für die ermittelten erheblichen IKT-Risiken spezifisch sind

Für die ermittelten erheblichen IKT-Risiken sollten die zuständigen Behörden bewerten, ob das Institut spezifische Kontrollen zur Bewältigung dieser Risiken eingeführt hat. Die folgenden Abschnitte enthalten eine nicht erschöpfende Liste der spezifischen Kontrollen, die bei der Bewertung der unter Punkt 3.2.3 genannten erheblichen Risiken zu berücksichtigen sind, welche den folgenden IKT-Risikokategorien zugeordnet wurden:

• a. IKT-Verfügbarkeits- und Kontinuitätsrisiken,
• b. IKT-Sicherheitsrisiken,
• c. IKT-Änderungsrisiken,
• d. IKT-Datenintegritätsrisiken,
• e. IKT-Auslagerungsrisiken.
• (a) Kontrollen für den Umgang mit erheblichen IKT-Verfügbarkeits- und Kontinuitätsrisiken

Neben den Anforderungen der EBA-SREP-Leitlinien (Absätze 279-281) sollten die zuständigen Behörden bewerten, ob das Institut über einen geeigneten Rahmen zur Ermittlung, zum Verständnis, zur Messung und zur Minderung der IKT-Verfügbarkeits- und Kontinuitätsrisiken verfügt.

Bei dieser Bewertung sollten die zuständigen Behörden insbesondere berücksichtigen, ob der Rahmen:

• a. die kritischen IKT-Prozesse und die entsprechenden unterstützenden IKT-Systeme, die Teil der Notfall- und Kontinuitätspläne sein sollten, ermittelt, und zwar mit:
• i. einer umfassenden Analyse der Abhängigkeiten zwischen den kritischen Geschäftsprozessen und Unterstützungssystemen;
• ii. der Bestimmung der Wiederherstellungsziele für die unterstützenden IKT-Systeme (z. B. in der Regel vom Geschäftsbereich und/oder den Vorschriften in Bezug auf RTO und RPO bestimmt);
• iii. angemessener Notfallplanung, um die Verfügbarkeit, Kontinuität und Wiederherstellung kritischer IKT-Systeme und -Dienste zu ermöglichen mit dem Ziel, Störungen der Tätigkeiten eines Instituts in vertretbaren Grenzen zu halten.
• b. über Richtlinien und Standards in Bezug auf Notfallpläne, die Kontinuitätskontrollumgebung und operationelle Kontrollen verfügt, die Folgendes beinhalten:
• i. Maßnahmen, um zu vermeiden, dass ein einzelnes Szenario, Ereignis oder Katastrophe Auswirkungen auf sowohl die IKT-Produktions- als auch die IKT-Wiederherstellungssysteme haben könnte,
• ii. IKT-System-Backup- und Wiederherstellungsverfahren für kritische Software und Daten, die sicherstellen, dass diese Backups an einem sicheren und ausreichend entfernt gelegenen Ort gespeichert werden, so dass ein Ereignis oder eine Katastrophe diese kritischen Daten nicht zerstören oder beschädigen können;
• iii. Überwachungslösungen zur zeitgerechten Aufdeckung von IKT-Verfügbarkeits- oder Kontinuitätsereignissen;
• iv. einen dokumentierten Ereignismanagement- und -eskalationsprozess, der Orientierungshilfen für die verschiedenen Ereignismanagement- und eskalationsrollen und -verantwortlichkeiten, die Mitglieder des bzw. der Krisenausschüsse und die Befehlskette in Notfällen vorgibt;
• v. physische Maßnahmen, um die kritische IKT-Infrastruktur des Instituts (z. B. Rechenzentren) vor Umweltrisiken (z. B. Überschwemmungen und anderen Naturkatastrophen) zu schützen und eine angemessene Betriebsumgebung für IKT-Systeme (z. B. Klimaanlage) sicherzustellen;
• vi. Prozesse, Rollen und Verantwortlichkeiten, um sicherzustellen, dass auch ausgelagerte IKT-Systeme und -Dienste von angemessenen Notfall- und Kontinuitätslösungen und -plänen abgedeckt werden;
• vii. IKT-Leistungs- und Kapazitätsplanungs- sowie Überwachungslösungen für kritische IKT-Systeme und -Dienste mit festgelegten Verfügbarkeitsanforderungen, um rechtzeitig wichtige Leistungs- und Kapazitätseinschränkungen zu ermitteln;
• viii. Lösungen zum Schutz kritischer Internetaktivitäten oder -dienste (z. B. E-Banking-Dienste), soweit erforderlich und angemessen, gegen Denial-of-Service- und anderen Cyber-Angriffen aus dem Internet, die darauf abzielen, den Zugriff zu diesen Aktivitäten und Diensten zu verhindern oder zu stören.
• c. die IKT-Verfügbarkeits- und Kontinuitätslösungen mit Blick auf eine Reihe realistischer Szenarien prüft, darunter Cyber-Angriffe, Failover-Tests und Backup-Tests für kritische Software und Daten, die:
• i. geplant, formalisiert und dokumentiert sind, und die Testergebnisse, die zur Stärkung der Wirksamkeit der IKT-Verfügbarkeits- und Kontinuitätslösungen genutzt werden;
• ii. Stakeholder und Funktionen innerhalb der Organisation beinhalten, wie Geschäftsbereichsmanagement einschließlich der Geschäftskontinuitäts-, Ereignis- und Krisenreaktionsteams, sowie relevante externe Stakeholder im Ökosystem;
• iii. das Leitungsorgan und die Geschäftsleitung entsprechend beteiligt (als Teil der Krisenmanagementteams) und über die Testergebnisse informiert sind.
• (b) Kontrollen für den Umgang mit erheblichen IKT-Sicherheitsrisiken

