Bafin it Sicherheit

VAIT stößt auf ein verständliches und flexibles Rahmenwerk für das IT-Ressourcenmanagement, speziell für das Informationsrisiko- und Information Security-Management. Außerdem sollen sie dazu dienen, das IT-Risikobewusstsein in Betrieben und gegenüber ihren IT-Dienstleistern zu schärfen. Sie regelt auch die Voraussetzungen für das IT-Projektmanagement und die Applikationsentwicklung, wozu auch die Individualdatenverarbeitung in den Fachgebieten gehört.

Der Runderlass beinhaltet Informationen über die Interpretation der ISA-Regeln zur Unternehmensorganisation, die sich auf die technische und organisatorische Ausrüstung der Gesellschaften erstrecken. Sie legt daher fest, was die Aufsichtsbehörden unter einer geeigneten technischen und organisatorischen Ausrüstung der IT-Systeme (Hard- und Software) unter spezieller Beachtung der Erfordernisse der Informationssicherheit verstehen. Weil viele Firmen mittlerweile IT-Dienstleistungen von Dritten bezogen haben - sei es in Gestalt von Spin-offs oder anderen Leistungsbeziehungen -, werden im VAIT auch Forderungen gestellt.

Durch die gestiegene Transparentheit der regulatorischen Vorgaben sollen Firmen dabei unterstützt werden, eine angemessene Unternehmensorganisation in der IT zu gewährleisten. Allerdings sind die grundsätzlichen Vorgaben kein vollständiger Lastenheftkatalog und damit nicht endgültig in der Steuerungstiefe und im Umfang. Somit ist jedes einzelne Untenehmen auch über die Konkretisierung durch VAIT hinaus zur Einhaltung aktueller IT-Standards und zur Berücksichtigung des Standes der Wissenschaft gefordert.

Das Verhältnismäßigkeitsprinzip ist bei der Implementierung der organisatorischen Voraussetzungen und damit auch bei der Gestaltung von Struktur, IT-Systemen und Prozessen von großer Bedeutung. Daher müssen die Voraussetzungen so erfüllt werden, dass Art, Ausmaß und Kompliziertheit der mit der Geschäftstätigkeit des Konzerns verbundenen Gefahren berücksichtigt werden.

VAIT verfolgt - wie auch BAIT - das Hauptziel, das IT-Risikobewusstsein in Betrieben zu erhöhen. Als IT-Risiken bezeichnet die Aufsichtsbehörde das gegenwärtige und zukünftige Schadensrisiko aufgrund der Unangemessenheit oder des Ausfalls von Hard- und Software der technischen Infrastruktur, das die Erreichbarkeit, Unversehrtheit, Erreichbarkeit und Sicherheit dieser Infrastruktur oder von Informationen beeinflussen kann.

Die Notwendigkeit, auf allen Unternehmensebenen Transparenz zu schaffen und mit IT-Risiken umzugehen, durchläuft sämtliche Fachmodule der VAIT und ist fester Teil der individuellen IT-Anforderungen. Die Definition der IT-Strategie und die daraus abgeleiteten Massnahmen zur Umsetzung der strategischen Ziele, die intern angemessen kommuniziert werden müssen, verdeutlichen auch die für das IT-Risikobewusstsein notwendige Wichtigkeit der IT für die Umsetzung des Versicherungsgeschäfts.

Es muss auch ihre effektive Durchführung gewährleisten. Die Gesellschaft stellt vor allem sicher, dass das Informationsrisiko- und Informationssicherheits-Management, der IT-Betrieb und die Applikationsentwicklung ausreichend besetzt sind. Das ist aus Aufsichtssicht von Bedeutung, damit das Risikopotenzial einer qualitativ oder quantitativ bedingten Unterfinanzierung dieser Gebiete früh genug identifiziert und schnellstmöglich beseitigt werden kann.

