4.6 Management von IKT- und Sicherheitsrisiken

Die Kredit- und Finanzinstitute sollten ihre IKT- und Sicherheitsrisiken im Zusammenhang mit der Nutzung des Verfahrens zum Fern-Kundenannahmeprozess ermitteln und steuern, auch wenn die Kredit- und Finanzinstitute auf Dritte zurückgreifen oder die Dienstleistung ausgelagert wird, einschließlich der Auslagerung an Unternehmen der eigenen Gruppe.

Zusätzlich zur Erfüllung der Anforderungen der EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken¹⁰ , sofern zutreffend, sollten die Kredit- und Finanzinstitute während des Verfahrens zum Fern-Kundenannahmeprozess sichere Kommunikationskanäle für die Interaktion mit dem Kunden nutzen. Zur Wahrung der Vertraulichkeit, Authentizität und Integrität der ausgetauschten Daten sollte sich die Anwendung für den Fern-Kundenannahmeprozess gegebenenfalls auf sichere Protokolle und kryptografische Algorithmen im Einklang mit den bewährten Verfahren der Branche stützen.

¹⁰ EBA/GL/2019/04.

Die Kredit- und Finanzinstitute sollten einen sicheren Zugangspunkt für den Beginn des Verfahrens zum Fern-Kundenannahmeprozess bereitstellen, der auf qualifizierten Zertifikaten für elektronische Siegel nach Artikel 3 Absatz 30 der Verordnung (EU) Nr. 910/2014 oder für die Website-Authentifizierung nach Artikel 3 Absatz 39 der genannten Verordnung basiert. Zudem sollte der Kunde über die anwendbaren Sicherheitsmaßnahmen informiert werden, die ergriffen werden sollten, um eine sichere Nutzung des Systems zu gewährleisten.

Wenn ein Mehrzweckgerät für die Durchführung des Verfahrens zum Fern-Kundenannahmeprozess eingesetzt wird, sollte gegebenenfalls eine sichere Umgebung für die Ausführung des Softwarecodes auf der Kundenseite verwendet werden. Es sollten zusätzliche Sicherheitsmaßnahmen ergriffen werden, um die Sicherheit und Zuverlässigkeit des Softwarecodes und der erhobenen Daten gemäß der Sicherheitsrisikobewertung im Einklang mit den EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken zu gewährleisten.