EBA-Leitlinien für IKT- und Sicherheitsrisikomanagement
In den EBA-Richtlinien für das Sicherheitsrisikomanagement soll ein Weg gefunden werden, wie Auslagerung und Innovation angegangen und mit der Einhaltung von Vorschriften in Einklang gebracht werden können. Trotz Aufforderungen von öffentlichen Beratern, FinTech aus dem Bericht zu streichen, enthalten die IKT-Richtlinien ausdrücklich Bestimmungen für das Sicherheitsrisikomanagement, die alle relevanten Branchenakteure einbeziehen.
Die Richtlinien setzen sich aus den folgenden Kategorien zusammen:
Proportionalität
Alle Finanzinstitutionen sind verpflichtet, die Bestimmungen der EBA-Leitlinien in einer Weise einzuhalten, die der Größe des Instituts, ihrer internen Organisation, ihrem Umfang, ihrer Art, ihrer Komplexität und der Risikobereitschaft der angebotenen Produkte/Dienstleistungen angemessen ist.
Governance and Strategie
Das Sicherheitsrisikomanagement ist verpflichtet, das Führungsgremium einzubeziehen, um eine angemessene Führung, hohe Qualitätsstandards und Mitarbeiterfähigkeiten sowie die Genehmigung, Überwachung und Umsetzung robuster IKT-Strategien zu gewährleisten.
Im Rahmen ihrer Strategie müssen sich die Institutionen so weiterentwickeln, dass sie die Organisationsstruktur, Änderungen der IKT-Systeme, Abhängigkeiten von Dritten sowie ihre Mitarbeiter und Prozesse wirksam unterstützen.
Rahmenwerk für IKT und Sicherheitsrisikomanagement
Die Institute sind verpflichtet, ihre Infrastruktur nach IKT-Richtlinien zu ermitteln und zu verwalten. Darüber hinaus müssen Verantwortlichkeiten direkt zugewiesen werden, um IKT- und Sicherheitsrisiken angemessen zu verwalten und zu überwachen. Dieser Abschnitt befasst sich mit der Zuweisung von Schlüsselrollen und Verantwortlichkeiten, der Bestimmung von Risiken und der Behebung von Problemen aus den gewonnenen Erkenntnissen.
In einem System der Risikoklassifizierung und -bewertung wird dargelegt, wie Risiken gemindert und relevante Informationen den EBA-Richtlinien gemäß gemeldet werden können. Außerdem werden die bestehenden Systeme kontinuierlich überprüft.
Informationssicherheit
Unter Informationssicherheit definieren die EBA-Richtlinien, was eine akzeptable Informationssicherheit für das Sicherheitsrisikomanagement darstellt. Die IKT-Richtlinien umreißen zudem die logische Sicherheit, die physische Sicherheit, die Sicherheit des IKT-Betriebs, die Sicherheitsüberwachung, die Überprüfung, Bewertung und Prüfung der Informationssicherheit sowie die Ausbildung und das Bewusstsein für Informationssicherheit.
IKT-Betriebsmanagement
In diesem Abschnitt der EBA-Richtlinien wird den Finanzinstituten empfohlen, ihren IKT-Betrieb auf der Grundlage von Verfahren und Prozessen zu verwalten, die vom Leitungsorgan implementiert werden. Auch das Vorfall- und Problemmanagement wird behandelt. Es wird erklärt, wie man im Falle eines Problems am besten mit dem zuständigen Bearbeiter zusammenarbeitet.
IKT-Projekt- und Änderungsmanagement
Die Institute werden angewiesen, einen Projekt-Governance-Prozess einzurichten, der Verantwortlichkeiten definiert, Rollen zuweist und die Rechenschaftspflicht festlegt, um die Umsetzung von IKT-Richtlinien und -Strategien zu unterstützen.
Außerdem lässt sich in den Richtlinien ein Abschnitt zur Anschaffung und Entwicklung von IKT-Systemen und das Änderungsprotokoll für das IKT-Management finden.
Geschäftsfortführungsmanagement
Im Falle schwerwiegender Geschäftsunterbrechungen infolge von Cyberangriffen oder Sicherheitsverletzungen müssen die Institute auf einen reibungslosen Übergang zurück zur Normalität vorbereitet sein. Der beschriebene Prozess umfasst eine Analyse der Geschäftsauswirkungen, einen Plan für die Geschäftskontinuität und Reaktion, Wiederherstellungspläne, das Testen der Pläne und schließlich die Einrichtung von Kommunikationskanälen während einer Krise.