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen zur Ermittlung, Verständnis, Messung und Minderung des IKT-Sicherheitsrisikos verfügt. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob der Rahmen Folgendes berücksichtigt:

• a. klar definierte Rollen und Verantwortlichkeiten in Bezug auf:
• i. die Person(en) und/oder Ausschüsse, die für das tägliche IKT-Sicherheitsmanagement und die Ausarbeitung der übergreifenden IKT-Sicherheitspolitiken verantwortlich oder diesbezüglich rechenschaftspflichtig sind, unter Beachtung ihrer erforderlichen Unabhängigkeit;
• ii. die Gestaltung, Umsetzung, Verwaltung und Überwachung von IKT-Sicherheitskontrollen;
• iii. der Schutz kritischer IKT-Systeme und -Dienste, z. B. durch Verabschiedung eines Sicherheitslücken-Bewertungsprozesses, Software-Patch-Management, durchgehenden Schutz (z. B. Schadsoftware-Virus), Eindringungserkennungs- und Präventionstools;
• iv. die Überwachung, Klassifizierung und Behandlung externer oder interner IKT-Sicherheitsereignisse, einschließlich der Ereignisreaktion und der Wiederinbetriebnahme und Wiederherstellung der IKT-Systeme und -Dienste;
• v. regelmäßige und proaktive Bedrohungsbewertungen zur Aufrechterhaltung angemessener Sicherheitskontrollen.
• b. eine IKT-Sicherheitspolitik, die international anerkannte IKT-Sicherheitsstandards und Sicherheitsgrundsätze (z. B. das „Prinzip der geringsten Privilegien", d. h. die Begrenzung des Zugriffs auf das absolute Minimum, um ein normales Funktionieren der Verwaltung der Zugriffsrechte zu erlauben, und das Prinzip der „Verteidigung in der Tiefe“, d. h. überlagerte Sicherheitsmechanismen, welche die Sicherheit des Systems als Ganzes zur Entwicklung einer Sicherheitsarchitektur erhöhen) berücksichtigt und gegebenenfalls einhält;
• c. ein Prozess zur Ermittlung von IKT-Systemen, -Diensten und angemessenen Sicherheitsanforderungen, die ein potenzielles Betrugsrisiko und/oder eine unsachgemäße oder missbräuchliche Verwendung vertraulicher Daten widerspiegeln, sowie einzuhaltende dokumentierte Sicherheitserwartungen für diese ermittelten IKT-Systeme, -Dienste und -Daten, die auf die Risikotoleranz des Instituts abgestimmt sind, und deren ordnungsgemäße Umsetzung überwacht wird;
• d. einen dokumentierten Sicherheitsereignismanagement- und -eskalationsprozess, der Orientierungshilfen für die verschiedenen Ereignismanagement- und -eskalationsrollen und -verantwortlichkeiten, die Mitglieder des bzw. der Krisenausschüsse und die Befehlskette in Notfällen bei Sicherheitsproblemen vorgibt;
• e. Protokollierung der Nutzer- und Administratorenaktivität, um eine wirksame Überwachung und die rechtzeitige Aufdeckung und Reaktion auf unbefugte Zugriffe zu ermöglichen; um forensische Untersuchungen von Sicherheitsereignissen zu unterstützen oder durchzuführen. Das Institut sollte über Protokollierungsleitfaden verfügen, in der angemessene Protokolltypen sowie ihre Aufbewahrungszeiträume festgelegt sind;
