bankaufsichtliche anforderungen an die it (bait) – novellierung 2021

Im aktuellen BAIT-Entwurf werden die im Jahr 2019 veröffentlichten EBA-Leitlinien, insbesondere zu IKT- und Sicherheitsrisiken, aufgegriffen und erweiternd konkretisiert. Auf dieser Basis wächst der Umfang der BAIT von bisher neun auf nun zwölf Kapitel.

Die drei zusätzlichen BAIT-Kapitel „Operative Informationssicherheit“, „IT-Notfallmanagement“ und „Management der Beziehungen mit Zahlungsdienstnutzern“ enthalten neue, umzusetzende Anforderungen, wobei das letztgenannte nur für Institute, die Zahlungsdienste im Sinne des § 1 Abs. 1 Satz 2 ZAG erbringen, relevant ist.

 

 

die neuen kapitel der bait - inhaltsübersicht

Die Novelle enthält in den drei neuen Kapiteln zusätzliche Themen, welche Erweiterungen bei den Finanzinstituten nach sich ziehen:

Operative Informationssicherheit
Abgrenzung des Informationsrisiko- und Informationssicherheitsmanagements als 2nd Line of Defense (LoD) zur 1st LoD. Dabei Betonung der Verantwortung der 1st LoD, die übergeordneten Vorgaben zur Informationssicherheit operativ umzusetzen und dies organisatorisch/ prozessual sicherzustellen. Besonders betont wird die Pflicht zur regelbasierten Identifizierung und Bewertung von Bedro­hungen und die zeitnahe Reaktion auf diese (SOC/ SIEM).

IT-Notfallmanagement
Verschärfung der Vorgaben für die Vorsorge zur Verhinderung von IT-Notfällen und der Ergreifung von Maßnahmen bei IT-Notfällen. Enge Verzahnung mit dem Business Continuity Management (BCM). Vorgaben zur systematischen Gewährleistung der Wiederherstellbarkeit und Sicherstellung der Leistungserbringung bei RZ-Ausfällen.

Management der Beziehungen mit Zahlungsdienstnutzern
In separater Konsultation (ZAG) - Die Ergebnisse fließen anschließend in die BAIT ein.

 

bestehende kapitel der bait – ausmaß der konkretisierung/ergänzung

Sieben etablierte Kapitel wurden inhaltlich konkretisiert bzw. ergänzt, wobei das Ausmaß unterschiedlich ausfällt. Die folgenden Kapitel sind besonders betroffen:

 

 

Eher niedriger Anpassungsbedarf ergibt sich in den Kapiteln „IT-Strategie“ und „Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen“. So sind die Ziele sowie Schulungen/ Sensibilisierungen zur Informationssicherheit thematisch in die IT-Strategie aufzunehmen. Darüber hinaus sind sonstige wichtige Abhängigkeiten von Dritten zu benennen. Die Prüfungspflicht, ob Vorgaben in Vereinbarungen/Verträge eingehen müssen (Risikoanalyse), erstreckt sich nun auch auf Vorgaben des IT-Betriebs.

Die Kapitel „IT-Governance“ und „Kritische Infrastrukturen“ sind unverändert geblieben.

 

unser fazit und angebot

Die Ergänzungen/Änderungen der BAIT ziehen insgesamt einen erheblichen Handlungsbedarf in den Banken nach sich. Die erforderlichen Maßnahmen sind dabei von der jeweiligen Ausgangssituation abhängig und unter Proportionalitätsgesichtspunkten zu sehen. Da als Umsetzungszeitraum der Anforderungen von „sofort“ ab Veröffentlichung ausgegangen werden muss, sollte mit der eigenen Standortbestimmung schnellstmöglich begonnen werden. Mit einem kompakten und ressourcenschonenden „BAIT Delta-Check“, der Ihnen in kurzer Zeit Ihre individuellen Handlungsbedarfe aufzeigt, bieten wir Ihnen diese individuelle Standortbestimmung zu den Änderungen innerhalb weniger Wochen.

Weitere Informationen zum Beratungsprozess sowie unserem Dienstleistungsangebot finden Sie in unserem Flyer!