Pflege der Kundenbeziehungen mit Zahlungsdienstnutzern
Das Sicherheitsrisikomanagement für Zahlungsdienstleister sieht die Einrichtung und Implementierung von Prozessen vor, die das Bewusstsein von Sicherheitsrisiken einzelner Services erhöhen.
Die übrigen EBA-Richtlinien befassen sich mit der Aufdeckung von betrügerischen oder böswilligen Konto-Nutzungen und weisen Möglichkeiten auf, Verstößen durch die Deaktivierung bestimmter Funktionen vorzubeugen.
Die Nutzung von Drittanbietern – EBA-Richtlinien zur Auslagerungen
In den EBA-Leitlinien zur Auslagerung definiert die Behörde Auslagerung als eine Vereinbarung zwischen einem regulierten Institut und einem Dienstleister, der einen Prozess, eine Dienstleistung oder eine Tätigkeit ausführt, die normalerweise intern abgewickelt werden würde. Daher sollte jedes Institut genau bestimmen, welche Vereinbarungen unter die Auslagerung an Dritte fallen. Die Regeln sind strenger für sensiblere Aufgaben, die im Falle eines Cyberangriffs etwa zu einem Systemausfall führen können.
Laut den EBA-Richtlinien zur Auslagerung müssen Institute sicherstellen, dass ihre risikomindernden Maßnahmen wirksam sind, wenn sie Drittanbieter in Anspruch nehmen. Daher fallen Drittanbieter unter die Definition des Risikomanagements der Institution.
Um sicherzustellen, dass die Kontinuität der IKT-Dienstleistungen und IKT-Systeme gewährleistet ist, empfehlen die EBA-Richtlinien zur Auslagerung den Instituten, in ihren Verträgen und Dienstleistungsvereinbarungen die folgenden Maßnahmen abzudecken:
- Es müssen angemessene und verhältnismäßige Informationen über die sicherheitsbezogenen Ziele und Maßnahmen vorhanden sein. Diese müssen die Mindestanforderungen an die Cybersicherheit, Spezifikationen für den Datenlebenszyklus des Instituts, Anforderungen an die Datenverschlüsselung, Netzwerksicherheit und Überwachungsprozesse sowie den Standort der Rechenzentren umfassen.
- Die EBA-Richtlinien zur Auslagerung besagen zudem, dass es Verfahren für den Betrieb von und den Umgang mit Sicherheitsvorfällen geben muss, die sowohl Eskalation als auch Berichterstattung einschließen.
Die Finanzinstitute, die diese Vereinbarungen mit Drittanbietern abschließen, müssen den Grad der Einhaltung der Sicherheitsmaßnahmen, Ziele und Leistungsvorgaben überwachen und sicherstellen.
Der Sicherheitsstandard von Drittanbietern muss dem Standard der Institutionen entsprechen, die sie beauftragen, wie in den EBA-Richtlinien zur Auslagerung festgelegt.
Fazit
Die EBA-Richtlinien zur Auslagerung nennen insbesondere Cloud-Dienste als das höchste Sicherheitsrisiko.
Die Bemühungen um den Einsatz von Cloud-Diensten haben in den meisten Branchen zugenommen – besonders während der Pandemie und dem Aufkommen von Remote Work. Die EBA-Richtlinien zur Auslagerung zielen darauf ab, die potenziellen Risikobereiche abzudecken, die mit Cloud-basierten Arbeitsplätzen einhergehen.
Mithilfe von LeanIX erhalten große Institute die notwendigen Tools und Services zur effizienten Verwaltung ihrer Enterprise Architecture.
Unternehmen, deren Application Portfolios aus mehr als 100 Applikationen bestehen, fehlt häufig ein transparenter Blick auf ihre Applikationslandschaft. Ein effektives Application Portfolio Management erleichtert die Einhaltung der in diesem Guide beschriebenen EBA-Richtlinien.
LeanIX unterstützt Finanzinstitute bei der Verwaltung von Software verschiedener Anbieter, wodurch die Einhaltung der komplexen EBA-Richtlinien erheblich erleichtert wird.
/EN/Reports/Thumbnail-Obsolescence-Gartner.png?width=260&height=171&name=Thumbnail-Obsolescence-Gartner.png)
/DE/Poster/Obsolescence-Poster-Thumbnail-780x546-DE.png?width=260&height=171&name=Obsolescence-Poster-Thumbnail-780x546-DE.png)
/DE/Poster/DE-Tech-Stacks-Poster_Resource_Page_Thumbnail-1.png?width=260&height=171&name=DE-Tech-Stacks-Poster_Resource_Page_Thumbnail-1.png)