Anforderungen an die IT in Zahlungs- und E-Geld-Instituten Die neue ZAIT der BaFin

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Mitte August veröffentlichte die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die finale Version der „Zahlungsdiensteaufsichtlichen Anforderungen an die IT von Zahlungs- und E-Geld-Instituten“ (ZAIT). Darin werden entsprechende Vorgaben auferlegt, die Anwendung der Inhalte sind mit Veröffentlichung des Rundschreibens verpflichtend. Im Vergleich zu zurückliegenden Rundschreiben der BaFin enthält die ZAIT einige neue bzw. konkreter beschriebene Anforderungen.

Die Anforderungen der ZAIT gelten für alle Institute im Sinne von §1 Absatz 3 des Zahlungsdiensteaufsichtsgesetz (ZAG) und ergänzen damit die Familie der Rundschreiben der BaFin, in der diese die IT-Richtlinien im Finanzsektor zentral definiert – beispielsweise die Mindestanforderungen an das Risikomanagement (MaRisk) sowie die auf die jeweiligen Branchen fokussierten Versicherungsaufsichtlichen Anforderungen an die IT (VAIT) bzw. die für Banken (BAIT). Inhaltlich setzt sich die ZAIT im Detail teilweise signifikant von der ebenfalls in einer geänderten Version veröffentlichten BAIT ab, auch wenn die Anforderungen im Inhaltsverzeichnis nahezu deckungsgleich sind. Die Operationalisierung der Inhalte der ZAIT sind mit der Veröffentlichung am 16.08., mit Ausnahme der Übergangsfristen der genannten EBA Leitlinien, verpflichtend und werden in Abhängigkeit des Prüfungszeitraums im Rahmen der internen Revision, von Jahresabschluss-& Sonderprüfungen sowie anlassunabhängiger Prüfungen entsprechend auditiert.

Geschäftsstrategie, IT-Strategie, Auslagerungen

Sehr konkret nennt die ZAIT Anforderungen an die an eine an der Geschäftsstrategie konsistent ausgerichtete IT-Strategie. Diese gelten auch für selbst betriebene bzw. entwickelte Hard- und Softwarekomponenten, die strategische Einordnung extern bezogener IT-Dienstleistungen (Abhängigkeit von Dritten) sowie das jeweilige Zusammenarbeitsmodell mit IT-Dienstleistern. Letzterem Punkt widmet sich ein separates Kapitel der ZAIT im Detail. In diesem wird ein Rahmen für die Definition, die Rechte und Pflichten interner Stakeholder (Auslagerungsbeauftragter, Geschäftsleitung), den eigentlichen Auslagerungsprozess (initiale Risikoanalyse, Befugnis, Schlechtleistung, Berichterstattung, Auslagerungsregister), Kontrollhandlungen des auslagernden Instituts (fortlaufende Risikobewertung) sowie die mögliche Beendigung der Auslagerungsvereinbarung (Exit-Strategie bei wesentlichen Auslagerungen) vorgegeben. Zu sämtlichen Auslagerungen müssen die individuellen Regelungen vertraglich vereinbart werden, inklusive Vereinbarungen zu einer Weiterverlagerung auf Subunternehmen und dem Ort der eigentlichen Leistungserbringung. Die individuelle Ende-zu-Ende-Verantwortung einer Auslagerung inklusive der Betrachtung der Zielerreichung obliegt der Geschäftsleitung.

Geschäftsleitung in der Pflicht

Analog zur IT-Strategie und Auslagerungen sieht die ZAIT eine (zwangsläufig) starke Einbindung der Geschäftsleitung bei der IT-Governance. Diese beinhaltet insbesondere, dass Prozesse sowie damit verbundene Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen und Kommunikationswege klar zu definieren und aufeinander abzustimmen sind. Diese Verantwortung gilt auch für Schnittstellen zu Auslagerungen, die als „wesentlich“ eingeordnet wurden bzw. sind. Auch das Qualitätsniveau der Mitarbeiter rückt, stärker als in zurückliegenden Rundschreiben, mehr und mehr in den Fokus der Regulatorik. Diese fordert eine angemessene qualitative Ressourcenausstattung, sowie ein angemessenes Qualitätsniveau an Kenntnissen und Erfahrungen, beispielsweise durch das Erlangen von Personenzertifizierungen.

