IT-Auslagerungen & IT-Notfallmanagement im Fokus der Aufsicht

Umsetzung BAIT-Vorgaben aus den Outsourcing-/ICT-EBA-Leitlinien – Erweiterte Anforderungen an die IT-Notfallplanung (Dienstleistereinbindung!) – Vereinheitlichte IT-Risiko-Aufsicht durch DORA

• Neue bankaufsichtliche Anforderungen an IT-Auslagerungen, IT-Risikomanagement, IT-Notfallplanung & den (operat.) IT-Betrieb
• Proportionale Umsetzung und Operationalisierung der EBA-ICTund IT-Outsourcing-Vorgaben in den Instituten
• Vereinheitlichung der IT-Risiko-Aufsicht durch DORA (Digital Operat. Resilience Act)
• Neue BAIT-Anforderungen an das IT-Notfallmanagement und das IT-Service-Continuity Management (ITSCM)
• Aufsichtskonforme Steuerung und Überwachung von IT-Risiken im Informationsrisikomanagement

Die Konkretisierungen der der Bankaufsichtlichen Anforderungen an die IT (u.a. neue EBA-Leitlinien zu ICT-Risiken) und das Notfallmanagement (u.a. ITCM) führen zu einer deutlichen Fokussierung der Aufsicht mit weitreichendem Anpassungsbedarf bei den Instituten (Prozesse!) durch die direkten Verweise aus den BAIT. Banken müssen somit technisch und organisatorisch auf weiter steigende IT-Risiken deutlich früher (zeitkritische Prozesse) und effektiver reagieren.

Verantwortlichkeiten (GF, Notfallbeauftragte, Krisenstab) müssen genauer festgelegt, Maßnahmen und Vorgehen müssen besser dokumentiert, kommuniziert und regelmäßiger getestet werden. Die Aufsicht erwartet, dass die Banken ihre IT entsprechend risikoadäquat organisieren und die daraus entstehenden IT-Risiken enger im Blick haben.

Doch welche Folgen ergeben sich für das IT-Risikomanagement bei IT-Auslagerungen und wie kann eine aufsichtskonforme Steuerung und Überwachung des Dienstleisters erfolgen?Um dieser Entwicklung Rechnung zu tragen, hat der Europäische Gesetzgeber einen Vorschlag für eine Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors (Digital Operational Resilience Act – DORA) veröffentlicht, die 2023 in Kraft treten soll.

Doch die Operationalisierung der neuen Vorgaben zum Umgang mit IKT-Risiken – insbesondere bei (IT-)Auslagerungen und in der IT-Notfallplanung gestaltet sich in der praktischen Umsetzung schwierig.