Hier ist ebenfalls eine ausreichende personelle Ausstattung nötig. Im Zuge des Informationsrisikomanagements muss jedes einzelne Institut die entsprechenden Schutzbedürfnisse identifizieren, darauf aufbauend Zielvorgaben festlegen, diese mit den effektiv implementierten Ist-Maßnahmen vergleichen und ggf. anpassen. Um das IT-Risikobewusstsein im eigenen Haus und gegenüber IT-Dienstleistern zu schärfen, ist die Erhöhung der Risikotransparenz und ggf. die Übernahme des Residualrisikos durch das Management die wesentliche Voraussetzung.

Das Management ist unter Beachtung der Risikolage dafür zuständig, eine Richtlinie zur Sicherung von Informationen zu verabschieden und diese im Konzern entsprechend zu vermitteln. Die Aufsichtsbehörde versteht in ihrer Rolle als Informationssicherheitsbeauftragter das Kernelement für die Erfüllung der Vorgaben und die Kontrolle der Datensicherheit im eigenen Haus und gegenüber Dritten. Auch das IT-Risikobewusstsein des Managements und aller Mitarbeiter im Betrieb wird dadurch gestärkt.

Die Firma muss eine Benutzerberechtigungsverwaltung einrichten. Dadurch muss sichergestellt werden, dass die Berechtigung entsprechend den betrieblichen und technischen Anforderungen gestaltet und ausgenutzt wird. Bei der Berechtigungsvergabe an Anwender muss dieses Vorgehen gewährleisten, dass jeder einzelne Arbeitnehmer nur die Rechte hat, die er für seine Arbeit braucht.

Die IT-Projekte müssen entsprechend gesteuert werden, wobei vor allem die Gefahren hinsichtlich Laufzeit, Ressourceneinsatz und Güte zu berücksichtigen sind. Schon bei der Anwendungsentwicklung müssen entsprechende Vorsichtsmaßnahmen getroffen werden, um die Geheimhaltung, Unversehrtheit, Verfügbarkeit und Echtheit der in diesem Verfahren zu bearbeitenden Informationen zu gewährleisten. Die Aufsichtsbehörde verlangt zudem, dass die Gesellschaften ein Zentralregister der wichtigen bzw. wichtigen Applikationen haben.

Auch die Betrachtung der Gefahren, die sich aus dem Einsatz von veralteten IT-Systemen - sowohl Hard- als auch Softwaresystemen - ergeben können, leistet einen wesentlichen Beitrag zur Sensibilisierung für IT-Risiken. Ein solches (Produkt-)Lebenszyklusmanagement ist jedoch nur möglich, wenn die Bestandteile der IT-Systeme einschließlich der Bestandsdaten angemessen managt werden. Firmen sollten dafür ein Digitalverzeichnis verwenden, zum Beispiel eine CMDB (Configuration Managment Database).

Erst so können die Gesellschaften die Risikolage umfassend erfassen und Klumpenrisiken im Bereich der IT-Services aufdecken. Die Aufsichtsbehörde geht ferner davon aus, dass die aus der Risikobewertung abgeleiteten Massnahmen in die Vertragsgestaltung einbezogen werden. Der VAIT enthält keine neuen Vorgaben für Firmen und deren IT-Dienstleister, sondern erläutert oder spezifiziert nur die bestehenden regulatorischen Vorgaben.

Durch den modularen Aufbau der VAIT erhält die Aufsichtsbehörde die nötige Gestaltungsfreiheit für zukünftige Änderungen oder Erweiterungen aufgrund von neuen internationalen oder nationalen IT-Anforderungen. So wird zurzeit geprüft, ob die Kernelemente der Cyber-Sicherheit, die die G-7-Staaten im Okt. 2016 veröffentlicht haben, durch eine Anpassung durch VAIT realisiert werden können.

Als Teil der europaweit angestrebten Angleichung der IT-Systemanforderungen in der Versicherungswirtschaft wird sie die VAIT in die Diskussion einbeziehen.