Titel VI – Maßnahmen für die Aufrechterhaltung des Geschäftsbetriebs

Institute sollten neben einen soliden Notfallplan einen Wiederherstellungsplan erstellen, um in der Lage zu sein, den kontinuierlichen Dienstbetrieb aufrechtzuerhalten, und Verluste im Fall von schwerwiegenden Betriebsstörungen zu begrenzen.

Die Institute können eine spezifische unabhängige Funktion für die Aufrechterhaltung des Geschäftsbetriebs, z. B. als Teil der Risikomanagementfunktion⁴¹ einrichten.

⁴¹ Weitere Informationen finden sich in Artikel 312 der Verordnung (EU) Nr. 575/2013.

Die Geschäftstätigkeit eines Instituts hängt von verschiedenen entscheidenden Ressourcen (z. B. IT-Systeme, einschließlich Cloud-Diensten, Kommunikationssysteme, Stammpersonal und Gebäude) ab. Maßnahmen für die Aufrechterhaltung des Geschäftsbetriebs zielen darauf ab, die operativen, finanziellen, rechtlichen, Reputations- und sonstigen wesentlichen Folgen eines Versagens oder eines längeren Ausfalls dieser Ressourcen und der sich daraus ergebenden Unterbrechung der üblichen Geschäftsabläufe des Instituts zu mindern. Weitere Risikomanagementmaßnahmen könnten darauf abzielen, die Wahrscheinlichkeit solcher Zwischenfälle zu verringern oder deren finanzielle Auswirkungen auf Dritte zu übertragen (z. B. im Rahmen einer Versicherung).

Bei der Einrichtung solider Maßnahmen für die Aufrechterhaltung des Geschäftsbetriebs sollte ein Institut eine sorgfältige Analyse der Risikofaktoren vornehmen und prüfen, inwieweit es durch schwerwiegende Betriebsstörungen gefährdet ist, und deren potenzielle Auswirkungen (quantitativ und qualitativ) anhand von internen und/oder externen Daten und einer Szenario-Analyse bewerten. Diese Analyse sollte sich auf alle Geschäftsbereiche und internen Einheiten, einschließlich der Risikomanagementfunktion, erstrecken und sollte deren Verflechtungen berücksichtigen. Die Ergebnisse der Analyse sollten einen Beitrag zur Definition der Prioritäten und Ziele bei der Wiederherstellung der Geschäftsabläufe des Instituts leisten.

Auf der Grundlage der vorstehend genannten Analyse sollte ein Institut Folgendes einrichten:

• a. Notfallpläne sowie Pläne zur Aufrechterhaltung des Geschäftsbetriebs, damit ein Institut angemessen auf Notsituationen reagieren kann und in der Lage ist, seine wichtigsten Geschäftstätigkeiten im Fall einer Unterbrechung seiner üblichen Geschäftsabläufe aufrechtzuerhalten, und
• b. Pläne für die Wiederherstellung entscheidender kritische Ressourcen, die das Institut in die Lage versetzen, innerhalb einer angemessenen Zeitspanne seine üblichen Geschäftsabläufe wieder aufzunehmen. Restrisiken aufgrund potenzieller Geschäftsunterbrechungen sollten mit dem Risikoappetit des Instituts vereinbar sein.

Notfallpläne und Wiederherstellungspläne sind zu dokumentieren und sorgfältig umzusetzen. Die Dokumentation sollte innerhalb der Geschäftsbereiche, internen Einheiten und der Risikomanagementfunktion zugänglich und auf Systemen gespeichert sein, die physisch getrennt und im Fall einer Notsituation problemlos zugänglich sind. Dazu sollten geeignete Weiterbildungsmaßnahmen angeboten werden. Die Pläne sollten regelmäßig getestet und aktualisiert werden. Probleme oder Störungen, die sich bei den Tests ergeben, sind zu dokumentieren und zu analysieren und die Pläne entsprechend zu überarbeiten.