BAIT Spezial: Informationssicherheit & IT-Risikomanagement im Fokus der Aufsicht

IT-IKS und aufsichtskonforme Überwachungs- und Steuerungsprozesse – Schwachstellen bei Schutzbedarfsanalysen – Prüffelder mit Blick auf IT-Notfallmanagement & IT-Auslagerungen

• Aufsichtsrechtliche Anforderungen an das Management von Informationsrisiken & IT-Risiken aus neuen MaRisk/neuen BAIT
• (IT-)Auslagerungen im Fokus von Informations- Risikomanagement und IT-Risikomanagement
• Erweiterte Anforderungen an Schutzbedarfs- und Risikoanalysen
• Besonderheiten im IT-Notfallmanagement/ ITSCM
• Aktuelle Prüfungs-Erfahrungen, Prüfungs-Schwerpunkte und Handlungsempfehlungen
• Risiko-Überwachung durch ein angemessenes IT-IKS

Die neuen MaRisk/BAIT stellen klar, dass das Informationsrisikomanagement weit über die reine IT hinausgeht und ein entsprechendes Risikomanagement breiter und tiefer verankert werden muss. Die Themen Informationssicherheit und IT-Risikomanagement sind in vielen Instituten und Unternehmen lange oft nur stiefmütterlich behandelt worden. Das Bewusstsein der Mitarbeiter für diese Risiken ist teilweise nicht ausreichend vorhanden, was aktuell dazu führt, dass die Risiken in diesen Bereichen stark zugenommen haben und die Aufsicht bei Ihren Prüfungen vermehrt wesentliche Feststellungen trifft und sogar Eigenkapitalaufschläge verhängt.

Die neuen MaRisk bzw. neuen BAIT, in denen die EBA-Leitlinien für das IKT-/ICT-Risikomanagement umgesetzt wurden, verlangen daher eine grundlegende Verbesserung der entsprechenden Risikomanagement- Prozesse. Häufige Kritikpunkte der Aufsicht sind unzureichende Kontrollen/IKS, unvollständige IT-Struktur-/IT-Risikoanalysen und nicht nachvollzierbare/nicht dokumentierte Schutzbedarfseinstufungen, die zu Verschärfungen in den aufsichtlichen Anforderungen geführt haben.

Sachgerechte Überwachungs- und Steuerungsprozesse sind zu implementieren und kontinuierlich(!) an neue/geänderte Risikosituationen anzupassen. Die laufende Identifizierung und Beurteilung des Informations- und IT-Risikos wird somit zur schwierigen Aufgabe für die Institute.

Das Seminar gibt wertvolle Umsetzungs- Hinweise zu Praxisproblemen und Praxistipps zur Umsetzung für ein aufsichtskonformes Management von Informationsund IT-Risiken.