Der europäische Bankensektor ist einer der am stärksten regulierten Sektoren im europäischen Wirtschaftsraum. Das Konzept beruht auf einer risikoorientierten Aufsicht, welche sich analog der wirtschaftlichen Veränderungen in einem stetigen Wandel befindet. Die fortschreitende Digitalisierung findet insbesondere auch Einzug in Banking-Geschäftsmodelle, wie z.B. dem Trend zu Microfinancing und Micro-Loans, oder dem ausgeben und handeln von Krypotwährungen. Neben komplexeren und digitalen Produkten stehen neue Risiken insbesondere im Bereich Cybersecurity, aber auch geopolitische Risiken und generell regulatorische Risiken aus sich veränderten lokalen Gesetzgebung gegenüber.
Wir begleiten unsere Kunden ganzheitlich im regulatorischen Prozess — von der Analyse der Anwendbarkeit der Regulierung, über die Definition von Maßnahmen und Implementierung der Regulatorik. Wir analysieren dabei die Auswirkungen auf das Geschäftsmodell unserer Kunden, und unterstützen dieses im Hinblick auf technologische Trends und den Wettbewerb regulatorische sicher aufzustellen.
In der 6. Novelle der MaRisk sind somit erstmalig Kryptoanbieter explizit in dem Anwenderkreis der MaRisk genannt. Wir gehen insbesondere im Bereich der Kryptowährung von erheblichem regulatorischen Nachholbedarf aus, da z.B. Krypto-Lending derzeit keine Bankenlizenz bedarf und nicht unter der Kreditwesenaufsicht stattfindet. Für etablierte Banken und Payment-Anbieter ergeben sich insbesondere durch Zusammenarbeit mit digitalen Serviceanbietern erhebliche Chancen im Bereich der Kryptowährungen, auch aus regulatorischen Sicht können deutliche Vorteile gegenüber Krypto-Startups erzielt werden, da die gesamte regulatorische Infrastruktur bei Banken bereits vorhanden ist, während digitale Wettbewerber diese erst aufbauen müssen. Dies resultiert nicht nur in Geschwindigkeits- sondern auch in erheblichen Kostenvorteilen.
Cybersecurity ist längst mehr als reine Governance im Bereich IT Security. Im Bereich der Cybersecurity werden insbesondere verstärkt Mechanismen für die Aufdeckung von Attacken und Schwachstellen, Bewertung der Cyber-Risiken, Implementierung und Wirksamkeitstest von Schutzkonzepten gefordert. Neben der aktiven und passiven Gefahrenabwehr sehen wir die ganzheitliche Cyber Resilienz im Fokus der Aufsichtsbehörden: Krisenreaktionspläne, Notfallvorsorge und Business-Continuity Management werden aus unserer Sicht zukünftig stärker szenariobezogen ausgerichtet werden müssen, was insbesondere der neuen Bedrohungslage und der Cloudifizierung der IT-Infrastruktur Rechnung trägt. Die Ermittlung der schützenswerte Informationen und Informationsflüsse über komplexe Prozess- und Asset- und Infrastrukturarchitekturen sind wesentliche Kosten- und Aufwandstreiber bei der Umsetzung der Regulatorik. Wir setzen daher mit unseren Kunden auf ein ganzheitliches Regulatorikmanagement, unter Einbeziehung des Risiko-, Prozess-, Asset- und ISMS-Managements. Schnellere Reaktionszeiten durch automatische Aggregation und Vernetzung von Informationen, 100%-ige Nachvollziehbarkeit der Umsetzung von regulatorischen Vorgaben und Maßnahmen, sowie Echtzeit-Reportings über Dashboards sind einige der wesentlichen Vorteile der TopEase Plattform im Bereich Cybersecurity und Cyber Resilience.
Einfache Ergänzung der Standard Dimensionen
Vollständige Maßnahmenplanung zur Umsetzung der BAIT und MaRisk, einfache Planung durch interaktive Gantt-Charts
Individuelle Fortschrittsdarstellungen und Customizing möglich
Alle wesentlichen Informationen und Grafiken auf einen Blick
Mit dem GAP-Finder werden Standard-Fragenkataloge Analysen durchgeführt in welchen der Ist-Status der Regulatorik-Umsetzung mit dem Soll-Status abgeglichen wird. Die Abweichungen («Gap’s») können dann in Maßnahmen überführt werden.
