KAIT Bafin-Rundschreiben stellt höhere IT-Anforderungen an KVGen

Insgesamt lagen bei Kreditinstituten und Finanzdienstleistern zum Beispiel folgende im Rahmen von Jahresabschlussprüfungen getroffene Feststellungen vor:

Grundlegende Beanstandungen

1. Keine (adäquate) Bestellung eines Informationssicherheitsbeauftragten
2. Es lag noch keine dokumentierte IDV-Richtlinie vor
3. Risiko- bzw. Wesentlichkeitseinstufung in der IDV-Richtlinie sind nicht ausreichend nachvollziehbar
4. Es lag noch keine adäquate und/oder vollständige (eigenständige) IT-Strategie vor, z.B. ist die IT-Strategie nicht konsistent zur Geschäfts- und Risikostrategie
5. Keine oder keine vollständige Informationssicherheitsleitlinie und –richtlinie bzw. diese Dokumente stehen nicht im Einklang mit der IT-Strategie
6. Die Auslagerungsunternehmen nehmen keine eigenen Notfalltests vor und/oder werden nicht ausreichend in die Notfalltests eingebunden
7. Keine oder eine nicht ausreichende Anbindung an Notfallrechenzentren der Dienstleister
8. Berichte über Prüfungen bei Dienstleistern (z.B. IDW PS 951) lagen nicht oder nicht in allen Fällen vor
9. Es lag kein datenschutzrechtliches Verfahrensverzeichnis vor
10. Unklare oder fehlende Zuordnung von Verantwortlichkeiten zu wesentlichen Auf-gaben und Kompetenzen bezüglich der Gebiete Informationssicherheit und Informationsrisikomanagement
11. Keine oder nicht ausreichende Schutzbedarfs- und Risikoanalysen für die Elemente des IT-Betriebs und ggf. fehlende oder nicht ausreichende Definition von Sollmaßnahmen
12. Schutzbedarfs- und Risikoanalysen im Hinblick auf ISMS und IRMS wurden nicht umgesetzt.
13. Das Informationssicherheits- und -risikomanagement ist sowohl organisatorisch als auch prozessual noch nicht vollumfänglich implementiert.
14. Das Informationsrisikomanagement wurde organisatorisch noch nicht implemen-tiert.
15. Die Zuordnung von Verantwortlichkeiten zu wesentlichen Aufgaben und Kompetenzen bezüglich des Informationsrisikomanagements war noch nicht gegeben.
16. Kein ausreichender Schutz der physischen Sicherheit der IT-Infrastruktur
17. Die Abgrenzung zwischen Auslagerungen und sonstigem Fremdbezug ist nicht nachvollziehbar, zum Beispiel wurden noch keine Risikoanalysen zur Würdigung des sonstigen IT-Fremdbezugs durchgeführt.
18. (Potenzielle) Interessenkonflikte bei der Vergabe von Benutzerberechtigungen
19. Keine oder keine ausreichende Überwachung von Benutzern mit umfassenden Berechtigungen
20. Es sind keine (oder keine adäquaten) quantitativen Kriterien (z.B. KPIs) definiert, wodurch eine Steuerung und Überwachung des IT-Betriebs und der Weiterent-wicklung der IT-Systeme ermöglicht wird.
21. Neue Arbeits- und Organisationsanweisungen wurden zu allen Bereichen der BAIT implementiert; diese entsprechen jedoch nicht oder nur teilweise den tatsächlichen Prozessen
22. Es existiert kein Löschkonzept, welches die Aufbewahrungsfristen der relevanten Unterlagen definiert.
23. Die systemischen Passworteinstellungen sind konsistent zu denen der Passwortrichtlinie zu gestalten
24. Teilweise oder in Gänze lagen keine Softwarezertifizierungen vor