Verschärfte Anforderungen an die Prozesse zur Steuerung & Überwachung von IT-Risiken

• Notwendige Anpassungen in IT-Governance-Prozessen durch «DORA» Erweiterte Anforderungen an die Aufbereitung und Aggregation von aussagekräftigen Risikodaten
• Implementierung von IT-IKS und IT-Frühwarnindikatoren in den Prozessen
• Besondere Herausforderungen bei der IT-Risikoinventur und der Beurteilung von IT-Risikoszenarien
• Verankerung von IT-Risiken und Cyber-Risiken im Security Informationand Event-Management (SIEM) sowie im IT Service Continuity Management (ITSCM)
• Häufige Mängel und identifizierte Schwachstellen in der Praxis

Die neuen MaRisk, die BAIT sowie die EBA-ICT-Leitlinien und neue »DORA«- Vorgaben rücken die Steuerung und Überwachung von IT-Risiken sowie die damit zusammenhängenden Prozesse und Steuerungsdaten bei Instituten und Dienstleistern deutlich in den Fokus der Aufsicht.

Operationelle IT-Risiken und Angriffe von außen nehmen weiter zu – insbesondere die Dezentralisierung der Bank- und IT-Prozesse zeigt deutliche Schwachstellen in verschiedenen Bankbereichen auf. Zunehmend schwerwiegendere Feststellungen bei Aufsichts-, Revisionsund Abschluss-Prüfungen in den Bereichen IT-Risikomanagement und IT-Infrastruktur haben zu weitreichenden Aufsichtsmaßnahmen geführt.

Somit kommt der Beherrschung der IT-Risiken eine immer größere Rolle zu. Aber welche Risiko-Daten (u. a. IT-Risiko- Indikatoren) und Prozesse müssen überwacht werden, um eine institutsspezifische, risikoorientierte Steuerung und Überwachung der IT-Risiken sicherzustellen? Besondere Herausforderungen ergeben sich bei der (IT-)Risikoinventur und der Beurteilung von Risikoszenarien.

Auch IT-Dienstleiter-Abhängigkeiten und Cyber-Risiken sind bei der Analyse und Bewertung von IT-Risiken mit zu berücksichtigen und in das Security Information- and Event-Management (SIEM) sowie das IT Service Continuity Management (ITSCM) mit einzubeziehen.

Der Referent gibt wertvolle Praxistipps bzgl. der Überprüfung der Angemessenheit von Daten und Prozessen zur Steuerung und Überwachung von IT-Risiken.