Der GAP-Finder bietet mit der GAP-Scorecard eine mehrdimensionale Darstellung des Ist-Zustandes sowie des Soll-Zustandes. So können verantwortliche Risikomanager, Compliancebeauftragte oder andere Beteiligten schnell Handlungsbedarfe erkennen.
Pro identifiziertem Gap können eine oder mehrere Maßnahmen definiert und Verantwortlichen in der Organisation zugewiesen werden. Die Planung kann einfach über ein interaktives Gantt-Chart erfolgen.
Der GAP-Finder kommt einsatzbereit — die BAIT sowie die MaRisk sind bereits als digitaler Katalog eingestellt. Regelmäßige Updates der Kataloge stellen die Aktualität der Vorgaben sicher und verringern den Arbeitsaufwand in den Instituten.
Wir können eine vorkonfigurierte Standardinstallation innerhalb von 30 Minuten auf der Cloud bereitstellen. Daneben verfügen wir über die Möglichkeit on-premise Installationen in den Instituten durchzuführen. Der Gap-Finder ist auch in bestehende TopEase Installationen integrierbar.
Derzeit ist eine Novelle der Mindestanforderungen an das Risikomanagement von Banken (MaRisk) sowie die Novelle der Anforderung an die IT von Banken in Arbeit. Die finale Veröffentlichung erfolgt vsl. im ersten Quartal 2021.
Novellierung der MaRisk als Auspräzisierung des §25a Abs. 3 KWG (Risikomanagement auf Gruppenebene) sowie des §25b KWG (Auslagerung). Zusätzlich Definition qualitativer Rahmen zur Umsetzung des Risikomanagements in Instituten.
Einführung der bankaufsichtlichen Anforderungen an die IT (BAIT). Diese ergänzt die vorgestellte MaRisk und erläutert die technisch-organisatorischen Ausstattungen der notwendigen IT Systeme, und interpretiert so die gesetzliche Grundlage des §25a Absatz 1 KWG. Schwerpunkt der BAIT sind u.a. analog der MaRisk (AT9) Auslagerungen und das Management der damit verbundenen Risiken.
Veröffentlichung der Leitlinien der European Banking Authority zum Management von IKT und Sicherheitsrisiken zur nationalen Umsetzung, und sollen ab Juni 2020 Anwendung finden. Schwerpunkte u.a. in Governance, Informationssicherheit und dem Management des Betriebs.
Veröffentlichung des Entwurfs der BAIT vom 26.10.2020 zur Konsultation bis zum 23.11.2020. Ergänzungen finden sich u.a. in dem Bereich der operativen Informationssicherheit.
Veröffentlichung des Entwurfs der MaRisk vom 26.10.2020 zur Konsultation bis zum 04.12.2020. Ausdetaillierung u.a. AT 2.1 (NLP), AT 4, insb. Beurteilung operatives Geschäftsumfeld & ext. Bedingungen, AT 9 (Auslagerungen).
Aktuell (11/2020) wird lt. BaFin von einer Veröffentlichung der MaRisk Novelle im ersten Quartal 2021 ausgegangen.
Derzeit (11/2020) ist noch kein Veröffentlichungsdatumder neuen BAIT als Umsetzung der ICT Guidelines der EBA bekannt.
Fas 85% der Sonderprüfungen der BaFin entfiel in 2018 auf §25a Abs. 1 KWG Prüfungen (MaRisk), die sogenannten ’44er Prüfungen’. In absoluter Anzahl wurden die meisten Prüfungen im Bereich des Genossenschaftssektors durchgeführt, die prozentuale Prüfungsquote ist im Sektor der Kreditbanken und Sparkassen jedoch deutlich höher als im Bereich der Genossenschaftsbanken. In Summe wurden über 30% der Institute in der Risikomatrix mit einer Qualität von 3 (orange) oder 4 (rot) eingeordnet. (Datenbasis: Handout zur Jahrespressekonferenz 2019 der BaFin)
Im Rahmen der Novelle des MaRisk sowie der BAIT bestehen somit neue Risiken für Institute durch Sonderprüfungen, falls die Novellen nicht zeitnah umgesetzt werden.
Эффективность вместо Excel — автоматизация в информационной безопасности Автоматизированный и интегрированные системы управления — залог безопасности, отвечающей современным вызовам В области кибербезопасности, в информационной безопасности / IT-безопасности, а также в базовой IT-защите зачастую используется Excel, поскольку данный инструмент, как правило, удобен для использования и, как правило, отвечает требованиям нормативных документов, в т.ч. ISO 27001 Приложение A. Но насколько эффективен Excel
