Bankaufsichtliche Anforderungen an die IT

Da die Informationstechnik mittlerweile die Basis für alle fachlichen und nichtfachlichen Prozesse bei Banken schafft, nimmt auch die Bedeutung von IT-Governance und Informationssicherheit immer mehr zu. Trotzdem stellte die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) bei der Prüfung der IT von Finanzdienstleistungsunternehmen in den letzten Jahren erhebliche Mängel fest, unter anderem in den Bereichen IT-Strategie, IT-Berichtswesen, IT-Organisation und IT-Notfallmanagement.  Die Mängel ergeben sich aus §25a Absatz 1 Satz 3 Nummern 4 und 5 des Kreditwesengesetzes (KWG) und dem Verweis zur „Mindestanforderung an das Risikomanagement“ (MaRisk).

Ende 2017 veröffentliche die BaFin deshalb die Bankaufsichtlichen Anforderungen an die IT – kurz BAIT. Damit möchte sie die Erwartungen der Bankenaufsicht sowie die zugehörigen Prozesse transparent machen. Die BAIT gelten als der zentrale Baustein in der IT-Aufsicht für alle Kredit- und Finanzierungsdienstleistungsinstitute in Deutschland. Angesprochen werden damit die Geschäftsleitungen der Unternehmen.

Um in der Lage zu sein, sich den einzelnen Punkten zu widmen, müssen die Verantwortlichen sich jederzeit einen vollumfänglichen und vor allem einen aktuellen Überblick über die gesamten IT-Strukturen, deren Abhängigkeiten, Software-Stände, Sicherheitsmaßnahmen, Benutzerberechtigungen usw. verschaffen können (BAIT 1.1 und BAIT 1.2 a-f). Und ebenso muss das Unternehmen für den Ernstfall ein top gepflegtes und sofort verfügbares Notfallmanagement haben. Dazu gehört ein regelmäßig aktualisierter IT-Notfallplan ebenso wie die nahtlose Verknüpfung von Zuständigkeiten und Abläufen. Auch wird die Auslagerung von Aktivitäten und Prozessen nach den Anforderungen des Kreditwesengesetz KWG §25b präzisiert.

Um den Vorgaben der BAIT gerecht zu werden, ist es nötig, einen stets aktuellen Überblick über sämtliche Systeme, Netzwerke, Geräte und Geschäftsprozesse zu erhalten. Manuell ist diese Bestandsaufnahme jedoch allenfalls bei einer kompletten Neuanschaffung zu bewerkstelligen. Bei gewachsenen IT-Strukturen sollte man dem enorm hohen Aufwand mit einer möglichst hohen Automation durch spezielle Softwarelösungen begegnen. Dafür gibt es spezielle Inventarisierungs- und Dokumentationssoftwarelösungen, die ohne großes Zutun bereits einen beträchtlichen Teil für Sie erledigen.

Ein Beispiel für eine solche Software ist die professionelle IT-Dokumentations-Software Docusnap. Aufgrund zahlreicher Automatisierungen spart man sich mit der Software Zeit bei der Inventarisierung der benötigten Daten und die vielfältigen Scan-Modi suchen automatisch nach allen Geräten, die sich im Netzwerk befinden – und dies agentenlos. Das heißt, dass auf keinem Gerät im Netzwerk eine zusätzliche Software installiert werden muss. Das hat vor allem den großen Vorteil, dass weder Sicherheitslücken durch zusätzliche Software auftreten noch einzelne Systeme wie oben beschrieben vergessen oder übersehen werden. Zudem sammelt Docusnap die Daten zentral in einer SQL-Datenbank in Ihrem eigenen Netzwerk. Ebenso werden andere Standorte oder Filialen, die mit ihrem Netzwerk verbunden sind, automatisch mit inventarisiert. Gerade bei örtlich getrennten Betriebsstätten ist dies ein großer Vorteil, da nicht immer in allen Außenstellen geschultes IT-Personal vor Ort ist.

Da Docusnap bereits von Anfang an eine Vielzahl an unterschiedlichen Berichten zur Verfügung stellt, sind Kontrollen über den Zustand der gesamten IT-Systeme nur mehr ein geringer Aufwand. Nicht nur, dass sich so auch leicht veraltete Betriebssysteme aufspüren lassen. Die Informationen gehen sogar so weit, dass sogar Softwarestände bzw. eingespielte Patch-Versionen auswertbar sind. Vollautomatisch und ohne weiteres Zutun sind diese Berichte auswählbar.

Informieren Sie sich noch heute detailliert über die Bankaufsichtlichen Anforderungen an die IT.

Die Software Docusnap kann 30 Tage kostenlos getestet werden.