• f. Sensibilisierungs- und Informationskampagnen oder -initiativen, um alle Ebenen des Instituts über die sichere Nutzung und den Schutz der IKT-Systeme des Instituts und die wichtigsten IKT-Sicherheitsrisiken (und andere) Risiken zu informieren, über die sie Bescheid wissen sollten, insbesondere hinsichtlich der bestehenden und sich entwickelnden Cyberrisiken (z. B. Computerviren, mögliche interne oder externe Missbräuche oder Angriffe, Cyber-Angriffe) und ihre Rolle bei der Minderung von Sicherheitsverstößen;
• g. angemessene physische Sicherheitsmaßnahmen (z. B. Videoüberwachung, Einbruchalarm, Sicherheitstüren), um einen unbefugten physischen Zugriff auf kritische und sensible IKT-Systeme (z. B. Rechenzentren) zu verhindern;
• h. Maßnahmen zum Schutz der IKT-Systeme vor Angriffen aus dem Internet (d. h. Cyber-Angriffe) oder anderen externen Netzwerken (z. B. traditionelle Telekommunikationsverbindungen oder Verbindungen mit vertrauenswürdigen Partnern). Die zuständigen Behörden sollten prüfen, ob der Rahmen des Instituts Folgendes berücksichtigt:
• i. einen Prozess und Lösungen zum Führen eines vollständigen und aktuellen Inventars und einer Übersicht über alle nach außen gerichteten Netzwerkverbindungspunkte (z. B. Websites, Online-Anwendungen, WLAN, Fernzugriff), durch die Dritte in die internen IKT-Systeme eindringen könnten.
• ii. genau gesteuerte und überwachte Sicherheitsmaßnahmen (z. B. Firewalls, Proxy-Server, Mail-Relays, Antivirus- und Content-Scanner), um den eingehenden und ausgehenden Netzwerkverkehr (z. B. E-Mail) und die nach außen gerichteten Netzwerkverbindungen, durch die Dritte in die internen IKT-Systeme eindringen könnten, zu sichern;
• iii. Prozesse und Lösungen zur Sicherung von Websites und Anwendungen, die direkt aus dem Internet und/oder von außen angegriffen werden können und als Zugriffspunkt in die internen IKT-Systeme dienen können. In der Regel handelt es sich dabei um eine Kombination aus anerkannten sicheren Entwicklungspraktiken, IKT-Systemhärtungs- und Sicherheitslücken-Scanning-Praktiken und/oder die Implementierung ergänzender Sicherheitslösungen, wie z. B. Anwendungs-Firewalls und/oder Eindringungserkennungs-und/oder Präventionstools;
• iv. regelmäßige Sicherheitsdurchdringungstests zur Bewertung der Wirksamkeit von implementierten Cyber- und internen IKT-Sicherheitsmaßnahmen und -prozessen. Diese Tests sollten von Mitarbeitern und/oder externen Sachverständigen mit dem erforderlichen Fachwissen durchgeführt werden, wobei dokumentierte Testergebnisse und Schlussfolgerungen der Geschäftsleitung und/oder dem Leitungsorgan mitgeteilt werden. Soweit erforderlich und anwendbar, sollte das Institut aus diesen Tests Erkenntnisse im Hinblick darauf ziehen, an welchen Stellen die Sicherheitskontrollen und -prozesse weiter verbessert werden können und/oder wie eine bessere Sicherung ihrer Wirksamkeit bewerkstelligt werden kann.
• (c) Kontrollen für den Umgang mit erheblichen IKT-Änderungsrisiken

