AT 7.3 Notfallmanagement

Für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen, ist Vorsorge durch ein Notfallkonzept zu treffen. Die darin festgelegten Maßnahmen müssen geeignet sein, mögliche Schäden zu begrenzen. Das Notfallkonzept ist jährlich und anlassbezogen zu aktualisieren und angemessen zu kommunizieren. Die Geschäftsleitung ist mindestens quartalsweise und anlassbezogen schriftlich über den Zustand des Notfallmanagements zu informieren.

Das Institut muss Auswirkungsanalysen durchführen, um Risiken für schwerwiegende Störungen von kritischen oder wichtigen Funktionen sowie von deren notwendigen Unterstützungsprozessen, hierfür notwendigen IKT-Systemen und sonstigen notwendigen Ressourcen sowie potenzielle Gefährdungen zu identifizieren. Als Basis hierfür dient eine Übersicht über alle Funktionen.

Erläuterung

Auswirkungsanalysen

In Auswirkungsanalysen (Business Impact Analysen) wird über abgestufte Zeiträume betrachtet, welche Folgen eine Beeinträchtigung von Aktivitäten und Prozessen für den Geschäftsbetrieb haben kann. Die Auswirkungsanalysen müssen u. a. Art und Umfang des (im-)materiellen Schadens sowie den Zeitpunkt des Ausfalls berücksichtigen.

Im Notfallkonzept werden Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung von Aktivitäten und Prozessen bestimmt, die kritische oder wichtige Funktionen darstellen. Dies umfasst auch deren notwendige Unterstützungsprozesse. Des Weiteren werden Kriterien für die Einstufung sowie für das Auslösen der Pläne definiert.

Das Notfallkonzept muss Geschäftsfortführungs- und Wiederherstellungspläne umfassen und auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Bei Notfällen ist eine geeignete interne und externe Kommunikation sicherzustellen. Bei Auslagerungen von Aktivitäten und Prozessen, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen über abgestimmte Notfallkonzepte verfügen.

Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen. Für kritische oder wichtige Funktionen muss dies jährlich erfolgen. Überprüfungen sind zu protokollieren. Ergebnisse sind auf Verbesserungsbedarf zu analysieren und Risiken angemessen zu steuern. Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen.

Erläuterung

Überprüfungen

Die Häufigkeit und der Umfang der Überprüfungen sollen sich grundsätzlich an der Gefährdungslage orientieren. Dienstleister sind angemessen einzubinden.