184. In Bezug auf IKT- und Sicherheitsrisiken sollten die zuständigen Behörden davon überzeugt …

In Bezug auf IKT- und Sicherheitsrisiken⁵⁵ sollten die zuständigen Behörden davon überzeugt sein, dass der Verwaltungsrahmen eine solide, zuverlässige und sichere Arbeitsweise von Informations- und Kommunikationssystemen, die die Tätigkeiten der Kreditinstitute unterstützen, sowie eine angemessene Vorbeugung, Überwachung und Eindämmung von IKT-Risiken zu normalen Zeiten und in stressigen Zeiten, gewährleistet. Die zuständigen Behörden sollten insbesondere das Folgende bewerten:

• (a) ob das Leitungsorgan die Gesamtverantwortung für die Festlegung, Genehmigung und Überwachung der Umsetzung der IKT-Strategie der Finanzinstitute trägt, die auf die Gesamtgeschäftsstrategie der Finanzinstitute abgestimmt sein sollte;
• (b) die klare Definition und Zuweisung von Schlüsselrollen und -zuständigkeiten sowie maßgeblicher Berichtswege für die Wirksamkeit des IKT- und Sicherheitsrisikomanagementsystems, einschließlich der Zuweisung eines angemessenen Budgets zur entsprechenden Unterstützung des IKT-Betriebsbedarfs und des IKT- und Sicherheitsrisikomanagements;
• (c) ob das Management und die Überwachung von IKT- und Sicherheitsrisiken einer unabhängigen und objektiven Kontrollfunktion anvertraut werden, die angemessen von den IKT-Betriebsprozessen getrennt und nicht für eine interne Prüfung verantwortlich ist, und einer unabhängigen internen Revisionsfunktion;
• (d) die Vorkehrungen, um die Ermittlung, Einrichtung und Pflege einer aktualisierten Zuordnung von geschäftlichen Funktionen, Aufgaben, Geschäfts- und Unterstützungsprozesse sicherzustellen, um die Bedeutung ihrer gegenseitigen Abhängigkeiten im Zusammenhang mit IKT- und Sicherheitsrisiken zu ermitteln;
• (e) sofern die Informationen in IKT-Systemen gespeichert sind, ob die Anforderungen an die Informationssicherheit vorhanden sein werden;
• (f) Umfang, Komplexität und Bedeutung von IKT-bezogenen Abhängigkeiten, wenn die Auslagerung operativer Funktionen von IKT-Diensten und jeglicher Tätigkeit von IKT-Systemen – auch an Konzernunternehmen – oder der Einsatz Dritter in Bezug auf diese Funktionen und Tätigkeiten vorgesehen ist. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

⁵⁵ Wie in den EBA- Leitlinien für das Management von IKT- und Sicherheitsrisiken definiert, bedeutet „IKT und Sicherheitsrisiko“: „Verlustrisiko aufgrund einer Verletzung der Vertraulichkeit, Verlust der Integrität von Systemen und Daten, einer unzureichenden oder fehlenden Verfügbarkeit von Systemen und Daten, einer mangelnden Fähigkeit, die Informationstechnologie (IT) in einem angemessenen Zeit- und Kostenrahmen zu ändern, wenn sich die Umgebungs- oder Geschäftsanforderungen ändern (d. h. Agilität). Dies umfasst Sicherheitsrisiken, die aus unzulänglichen oder fehlgeschlagenen internen Prozessen oder externen Ereignissen resultieren, einschließlich Cyber-Attacken oder unzureichender physischer Sicherheit.“

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/