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Änderungsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Der Rahmen des Instituts sollte die Risiken umfassen, die mit der Entwicklung, dem Testen und der Genehmigung von Änderungen der IKT-Systeme verbunden sind, einschließlich der Entwicklung oder Änderung von Software, bevor sie in die Produktionsumgebung migriert werden, und ein angemessenes IKT-Lebenszyklusmanagement gewährleisten. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob der Rahmen Folgendes berücksichtigt:

• a. dokumentierte Prozesse zur Verwaltung und Kontrolle von Änderungen an IKT-Systemen (z. B. Konfigurations- und Patch-Management) und Daten (z. B. Fehlerbehebung oder Datenkorrekturen), um eine angemessene Einbindung des IKT-Risikomanagements für wichtige IKT-Änderungen zu gewährleisten, die das Risikoprofil oder die Risikoposition des Instituts erheblich beeinträchtigen können;
• b. Spezifikationen im Hinblick auf die erforderliche Aufgabentrennung in den verschiedenen Phasen der implementierten IKT-Änderungsprozesse (z. B. Lösungskonzept und -entwicklung, Prüfung und Genehmigung neuer Software und/oder Änderungen, Migration und Implementierung in der Produktionsumgebung und Fehlerbehebung) mit Schwerpunkt auf den implementierten Lösungen und der Aufgabentrennung in Verwaltung und Kontrolle von Änderungen an den IKT-Produktionssystemen und -daten durch IKT-Mitarbeiter (z. B. Entwickler, IKT-Systemadministratoren, Datenbankadministratoren) oder eine andere Partei (z. B. geschäftliche Nutzer, Dienstanbieter);
• c. Testumgebungen, die die Produktionsumgebungen angemessen widerspiegeln;
• d. ein Asset-Inventar der bestehenden Anwendungen und IKT-Systeme in der Produktionsumgebung sowie die Test- und Entwicklungsumgebung, so dass erforderliche Änderungen (z. B. Versions-Updates oder -Upgrades, System-Patching, Konfigurationsänderungen) für die beteiligten IKT-Systeme ordnungsgemäß verwaltet, implementiert und überwacht werden können.
• e. ein Prozess für Lebenszyklusmanagement und -überwachung der verwendeten IKT-Systeme, um sicherzustellen, dass sie weiterhin die tatsächlichen Anforderungen an das Geschäfts- und Risikomanagement erfüllen und unterstützen und dafür sorgen, dass die verwendeten IKT-Lösungen und -Systeme weiterhin von ihren Anbietern unterstützt werden; und dass dies mit angemessenen Prozessen zum Softwareentwicklungs-Lebenszyklus einhergeht.
• f. ein Software-Quellcode-Kontrollsystem und entsprechende Verfahren zur Verhütung unbefugter Änderungen im Quellcode der intern entwickelten Software;
• g. ein Prozess zur Durchführung eines Sicherheits- und Sicherheitslücken-Screenings von neuen oder erheblich modifizierten IKT-Systemen und Software, bevor sie zur Produktion freigegeben und möglichen Cyber-Angriffen ausgesetzt werden;
• h. ein Prozess und Lösungen zur Verhinderung der unbefugten oder unbeabsichtigten Freigabe vertraulicher Daten beim Austausch, Archivieren, Entsorgen oder Vernichten von IKT-Systemen;
• i. ein unabhängiger Überprüfungs- und Validierungsprozess zur Reduzierung der Risiken in Bezug auf menschliche Fehler bei der Durchführung von Änderungen an den IKT-Systemen, die erhebliche nachteilige Auswirkungen auf die Verfügbarkeit, Kontinuität oder Sicherheit des Instituts (z. B. wichtige Änderungen an der Firewall-Konfiguration) oder auf die Sicherheit des Instituts (z. B. Änderungen an den Firewalls) haben können.
• (d) Kontrollen für den Umgang mit erheblichen IKT-Datenintegritätsrisiken

