BaFin veröffentlicht Konsultationen für MaRisk und BAIT

Abgelegt in: Regulatorische Anforderungen 1 Antwort

Das BaFin hat am 26. Oktober 2020 die Konsultationen für die Mindestanforderungen an das Risikomanagement (MaRisk) und die Bankaufsichtlichen Anforderungen an die IT (BAIT) veröffentlicht.

Gerade auch zum (IT-) Notfallmanagement (früher IT-Notfallkonzept) gibt es in den beiden überarbeiteten Konsultationen zahlreiche Änderungen, Konkretisierungen und Erweiterungen.

So werden in der zu erwartenden MaRisk im AT 7.3 Notfallmanagement die Anforderungen an die Durchführung einer Business Impact Analyse konkretisiert. Dies beinhaltet zum Beispiel die Anforderungen an eine zu Grunde liegende Prozesslandkarte sowie die Mindestinhalte der Auswirkungs (Impact-)analyse.

Auch die Mindestanforderungen an die Inhalte von Notfallkonzepten sind weiter konkretisiert. Dies beinhaltet insbesondere auch die Berücksichtigung der BCM-Szenarien (Ausfall von kritischen Standorten, Personal, IT und Dienstleistern).

Die Anforderungen an die Überprüfung der Notfallvorsorge ist deutlich verschärft worden. So sind für zeitkritische Aktivitäten und Prozesse Wirksamkeits- und Angemessenheitsprüfungen für alle Szenarien mindestens jährlich und anlassbezogen nachzuweisen.

Gerade die konkretisierten und verschärften Anforderungen an die Durchführung von Tests und Übungen wird viele Institute vor Herausforderungen stellen und erfordert eine gut durchdachte und überwachte Test- und Übungsprogrammplanung.

Die Konsultationen sind auf der Webseite des BaFin verfügbar.

Anforderungen an die normengerechte Identifikation der rechtlichen und regulatorischen Anforderungen an das BCM

Abgelegt in: Allgemein Antworten

Christian Zänker, unser Normen-Experte, hat sich wieder einmal in die Tiefen des ISO 22301 vorgearbeitet und sehr interessante Erkenntnisse hinsichtlich der normengerechten Identifikation der rechtlichen und regulatorischen Anforderungen an das BCM herausgearbeitet. Da sind sicherlich in vielen Organisationen noch Hausaufgaben zu erledigen, bis dieser Prozess idealtypisch abläuft. Zumal auch hier wieder viele Disziplinen gut verzahnt ineinandergreifen müssen. Weiterlesen…

BaFin veröffentlicht Anforderungen an die IT für Banken BAIT

Abgelegt in: Regulatorische Anforderungen 1 Antwort

Die Bundesanstalt für Finanzdienstleistungsaufsicht hat am 06.11.2017 die BAIT veröffentlicht.

“Wie die Mindestanforderungen an das Risikomanagement der Banken (MaRisk), deren neueste Fassung die BaFin Ende Oktober veröffentlicht hat, interpretieren auch die BAIT die gesetzlichen Anforderungen des § 25a Absatz 1 Satz 3 Nr. 4 und 5 Kreditwesengesetz (KWG). Die Aufsicht erläutert darin, was sie unter einer angemessenen technisch-organisatorischen Ausstattung der IT-Systeme, unter besonderer Berücksichtigung der Anforderungen an die Informationssicherheit sowie eines angemessenen Notfallkonzepts, versteht. Da die Institute zunehmend IT-Dienstleistungen von Dritten beziehen, auch im Rahmen von Auslagerungen, wird auch der § 25b KWG in diese Interpretation einbezogen.”

Quelle: BaFin

MaRisk Novelle 2017: Veröffentlichung der Endfassung durch das BaFin

Abgelegt in: Regulatorische Anforderungen 1 Antwort

Das BaFin hat am 27.10.2017 die Endfassung der MaRisk Novelle 2017 veröffentlicht. Wesentliche inhaltliche Änderungen betreffen die Themenbereiche Risikodatenaggregation und Risikoberichterstattung, Risikokultur und Verhaltenskodex sowie Auslagerungen. Aus Sicht des Business Continuity Management gab es an der zentralen Regelung im AT 7.3 Notfallkonzept keine Änderungen. Indirekt ist das BCM insbesondere durch die überarbeiteten Regelungen im Themenbereich Auslagerungen betroffen. Der Tatbestand des Vorliegens einer Auslagerung ist in der Neufassung für den Fremdbezug von IT-Leistungen genauer spezifiziert. Bei Vorliegen einer Auslagerung sind unverändert die Notfallkonzepte des auslagernden Instituts und des Auslagerungsunternehmens aufeinander abzustimmen.

