57. Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die …

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Datenintegritätsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Im Rahmen des Instituts sollten die Risiken berücksichtigt sein, die mit der Wahrung der Integrität der von den IKT-Systemen gespeicherten und verarbeiteten Daten verknüpft sind. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob in dem Rahmen Folgendes berücksichtigt ist:

• a. Richtlinien, in denen die Rollen und Verantwortlichkeiten für die Verwaltung der Integrität der Daten in den IKT-Systemen festgelegt sind (z. B. Datenarchitekten, Datensachbearbeiter⁶ , Datentreuhänder⁷ , Dateneigentümer/-verwalter⁸ ) und in der Orientierungshilfen dazu enthalten sind, welche Daten im Hinblick auf die Datenintegrität kritisch sind und spezifischen IKT-Kontrollen (z. B. automatisierte Eingabevalidierungskontrollen, Datenübertragungskontrollen, Datenabgleichen usw.) oder Überprüfungen (z. B. eine Kompatibilitätsprüfung mit der Datenarchitektur) in den verschiedenen Phasen des IKT-Datenlebenszyklus unterzogen werden sollten;
• b. eine dokumentierte Datenarchitektur, ein Datenmodell und/oder ein Datenbeschreibungsverzeichnis, das mit relevanten Geschäfts- und IT-Stakeholdern validiert wird, um die erforderliche Datenkohärenz in den IKT-Systemen zu unterstützen und

6 Ein Datensachbearbeiter ist für die Datenverarbeitung und -nutzung zuständig. 7 Ein Datentreuhänder ist für sichere Aufbewahrung, den Transport und die Speicherung von Daten zuständig. 8 Ein Datenverwalter ist für die Verwaltung und die Tauglichkeit von Datenelementen – sowohl der Inhalte und der Metadaten – zuständig. sicherzustellen, dass die Datenarchitektur, das Datenmodell und/oder das Datenbeschreibungsverzeichnis auf die Geschäfts- und Risikomanagement-Erfordernisse abgestimmt sind;

• c. eine Richtlinien im Hinblick auf die zulässige Nutzung und Vertrauenswürdigkeit von End User Computing, insbesondere hinsichtlich der Ermittlung, Registrierung und Dokumentation wichtiger Endbenutzer-Computing-Lösungen (z. B. bei der Verarbeitung wichtiger Daten) und der erwarteten Sicherheitsstufe zur Verhütung unbefugter Änderungen sowohl im Tool selbst als auch in den darin gespeicherten Daten;
• d. dokumentierte Ausnahmebehandlungsprozesse, um ermittelte IKT-Datenintegritätsprobleme gemäß ihrer Kritikalität und Empfindlichkeit zu lösen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/