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Datenintegritätsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Im Rahmen des Instituts sollten die Risiken berücksichtigt sein, die mit der Wahrung der Integrität der von den IKT-Systemen gespeicherten und verarbeiteten Daten verknüpft sind. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob in dem Rahmen Folgendes berücksichtigt ist:

• a. Richtlinien, in denen die Rollen und Verantwortlichkeiten für die Verwaltung der Integrität der Daten in den IKT-Systemen festgelegt sind (z. B. Datenarchitekten, Datensachbearbeiter⁶ , Datentreuhänder⁷ , Dateneigentümer/-verwalter⁸ ) und in der Orientierungshilfen dazu enthalten sind, welche Daten im Hinblick auf die Datenintegrität kritisch sind und spezifischen IKT-Kontrollen (z. B. automatisierte Eingabevalidierungskontrollen, Datenübertragungskontrollen, Datenabgleichen usw.) oder Überprüfungen (z. B. eine Kompatibilitätsprüfung mit der Datenarchitektur) in den verschiedenen Phasen des IKT-Datenlebenszyklus unterzogen werden sollten;
• b. eine dokumentierte Datenarchitektur, ein Datenmodell und/oder ein Datenbeschreibungsverzeichnis, das mit relevanten Geschäfts- und IT-Stakeholdern validiert wird, um die erforderliche Datenkohärenz in den IKT-Systemen zu unterstützen und

6 Ein Datensachbearbeiter ist für die Datenverarbeitung und -nutzung zuständig. 7 Ein Datentreuhänder ist für sichere Aufbewahrung, den Transport und die Speicherung von Daten zuständig. 8 Ein Datenverwalter ist für die Verwaltung und die Tauglichkeit von Datenelementen – sowohl der Inhalte und der Metadaten – zuständig. sicherzustellen, dass die Datenarchitektur, das Datenmodell und/oder das Datenbeschreibungsverzeichnis auf die Geschäfts- und Risikomanagement-Erfordernisse abgestimmt sind;

• c. eine Richtlinien im Hinblick auf die zulässige Nutzung und Vertrauenswürdigkeit von End User Computing, insbesondere hinsichtlich der Ermittlung, Registrierung und Dokumentation wichtiger Endbenutzer-Computing-Lösungen (z. B. bei der Verarbeitung wichtiger Daten) und der erwarteten Sicherheitsstufe zur Verhütung unbefugter Änderungen sowohl im Tool selbst als auch in den darin gespeicherten Daten;
• d. dokumentierte Ausnahmebehandlungsprozesse, um ermittelte IKT-Datenintegritätsprobleme gemäß ihrer Kritikalität und Empfindlichkeit zu lösen.