Neu aufgenommen wurde der Schutzbedarf von Informationswerten als Anforderungskriterium. Die Ergebnisse des Informationssicherheitsmanagements finden somit stärkere Berücksichtigung in den Regelungen. Dies betrifft das IT-Risikomanagement, die Überprüfung von Berechtigungen im Berechtigungsmanagement sowie Anforderungen an die Individuelle Datenverarbeitung IDV.

Anforderungen an die Überwachungs- und Steuerungsprozesse für IT-Risiken und Regelungen zur IDV sind neu in die MaRisk aufgenommen.

Die Änderungen der neuen Fassung sind in Anlage 2 zum Rundschreiben ersichtlich.

Risiken beim Outsourcing erkennen, steuern und minimieren

Abgelegt in: 1 Antwort

Das Risikomanagement beim Fremdbezug von Leistungen ist eines der Themen, die uns in Zukunft weiter intensiv beschäftigen werden. Kein Unternehmen kann und will heute mehr alle Leistungen rund um die Produkt- und Serviceerstellung selbst erbringen. Das Outsourcing ermöglicht die Konzentration auf die Kernkompetenzen und schafft Kostenvorteile durch Skaleneffekte bei Dienstleistern und Zulieferern. Auf der anderen Seite der Medaille stehen die Risiken durch das Outsourcing. Schon der Ausfall eines Lieferanten von Bauteilen im Wert weniger Euros bringt komplette Lieferketten zum Stillstand. Im Finanzdienstleistungsbereich ist das Outsourcing daher ein zunehmend wichtiges Thema bei Prüfungen durch die Aufsichtsorgane BaFin und Bundesbank. Die aktuelle Konsultation zu den Bankaufsichtlichen Anforderungen an die IT “BAIT” zur Konkretisierung der MaRisk machen dies deutlich. Die Auslagerungssteuerung ist eines von acht Themen dieses Rundschreibens.

In einem zweiteiligen Beitrag auf  der Plattform 3GRC habe ich einige Grundlagen zum Supply Chain Continuity Management zusammengefasst:

Supply Chain Resilience – Absicherung der kritischen Lieferketten

Supply Chain Continuity Management – Vorsorge für Notfälle in der Lieferkette

Ich freue mich auf Ihr Feedback.

Öffentliche Konsultation des Rundschreibens „Bankaufsichtliche Anforderungen an die IT” (BAIT)

Abgelegt in: Regulatorische Anforderungen Antworten

Die BAIT (Bankaufsichtliche Anforderungen  an die IT) konkretisieren die Anforderungen der MaRisk an die Ausgestaltung der Informationstechnologie durch BaFin und Deutsche Bundesbank.

Die Konkretisierungen umfassen die Themen

  • IT-Strategie
  • IT-Governance
  • Informationsrisikomanagement
  • Informationssicherheitsmanagement
  • Benutzerberechtigungsmanagement
  • IT-Projekte, Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen)
  • IT-Betrieb (inkl. Datensicherung)
  • Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen.

Das Rundschreiben, das nunmehr im Entwurf zur Konsultation vorliegt, adressiert die Geschäftsleitung der Kreditinstitute und soll die Anforderungen der MaRisk konkretisieren. Die Anforderungen der MaRisk bleiben hiervon unberührt. Daneben bleiben die Institute verpflichtet, “bei der Ausgestaltung der IT-Systeme und der dazugehörigen IT-Prozesse grundsätzlich auf gängige Standards und sowie grundsätzlich auf den Stand der Technik abzustellen.”

Die Konsultationsphase endet am 5. Mai 2017.

Gestalten Sie die BCM-News im zehnten Jahr!

Abgelegt in: Allgemein 1 Antwort

Das neue Jahr ist gestartet und die Tage vergehen schon wieder wie im Flug. Die BCM-News werden dieses Jahr schon zehn Jahre alt- unglaublich aber wahr. Auch im zehnten Jahr wird es hier wieder tagesaktuelle News und Beiträge rund um die Themen BCM, Informationssicherheit, Krisenmanagement und physische Sicherheit geben.