Struktur der Aufbauorganisation

In Anlehnung an die in der ISO/IEC 27005 beschriebenen Methodik (primary assets – supporting assets) fordert die ZAIT die aktive Integration maßgeblicher Stellen in die Prozesse des Informationsrisikomanagements. Dabei wird die entsprechende aktive Integration der Verantwortlichen (asset owner, risk owner, …) in die Schutzbedarfsanalyse (auch gegenüber externen Bedrohungen) direkt gefordert und darüber hinaus ein aktives Management risikoreduzierender Maßnahmen. Die Rolle des Informationssicherheitsbeauftragten kann mit anderen in der internen Organisation kombiniert, oder extern besetzt werden. Erstmals werden in Rundschreiben der BaFin Voraussetzungen für die externe Besetzung der Rolle genannt. Grundsätzlich liegt die Verantwortung für den Reifegrad einer ISMS-Implementierung und beispielsweise abgeleiteter Dokumente der schriftlich fixierten Ordnung bei der Geschäftsleitung.

Operative Informationssicherheit

Dieses Kapitel ist neu im Vergleich zu zurückliegenden Rundschreiben der BaFin. Explizit gefordert werden präventive Maßnahmen (Vulnerability-Managment, Netzsegmentierung, Hardening, …) ohne jedoch konkrete Controls aufzuerlegen. Sehr konkret sind hingegen die Anforderungen and die regelbasierte Auswertung potentiell sicherheitsrelevanter Informationen. Um diesen Anforderungen nachzukommen sind Organisationen, die im Scope der ZAIT stehen, gezwungen, entsprechende technische Werkzeuge und Lösungen zu implementieren, wie z. B. ein SIEM (Security Incident and Event Management), das in der Lage ist, Inhalte aus Logdateien und/oder Feeds zeitnah, regelbasiert und zentral auszuwerten. Diese Regeln müssen getestet und laufend qualitätsgesichert werden. Erstmals wird auch eine ständig besetzte zentrale Stelle (z. B. Security Operation Center – SOC) gefordert, die eine zeitnahe Analyse und Reaktion auf entsprechende Ereignisse sicherstellt und deren Qualität beispielsweise durch Simulation von Angriffen sichergestellt werden muss.

Notfallmanagement

Auch in diesem Kapitel wird die BaFin mit ihren Anforderungen in der ZAIT konkreter. Gefordert werden Maßnahmen für explizit 4 Szenarien, die im Rahmen des Notfallmanagements mindestens zu berücksichtigen sind, die entsprechende Quantifizierungen von RTO (Recovery Time Objective) und RPO (Recovery Point Objective) sind obligatorisch. Das ebenfalls geforderte IT-Testkonzept beinhaltet neben einzelnen IT-Systemen auch deren Zusammenfassung, die Betrachtung ganzer Prozesse sowie die Erbringung eines Nachweises der MBCO (Minimum business continuity objective) bei einem RZ-Ausfall.

Ebenfalls im Fokus: Der Nutzer

Neben Vorgaben zur institutsinternen Aufbau- und Ablauforganisation und dem Management von Auslagerungen sieht die ZAIT eine stärkere Einbindung des Zahlungsdienstnutzers vor. Durch die aktive Integration in Prozesse soll ihm auf diese Weise und auf Basis aktueller Risiken und eigener Kontrollen eine angemessene Reaktion, und die sichere Nutzung ermöglicht werden.

Fazit

Die Inhalte der ZAIT sind auf der Höhe der Zeit. Die Anforderungen verlangen durchgängig eine direkte und teilweise vertiefte Integration der Geschäftsleitung und des Informationssicherheitsbeauftragten in relevante Prozesse der Ablauforganisation, insbesondere bei der fortlaufenden Bewertung von Risiken. Dies ist aufgrund der aktuellen Bedrohungslage absolut sinnvoll, ebenso wie die Vorgaben für die operative Informationssicherheit. Dem seit Jahren andauernden Trend zu Auslagerungen wird nun ein Rahmen gegeben und darüber hinaus werden die Nutzer aktiv integriert. Aus seiner Perspektive garantieren die Anforderungen der ZAIT einen Mindeststandard. Die Anforderungen der ZAIT und für die Institute abzuleitende Maßnahmen müssen dennoch begründbar sein und bleiben - insbesondere vor dem Hintergrund der praktischen Anwendbarkeit und dem tatsächlichen, wirtschaftlichen und/oder gesellschaftlichen Nutzen.

Über den Autor: Markus Thiel unterstützt Organisationen bei Fragenstellungen zu ISMS, SIEM/SOC und Incident Response Management.

(ID:47635931)