Für beaufsichtigte Institute, die in den Anwendungsbereich der BCBS 239-Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung⁹ fallen, sollten die zuständigen Behörden die Risikoanalyse des Instituts in Bezug auf seine Risikoberichterstattung und seine Datenaggregationskapazitäten im Vergleich zu den Grundsätzen und den auf ihrer Grundlage erstellten Unterlagen überprüfen und dabei den Umsetzungszeitplan und Übergangsregelungen in diesen Grundsätzen berücksichtigen.

• (e) Kontrollen für den Umgang mit erheblichen IKT-Auslagerungsrisiken

Die zuständigen Behörden sollten bewerten, ob die Auslagerungsstrategie des Instituts, die mit den Anforderungen der CEBS-Auslagerungsleitlinien (2006) und ferner mit der Anforderung in Absatz 85 (d) der EBA-SREP-Leitlinien in Einklang steht, ordnungsgemäß auf die IKT-Auslagerung, einschließlich der gruppeninternen Auslagerung zur Erbringung von IKT-Dienstleistungen innerhalb der Gruppe, Anwendung findet. Bei der Bewertung der IKT-Auslagerungsrisiken sollten die zuständigen Behörden berücksichtigen, dass die IKT-Auslagerungsrisiken auch im Rahmen der Bewertung der inhärenten operationellen Risiken nach Absatz 240 (j) der EBA-SREP-Leitlinien abgedeckt werden können, um jegliche Doppelarbeit oder Doppelzählung zu vermeiden.

Insbesondere sollten die zuständigen Behörden bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis und die Bewertung des IKT-Auslagerungsrisikos und insbesondere über Kontrollen und ein Kontrollumfeld zur Minderung von Risiken in Bezug auf erhebliche IKT-Auslagerungsdienste verfügt, die der Größe, den Aktivitäten und dem IKT-Risikoprofil des Instituts angemessen sind und Folgendes enthalten:

• a. eine Bewertung der Auswirkungen der IKT-Auslagerung auf das Risikomanagement des Instituts im Zusammenhang mit der Nutzung von Dienstanbietern (z. B. Cloud-Dienstanbietern) und deren Dienstleistungen während des Beschaffungsprozesses, die dokumentiert und von der Geschäftsleitung oder dem Leitungsorgan bei der Entscheidung für oder gegen die Auslagerung der Dienste berücksichtigt wird. Das Institut sollte die IKT-Risikomanagementpolitiken sowie die IKT-Kontrollen und das Kontrollumfeld des Dienstanbieters überprüfen, um sicherzustellen, dass sie die

9 Basler Ausschuss für Bankenaufsicht, Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung, Januar 2013, online verfügbar: http://www.bis.org/publ/bcbs239_de.pdf. internen Ziele im Hinblick auf das Risikomanagement und die Risikobereitschaft erfüllen. Diese Überprüfung sollte während des vertraglichen Auslagerungszeitraums regelmäßig aktualisiert werden, wobei die Merkmale der ausgelagerten Dienstleistungen zu berücksichtigen sind;

• b. eine Überwachung der IKT-Risiken der ausgelagerten Dienstleistungen während des vertraglichen Auslagerungszeitraums im Rahmen des Risikomanagements des Instituts, die in die IKT-Risikomanagement-Berichterstattung des Instituts einfließt (z. B. Geschäftskontinuitäts-Berichterstattung, Sicherheitsberichterstattung);
• c. eine Überwachung und ein Vergleich der erhaltenen Dienstleistungsniveaus mit den vertraglich vereinbarten Dienstleistungsniveaus, die Bestandteil des Auslagerungsvertrags oder der Dienstleistungsvereinbarung (SLA) sein sollten; und
• d. geeignete Mitarbeiter, Ressourcen und Kompetenzen zur Überwachung und Steuerung der IKT-Risiken, die von den ausgelagerten Dienstleistungen ausgehen.