Am 8.4.2019 wurde der Entwurf des Rundschreibens „Kapitalverwaltungsaufsichtliche Anforderungen an die IT“ (KAIT) zur Konsultation gestellt.
Hinweis
Die KAIT sollen ohne offizielle Übergangsfrist, im Juni in Kraft treten. Wie auch bei den BAIT und VAIT handelt es sich bei den KAIT nicht um grundlegend neue Anforderungen, sondern nur um eine Konkretisierung von bestehenden Anforderungen, die sich aus den Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften (KAMaRisk) ergeben.
Betroffen von diesem Rundschreiben sind KVGen im Sinne des § 17 KAGB, sofern diese über eine Erlaubnis nach dem KAGB verfügen. Ausgenommen sind u. a. registrierte KVGen nach § 44 KAGB oder extern verwaltete Investmentgesellschaften.
Ziel ist es „einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der KVGen – insbesondere für das Management der IT-Ressourcen und für das IT-Risikomanagement“ vorzugeben.
Die Anforderungen der KAIT entsprechen inhaltlich den BAIT und werden ebenfalls für insgesamt acht Bereiche definiert (siehe novus Finanzdienstleistungen 1. Ausgabe 2017, S. 8 bis 9). Die Aufsicht hat in den KAIT jedoch erstmalig folgende wesentliche Regelungen formuliert bzw. konkretisiert, die über die Regelungen der BAIT hinausgehen:
IT-Strategie
Ergänzend wird in den KAIT eine sinnvolle Überprüfbarkeit der Zielerreichung gemäß der IT-Strategie gefordert. Die Erstverabschiedung und ggf. Veränderung der IT-Strategie sind dem Aufsichtsorgan zur Kenntnis zu geben. Weiterhin wird eine interne Kommunikation von Veränderungen der IT-Strategie gefordert.
IT-Governance
Hervorzuheben sind die konkreten Anforderungen an die Personalausstattung und -Kompetenzen im Bereich IT sowie an Umfang und Qualität der technisch-organisatorischen Ausstattung. Die KVGen haben sicherzustellen, dass die IT-Geschäftsaktivitäten auf Basis von Organisationsrichtlinien betrieben werden.
Über die Konkretisierungen der BAIT hinaus gehen die KAIT bei der Funktionsfähigkeit von Notfallmaßnahmen. Diese sind regelmäßig zu testen.
Informationsrisikomanagement
Zukünftig sind durch die KVGen Prozesse zu implementieren, welche IT-Risikokriterien, die Identifikation von IT-Risiken, den Schutzbedarf sowie die Schutzziele identifizieren, bewerten, überwachen und steuern. Wie bei den BAIT erfolgt die Ermittlung des Schutzbedarfs anhand der Schutzziele Integrität, Verfügbarkeit, Vertraulichkeit und Authentizität. Ebenfalls ist ein Sollmaßnahmenkatalog zur Umsetzung der Schutzziele zu erstellen. Die KAIT stellen jedenfalls nochmals klar, dass bei der Festlegung des Schutzbedarfs und der Identifizierung der Risiken auch die verbleibenden Restrisiken zu berücksichtigen sind.
Informationssicherheitsmanagement
Als eine zentrale Neuerung für die KVGen definiert die KAIT die Einführung des Aufgabengebietes eines Informationssicherheitsbeauftragten (ISB). Der ISB verantwortet neben der Wahrung der Informationssicherheit in der KVG insbesondere vor dem Hintergrund der Auslagerung von IT-Dienstleistungen diese auch gegenüber Dritten. Die Funktion des ISB ist zur Vermeidung von Interessenskonflikten organisatorisch und prozessual unabhängig auszugestalten. Diese Tätigkeit ist grundsätzlich im eigenen Haus vorzuhalten. Eine Auslagerung an Dritte ist nur in zwei konkreten Ausnahmefällen möglich.
Hinweis
Die KAIT stimmen hier mit den BAIT überein.
Benutzerberechtigungsmanagement
Im Rahmen des Benutzerberechtigungsmanagements wird konkretisiert, dass Mitarbeiter ausschließlich jene Berechtigungen besitzen dürfen, welche sie zur Ausübung Ihrer Tätigkeit direkt benötigen. Spezifische Anforderungen betreffen in diesem Zusammenhang bspw. die Erstellung von Berechtigungskonzepten sowie die direkte Zuordnungsmöglichkeit eines nicht personalisierten Benutzers (z. B. technischer Benutzer) zu einer handelnden Person.
Hinweis
Die restlichen Anforderungen an das Management der Benutzerberechtigungen sind mit den Anforderungen der BAIT identisch.
IT-Projekte, Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen)
In diesem Abschnitt werden organisatorische sowie prozessuale Vorgehensweisen spezifiziert. So sind IT-Projekte und Veränderungen der IT-Systeme vor ihrer Übernahme in den produktiven Betrieb zu testen und von den fachlich sowie auch von den technisch zuständigen Mitarbeitern abzunehmen. Produktions- und Testumgebung sind dabei grundsätzlich voneinander zu trennen. Für die Entwicklung neuer IT-Funktionen sind angemessene Prozesse festzulegen. Diese enthalten Vorgaben zur Anforderungsentwicklung, zum Entwicklungsziel, zur technischen Umsetzung, zur Qualitätssicherung, sowie zu Test, Abnahme und Freigabe.
Ebenfalls wird klargestellt, dass diese Anforderungen und Kriterien für die Risikoidentifizierung, zur Ermittlung des Schutzbedarfs sowie für die Verwendung von getrennten Test- und Produktivsystemen auch für von den Fachbereichen selbst entwickelte Anwendungen (sog. individuelle Datenverarbeitung, IDV) einzuhalten sind.
IT-Betrieb (inkl. Datensicherung)
In diesem Abschnitt werden Vorgaben zum konkreten IT-Betrieb gemacht, die mit den BAIT übereinstimmen.
Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen
Von zentraler Bedeutung ist die Definition, wann eine Auslagerung vorliegt und was unter den Begriff der Auslagerung fällt.
Davon abzugrenzen ist der sonstige Fremdbezug. Wesentlicher, ergänzender Punkt zu den BAIT ist, dass zum einen der isolierte Bezug von handelsüblicher Standard-Software als sonstiger Fremdbezug eingestuft wird. Als Standard-Software gilt hier eine Software, an der noch keine unternehmenseigenen Anpassungen (inkl. automatischer Updates und Patches) vorgenommen wurden. Zum anderen ist sonstiger Fremdbezug die Personalgestellung, also die Beschäftigung bei einem Dritten unter Fortsetzung des bestehenden Arbeitsverhältnisses, zugunsten der KVG, sofern auf den KVG-eigenen Systemen nach Einweisung und unter Kontrolle gearbeitet wird.
Hinweis
Dies war bisher ein Punkt, der in der Vergangenheit innerhalb der Finanzbranche zu Diskussionen geführt hat. Hier schaffen die KAIT gegenüber den BAIT eine deutliche Konkretisierung und Klarstellung.
Fazit
Die Anforderungen an die IT steigen, einhergehend mit der Erhöhung des IT-Risikobewusstseins. Das hat die BaFin bereits mit den BAIT und den VAIT verdeutlicht.
Die KAIT können als weiterer Schritt der Konkretisierung und Ausgestaltung der bestehenden aufsichtsrechtlichen Anforderungen gesehen werden. Es ist vorstellbar, dass die hier formulierten, weitergehenden Konkretisierungen in zukünftige Fassungen der BAIT und VAIT übernommen werden.
