BAIT – kompakt
Die Bankaufsichtlichen Anforderungen an die IT (BAIT) sind ein umfassender Katalog an Vorgaben, die Finanzinstitute in Deutschland erfüllen müssen, um ein angemessenes IT-Risikomanagement sicherzustellen und einen sicheren IT-Betrieb zu gewährleisten. Die BAIT konkretisieren die allgemeinen Anforderungen der Mindestanforderungen an das Risikomanagement (MaRisk) und betonen die Relevanz etablierter Standards wie dem IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) sowie den internationalen Sicherheitsstandards der ISO/IEC 27000-Reihe.
Ziel der BAIT ist es, die Stabilität und Sicherheit des Finanzsystems zu gewährleisten, indem die Institute durch geeignete technische und organisatorische Maßnahmen vor IT-Risiken geschützt werden.
Die Anforderungen der BAIT sind prinzipienorientiert und berücksichtigen das Prinzip der doppelten Proportionalität, d.h. sie werden an die Größe, Geschäftsaktivitäten und Risikosituation des jeweiligen Instituts angepasst.
Anforderungsübersicht
Strategische Grundlagen
IT-Strategie: Entwicklung einer nachhaltigen IT-Strategie, die mit der Geschäftsstrategie konsistent ist und die strategische Ausrichtung der IT, wichtige Standards, Ziele, Verantwortlichkeiten, IT-Architektur und IT-Notfallmanagement definiert.
IT-Governance: Etablierung einer effektiven IT-Governance Struktur zur Steuerung und Überwachung des IT-Betriebs und der Weiterentwicklung der IT-Systeme. Dies beinhaltet die Festlegung von Verantwortlichkeiten, die Bereitstellung ausreichender Ressourcen und die Vermeidung von Interessenkonflikten.
Risikomanagement
Informationsrisikomanagement: Implementierung eines umfassenden Informationsrisikomanagements, das die Identifizierung, Bewertung, Steuerung und Überwachung von IT-Risiken beinhaltet.
Informationssicherheitsmanagement: Einrichtung eines Informationssicherheitsmanagements zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten. Es ist ein Informationssicherheitsbeauftragter einzurichten, der für alle Belange der Informationssicherheit verantwortlich ist.
Operative Umsetzung
Operative Informationssicherheit: Umsetzung der Vorgaben des Informationssicherheitsmanagements durch konkrete Maßnahmen und Prozesse. Dazu gehören die Implementierung von Informationssicherheitsmaßnahmen und -prozessen, die frühzeitige Identifizierung von Gefährdungen des Informationsverbundes, die Definition von Regeln zur Identifizierung sicherheitsrelevanter Ereignisse und die regelmäßige Überprüfung der Sicherheit der IT-Systeme.
Identitäts- und Rechtemanagement: Etablierung eines effektiven Identitäts- und Rechtemanagements (IRM) zur Steuerung und Kontrolle von Zugriffsrechten. Berechtigungskonzepte legen den Umfang und die Nutzungsbedingen der Berechtigungen fest und gewährleisten die Vergabe von Berechtigungen nach dem Sparsamkeitsgrundsatz. Zugriffe und Zugänge müssen jederzeit einer handelnden Person zuordenbar sein.
IT-Projekte und Anwendungsentwicklung
IT-Projekte und Anwendungsentwicklung: Definition von Prozessen und Standards für die Planung, Durchführung und Kontrolle von IT-Projekten sowie für die sichere Entwicklung von Anwendungen. Für die Anwendungsentwicklung sind angemessene Prozesse festzulegen, die Vorgaben zur Anforderungsermittlung, zum Entwicklungsziel, zur technischen Umsetzung, zur Qualitätssicherung sowie zu Test, Abnahme und Freigabe enthalten.
IT-Betrieb: Sicherstellung eines zuverlässigen und sicheren IT-Betriebs, der die Anforderungen der Geschäftsprozesse erfüllt
Besondere Anforderungen
Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen: Risikoorientierte Steuerung und Überwachung von Auslagerungen und sonstigem Fremdbezug von IT-Dienstleistungen.
IT-Notfallmanagement: Entwicklung und Implementierung eines IT-Notfallmanagements zur Sicherstellung der Geschäftsfortführung im Falle von IT-Störungen oder -Ausfällen.
Management der Beziehungen mit Zahlungsdienstnutzern: Etablierung eines proaktiven Managements der Beziehungen mit Zahlungsdienstnutzern, um diese über Sicherheitsrisiken zu informieren und zu sensibilisieren.
Kritische Infrastrukturen: Betreiber kritischer Infrastrukturen müssen zusätzliche Maßnahmen ergreifen, um die Risiken für den sicheren Betrieb zu minimieren und die Versorgungssicherheit kritischer Dienstleistungen zu gewährleisten.
IMPLEMENTUS – Beratungsleistungen
Strategische Ausrichtung und Governance
- IT-Strategie entwickeln: Unterstützung bei der Erstellung einer IT-Strategie im Einklang mit der Geschäftsstrategie und den BAIT-Anforderungen.
- IT-Governance optimieren: Gestaltung einer effektiven IT-Governance mit klaren Rollen, Kontrollmechanismen und Ressourcenmanagement.
- IT-Standards implementieren: Auswahl und Umsetzung von Standards wie BSI IT-Grundschutz oder ISO/IEC 270XX.
Risikomanagement und Informationssicherheit
- Risikomanagement einrichten: Implementierung eines Systems zur Identifizierung, Bewertung und Steuerung von Informationsrisiken.
- Sicherheitsleitlinie umsetzen: Erstellung einer Leitlinie für Informationssicherheit, die BAIT und IT-Strategie vereint.
- Informationssicherheitsbeauftragter: Unterstützung bei der Auswahl und Schulung des Beauftragten sowie Mitarbeitersensibilisierung.
Operative Umsetzung und IT-Betrieb
- Sicherheitsmaßnahmen implementieren: Unterstützung bei der Umsetzung von Sicherheitsmaßnahmen wie Netzwerksicherheit, Datenschutz und Zugriffskontrollen.
- Identity and Access Management (IAM): Implementierung eines Systems zur Verwaltung von Identitäten und Berechtigungen.
- IT-Notfallmanagement: Entwicklung eines IT-Notfallplans für Wiederherstellung und Ausfallszenarien.