54. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere berücksichtigen, ob der …

Bei dieser Bewertung sollten die zuständigen Behörden insbesondere berücksichtigen, ob der Rahmen:

• a. die kritischen IKT-Prozesse und die entsprechenden unterstützenden IKT-Systeme, die Teil der Notfall- und Kontinuitätspläne sein sollten, ermittelt, und zwar mit:
• i. einer umfassenden Analyse der Abhängigkeiten zwischen den kritischen Geschäftsprozessen und Unterstützungssystemen;
• ii. der Bestimmung der Wiederherstellungsziele für die unterstützenden IKT-Systeme (z. B. in der Regel vom Geschäftsbereich und/oder den Vorschriften in Bezug auf RTO und RPO bestimmt);
• iii. angemessener Notfallplanung, um die Verfügbarkeit, Kontinuität und Wiederherstellung kritischer IKT-Systeme und -Dienste zu ermöglichen mit dem Ziel, Störungen der Tätigkeiten eines Instituts in vertretbaren Grenzen zu halten.
• b. über Richtlinien und Standards in Bezug auf Notfallpläne, die Kontinuitätskontrollumgebung und operationelle Kontrollen verfügt, die Folgendes beinhalten:
• i. Maßnahmen, um zu vermeiden, dass ein einzelnes Szenario, Ereignis oder Katastrophe Auswirkungen auf sowohl die IKT-Produktions- als auch die IKT-Wiederherstellungssysteme haben könnte,
• ii. IKT-System-Backup- und Wiederherstellungsverfahren für kritische Software und Daten, die sicherstellen, dass diese Backups an einem sicheren und ausreichend entfernt gelegenen Ort gespeichert werden, so dass ein Ereignis oder eine Katastrophe diese kritischen Daten nicht zerstören oder beschädigen können;
• iii. Überwachungslösungen zur zeitgerechten Aufdeckung von IKT-Verfügbarkeits- oder Kontinuitätsereignissen;
• iv. einen dokumentierten Ereignismanagement- und -eskalationsprozess, der Orientierungshilfen für die verschiedenen Ereignismanagement- und eskalationsrollen und -verantwortlichkeiten, die Mitglieder des bzw. der Krisenausschüsse und die Befehlskette in Notfällen vorgibt;
• v. physische Maßnahmen, um die kritische IKT-Infrastruktur des Instituts (z. B. Rechenzentren) vor Umweltrisiken (z. B. Überschwemmungen und anderen Naturkatastrophen) zu schützen und eine angemessene Betriebsumgebung für IKT-Systeme (z. B. Klimaanlage) sicherzustellen;
• vi. Prozesse, Rollen und Verantwortlichkeiten, um sicherzustellen, dass auch ausgelagerte IKT-Systeme und -Dienste von angemessenen Notfall- und Kontinuitätslösungen und -plänen abgedeckt werden;
• vii. IKT-Leistungs- und Kapazitätsplanungs- sowie Überwachungslösungen für kritische IKT-Systeme und -Dienste mit festgelegten Verfügbarkeitsanforderungen, um rechtzeitig wichtige Leistungs- und Kapazitätseinschränkungen zu ermitteln;
• viii. Lösungen zum Schutz kritischer Internetaktivitäten oder -dienste (z. B. E-Banking-Dienste), soweit erforderlich und angemessen, gegen Denial-of-Service- und anderen Cyber-Angriffen aus dem Internet, die darauf abzielen, den Zugriff zu diesen Aktivitäten und Diensten zu verhindern oder zu stören.
• c. die IKT-Verfügbarkeits- und Kontinuitätslösungen mit Blick auf eine Reihe realistischer Szenarien prüft, darunter Cyber-Angriffe, Failover-Tests und Backup-Tests für kritische Software und Daten, die:
• i. geplant, formalisiert und dokumentiert sind, und die Testergebnisse, die zur Stärkung der Wirksamkeit der IKT-Verfügbarkeits- und Kontinuitätslösungen genutzt werden;
• ii. Stakeholder und Funktionen innerhalb der Organisation beinhalten, wie Geschäftsbereichsmanagement einschließlich der Geschäftskontinuitäts-, Ereignis- und Krisenreaktionsteams, sowie relevante externe Stakeholder im Ökosystem;
• iii. das Leitungsorgan und die Geschäftsleitung entsprechend beteiligt (als Teil der Krisenmanagementteams) und über die Testergebnisse informiert sind.
• (b) Kontrollen für den Umgang mit erheblichen IKT-Sicherheitsrisiken

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/