60. Insbesondere sollten die zuständigen Behörden bewerten, ob das Institut über einen wirksamen …

Insbesondere sollten die zuständigen Behörden bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis und die Bewertung des IKT-Auslagerungsrisikos und insbesondere über Kontrollen und ein Kontrollumfeld zur Minderung von Risiken in Bezug auf erhebliche IKT-Auslagerungsdienste verfügt, die der Größe, den Aktivitäten und dem IKT-Risikoprofil des Instituts angemessen sind und Folgendes enthalten:

• a. eine Bewertung der Auswirkungen der IKT-Auslagerung auf das Risikomanagement des Instituts im Zusammenhang mit der Nutzung von Dienstanbietern (z. B. Cloud-Dienstanbietern) und deren Dienstleistungen während des Beschaffungsprozesses, die dokumentiert und von der Geschäftsleitung oder dem Leitungsorgan bei der Entscheidung für oder gegen die Auslagerung der Dienste berücksichtigt wird. Das Institut sollte die IKT-Risikomanagementpolitiken sowie die IKT-Kontrollen und das Kontrollumfeld des Dienstanbieters überprüfen, um sicherzustellen, dass sie die

9 Basler Ausschuss für Bankenaufsicht, Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung, Januar 2013, online verfügbar: http://www.bis.org/publ/bcbs239_de.pdf. internen Ziele im Hinblick auf das Risikomanagement und die Risikobereitschaft erfüllen. Diese Überprüfung sollte während des vertraglichen Auslagerungszeitraums regelmäßig aktualisiert werden, wobei die Merkmale der ausgelagerten Dienstleistungen zu berücksichtigen sind;

• b. eine Überwachung der IKT-Risiken der ausgelagerten Dienstleistungen während des vertraglichen Auslagerungszeitraums im Rahmen des Risikomanagements des Instituts, die in die IKT-Risikomanagement-Berichterstattung des Instituts einfließt (z. B. Geschäftskontinuitäts-Berichterstattung, Sicherheitsberichterstattung);
• c. eine Überwachung und ein Vergleich der erhaltenen Dienstleistungsniveaus mit den vertraglich vereinbarten Dienstleistungsniveaus, die Bestandteil des Auslagerungsvertrags oder der Dienstleistungsvereinbarung (SLA) sein sollten; und
• d. geeignete Mitarbeiter, Ressourcen und Kompetenzen zur Überwachung und Steuerung der IKT-Risiken, die von den ausgelagerten Dienstleistungen ausgehen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/