Die Konsequenzen der Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSi) für das BCM

Abgelegt in: Antworten

ein  Gastbeitrag von Dr. Christian Zänker (Business Continuity Partner, zaenker@bcmpartner.de) für die BCM-News.

Was bedeuten die neuen regulatorischen Anforderungen für das BCMS der Institute?

Im Mai vergangenen Jahres wurden von der BaFin mit Rundschreiben 4/2015 die Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSi) veröffentlicht. Nach Aussage der BaFin müssen die Institute nach Ablauf der 6-monatigen Übergangsfrist ab dem 05.11.2015 mit Prüfungen durch die Bankenaufsicht rechnen. Weiterlesen…

Anforderungen an das externe Reporting des Notfallmanagements

Abgelegt in: Antworten

Im nachfolgenden Gastbeitrag geht der Autor Torsten Zacher auf die Anforderungen an das externe Reporting des Notfallmanagements ein. Torsten Zacher beleuchtet die unterschiedlichen Quellen der Anfragen sowie die rechtlichen und regulatorischen Rahmenbedingungen für das Reporting.

Ausgangslage

Kreditinstitute erhalten in letzter Zeit vermehrt Anfragen zu einem Reporting über die Notfallkonzepte. Diese werden mit der Wesentlichkeit der Auslagerung begründet. In einigen Fällen wird keine Begründung angegeben.

Ein kurzer Blick auf die Anforderungen lässt schnell erkennen, dass diese auf inhomogenen rechtlichen Anforderungen basieren. Doch welche Folgen ergeben sich hieraus für das externe BCM-Reporting? Welche Informationen muss das anfragende Unternehmen erhalten?

Wie kann der Begriff des Outsourcings in diesem Rahmen definiert werden?

Welchen Input kann die MaRisk, insb. die AT 9 und das KWG geben und was sagen die Standards BSI 100-4 und die ISO 22301 zu den Anfragen? Dieses wird im folgenden Artikel untersucht.

Im ersten Schritt sollten die verschiedenen Anfragen kategorisiert werden, um zu definieren, wie die anfragenden Unternehmen angemessen informiert werden und es wird der Begriff definiert, was eine Auslagerung ist.

Es werden nur die Anforderungen an das Reporting untersucht und nicht weitere Forderungen, die sich aus der MaRisk, der ISO 22301 usw. ergeben. Unter anderem wird auf Themen wie Prüfrechte nicht weiter eingegangen.
Weiterlesen…

Bundeskabinett beschließt IT-Sicherheitsgesetz

Abgelegt in: Antworten

Das Bundeskabinett hat heute den Entwurf des Sicherheitsgesetzes verabschiedet. Damit kommt die Meldepflicht für IT-Sicherheitsvorfälle und das Bundesamt für Sicherheit in der Informationstechnik BSI erhält umfassende Kompetenzen und Kapazitäten als Zentralstelle für die IT-Sicherheit. Welche Unternehmen und Organisationen als Betreiber kritischer Infrastrukturen dem neuen IT-Sicherheitsgesetz unterliegen, wird eine spannende Frage sein, die Anfang des neuen Jahres in konkreten Verordnungen ausgestaltet werden wird. Die Bundesregierung geht aktuell von rund 2.000 Betreibern der kritischen Infrastruktur aus. Auch die Hersteller von IT-Systemen unterliegen zukünftig der Aufsichtspflicht des BSI. Der Gesetzesenturf war heftig umstritten. Der Industrie ging er mit den Meldepflichten zu weit, während Sicherheitsfachleute befürchten, durch die anonymisierten Meldungen kein vollständiges Lagebild zu erhalten. Die Praxis wird bald zeigen, ob sich der Aufwand für die Unternehmen in einem konkreten Sicherheitsgewinn auszahlt.

Anforderungen an die Bewertung von Tests und Übungen

Abgelegt in: Antworten

Ein Gastbeitrag für die BCM-News von Torsten Zacher

Einleitung

Gemäß der MaRisk AT 7.3 ist die Wirksamkeit und der Angemessenheit des Notfallkonzeptes regelmäßig durch Notfalltests zu überprüfen.

Die zwei Begriffe Angemessenheit und Wirksamkeit spielen hierbei in Verbindung mit den Tests eine entscheidende Rolle.

Das KWG ergänzt im § 25c hierbei noch, dass den jeweils Verantwortlichen über die Ergebnisse der Notfalltest berichtet wird.

Die Begriffe Angemessenheit und Wirksamkeit bilden die Grundlage der Bewertung, die im ersten Teil des Artikels vorgestellt werden. Im zweiten Teil wird auf die Notwendigkeit einer Bewertung, deren Zielgruppen und den positiven Nutzen eingegangen. Im dritten Teil wird eine mögliche Bewertung inklusive Inhalten vorgestellt. Es sind Bewertungen je Test und eine Jahresbewertung zu differenzieren. Weiterlesen…