Bestimmen Sie mit, welche Themen in den redaktionellen Beiträgen behandelt werden sollen. Bitte geben Sie hierzu möglichst konkrete Themen und Fragestellungen in den Kommentaren zu diesem Beitrag an.Nutzen Sie die Gelegenheit und treiben Sie die BCM-News auch im zehnten Jahr als führendes Informationsportal für BCM in Deutschland weiter voran. Auch Gastbeiträge sind selbstverständlich wieder herzlich willkommen.

Ich freue mich auf Ihre Rückmeldungen.

„Tear down the wall“ – integrierte Umsetzung des Sicherheitsmanagements

Abgelegt in: 1 Antwort

Auf dem Online-Drehkreuz 3GRC für Governance Risk & Compliance ist heute mein Artikel “Tear down the wall” – integrierte Umsetzung des Sicherheitsmanagements erschienen. An einem praktischen Beispiel wird die Notwendigkeit der Integration der verschiedenen Disziplinen des Sicherheitsmanagements eines Unternehmens beschrieben. Noch arbeiten oftmals die Disziplinen Business Continuity Management, Informationssicherheit, physische und personelle Sicherheit, Datenschutz und Risikomanagement eher neben- als miteinander. Hierdurch werden wichtige Synergieeffekte verschenkt und ein einheitliches übergreifendes Sicherheitsniveau kann nicht geschaffen werden. Ich freue mich über Ihre Rückmeldungen und Meinungen.

Die Konsequenzen der Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSi) für das BCM

Abgelegt in: Antworten

ein  Gastbeitrag von Dr. Christian Zänker (Business Continuity Partner, zaenker@bcmpartner.de) für die BCM-News.

Was bedeuten die neuen regulatorischen Anforderungen für das BCMS der Institute?

Im Mai vergangenen Jahres wurden von der BaFin mit Rundschreiben 4/2015 die Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSi) veröffentlicht. Nach Aussage der BaFin müssen die Institute nach Ablauf der 6-monatigen Übergangsfrist ab dem 05.11.2015 mit Prüfungen durch die Bankenaufsicht rechnen. Weiterlesen…

Aktuelle Übersicht “BCM Legislations, Regulations & Standards produced by the BCI”

Abgelegt in: 2 Antworten

Es gibt national und international zahlreiche Gesetze, Standards und Normen, die bei der Umsetzung des Business Continuity Managements zu beachten sind. Trotz des internationalen ISO Standards ISO 22301 haben Behörden und Institutionen national ergänzende spezifische Anforderungen an das Business Continuity Management. In Deutschland ist zum Beispiel das IT-Sicherheitsgesetz zu nennen, aber auch branchenspezifische Standards und Regelungen. Gerade für international agierende Unternehmen ist es sehr bedeutsam, diese nationalen Anforderungen in den einzelnen Ländern zu kennen und zu berücksichtigen. Das Business Continuity Institute (BCI) hat hierzu einen sehr umfassenden Überblick erstellt:  BCM Legislations, Regulations & Standards produced by the BCI. Diese Zusammenstellung internationaler Gesetze, Normen und Standards für das BCM wurde im Januar 2015 aktualisiert und steht nach Registrierung auf der Seite des BCI kostenfrei zum Download zur Verfügung.

Das Buch zum IT-Sicherheitsgesetz

Abgelegt in: Antworten

Wer sich intensiver mit dem IT-Sicherheitsgesetz auseinandersetzen will oder muss, findet beim Bundesanzeiger Verlag das aktuell erschienene Buch “IT-Sicherheitsgesetz”:

“Die kommentierte Materialsammlung zum IT-Sicherheitsgesetz unterrichtet über Konsequenzen hieraus und gibt einen Überblick darüber, welche Änderungen sich in welchen Gesetzen ergeben. In einer kurzen Einleitung erläutert der Autor Werdegang, Begründung und Auswirkungen des IT-Sicherheitsgesetzes. Im Anschluss werden die geänderten Normen nebst Gesetzesbegründung aufgeführt und kommentiert. Einen Gesamtüberblick zur veränderten Rechtslage gibt eine umfassende Synopse.”

Bezug über den Bundesanzeiger Verlag