Novel­lierung der Bankauf­sicht­lichen Anfor­de­rungen an die IT

Am 16. August 2021 wurden die überar­bei­teten „Bankauf­sicht­lichen Anfor­de­rungen an die IT“ (BAIT) im Rundschreiben der BaFin veröf­fent­licht. Das Rundschreiben setzt die „Guide­lines on security measures for opera­tional and security risks under the PSD2” und die „Guide­lines on ICT and security risk management” der EBA auf natio­naler Ebene um. Parallel dazu wurden auch die „Mindest­an­for­de­rungen an das Risiko­ma­nagement“ (MaRisk) sowie die „Zahlungs­diens­te­auf­sicht­lichen Anfor­de­rungen an die IT von Zahlungs- und E‑Geld-Insti­tuten“ (ZAIT) novelliert.

Verschärfte Anfor­de­rungen für Kreditinstitute

Mit der Novel­lierung der BAIT werden Kredit­in­stitute vor neue und verschärfte Anfor­de­rungen gestellt. Insbe­sondere gibt es drei neue Kapitel.

Eine wesent­liche Änderung ist die verstärkte Berück­sich­tigung der opera­tiven IT-Sicherheit. Mit einem eigenen und neuen Kapitel rückt diese weiter in den Mittel­punkt. Die Umsetzung der dort formu­lierten Anfor­de­rungen verlangt praktisch den Betrieb eines Security Infor­mation and Event Management Systems (SIEM). Das umfasst auch die Einrichtung und den Betrieb eines Security Opera­tions Centers (SOC). Operativ sind regel­mäßige Überprü­fungen durch­zu­führen, wie z.B. Abwei­chungs­ana­lysen („Gapana­lysen“), Schwach­stel­len­scans, Penetra­ti­ons­tests und die Simulation von Angriffen („Red Teaming“). Die neuen Anfor­de­rungen münden im Aufbau einer profes­sio­nellen Cyber-Security-Infra­struktur und umfang­reicher, unabhän­giger interner Informationssicherheitsstrukturen.

Weiterhin erhält auch das IT-Notfall­ma­nagement ein eigenes, neues Kapitel. In diesem werden die Anfor­de­rungen mit denen aus Abschnitt AT 7.3 der MaRisk konso­li­diert, um einheit­liche nationale Vorgaben zu erhalten. Außerdem werden die Vorgaben hinsichtlich der Notfall­planung und –vorsorge, BCM, Desaster Recovery sowie die Backup­stra­tegien, auch unter Einbe­ziehung von Dienst­leistern, verschärft bzw. präzisiert.

Das dritte neue Kapitel ist das Kapitel zum Management mit Zahlungs­dienst­nutzern, welches der novel­lierten ZAIT entstammt. In diesem werden Anfor­de­rungen an Institute beschrieben, um deren Zahlungs­dienst­nutzer aktiv in Bezug auf sicher­heits­re­le­vante Risiken, insbe­sondere zum Thema Betrug, zu unter­stützen und zu beraten.

Neue Heraus­for­de­rungen gemeinsam meistern

Die Änderungen stellen die betrof­fenen Institute vor große Heraus­for­de­rungen. Das betrifft insbe­sondere das erfor­der­liche Know-how und die begrenzten Ressourcen auf dem Arbeits­markt. Gerne beraten und unter­stützen wir Sie bei der Umsetzung der aufsichts­recht­lichen Anfor­de­rungen zur Infor­ma­ti­ons­si­cherheit sowie bei der Erstellung gefor­derter Nachweise.