Die Veröffentlichung der 6. MaRisk-Novelle sowie der Novelle der „Bankaufsichtlichen Anforderungen an die IT (BAIT)“ wird voraussichtlich bis Ende März 2021 erfolgen.

Aufgrund der Schwerpunkte werden vor allem bei Kreditprozessen sowie bei IT- und Organisationsprozessen Umsetzungserfordernisse in den Instituten entstehen.

Dabei sieht die BaFin die Anpassungen und Neuerungen mehrheitlich als Präzisierung einer bereits bestehenden Erwartungshaltung, weshalb, wenn überhaupt, mit relativ kurzen Umsetzungsfristen (z. B. für die Überprüfung und Dokumentation bestehender Auslagerungsvereinbarungen bis Ende 2021) zu rechnen ist.

In unserem Newsletter von Dezember 2020 hatten wir Ihnen bereits die wesentlichen Änderungen und Neuerungen sowie die Handlungsfelder aufgezeigt, die insbesondere für die Informationssicherheit und den Datenschutz relevant sind.

Ergänzend hier noch einmal ein stichwortbezogener Überblick über wichtige Themen und Bereiche, auf die, sofern nicht bereits erfüllt, bei der kurzfristigen Umsetzung und Anpassung besonders geachtet werden sollte:

• Management notleidender und gestundeter Risikopositionen
  • Einstufung/Indikatoren
  • Jährliche Überprüfung der Werthaltigkeit von Sicherheiten
  • Abwicklungskonzepte/geeignete Abwicklungsmaßnahmen
• Risikovorsorge
• Bewertung von Immobiliensicherheiten
  • Qualifikation und Unabhängigkeit der mit Wertermittlungen betrauten Personen
• Erweiterte Anforderungen an das Auslagerungsmanagement
  • Zentraler Auslagerungsbeauftragter
  • Zentrales Auslagerungsregister
  • Angemessene Risikosteuerung aller Auslagerungen (u. a. regelmäßige Qualitätsüberwachung, Dokumentationserfordernisse, Weiterverlagerungen)
  • Erweiterte Mindestinhalte von Risikoanalysen und stärkere Verzahnung (mit allen institutsrelevanten Aspekten und mit abgeleiteten Steuerungsmaßnahmen)
  • Vertragsgestaltung: Sicherheitsanforderungen (insbesondere auch Datenschutz)
  • Migrations- und Exit-Szenarien
• Notfallmanagement
  • Auswirkungs- und Risikoanalysen (Basis: Übersicht aller Prozesse/Prozesslandkarte) zur Identifikation zeitkritischer Aktivitäten und Prozesse/Mindestinhalte Business Impact Analyse (BIA)
  • Schriftlicher quartalsweiser Bericht über den Zustand des Notfallmanagements
  • Jährliche Überprüfung aller relevanten Szenarien für zeitkritische Prozesse
  • Konkretisierung des Notfallkonzepts inklusive vorgegebene abzudeckende Notfallszenarien
  • Vorgaben für eine risikoorientiertere Überprüfung des Notfallkonzeptes
• Operationelle Risiken: Erfassung wesentlicher Ausprägungen
• Handelsgeschäfte: Erweiterung um Kryptowährungen
• Liquidität: Unterscheidung institutioneller/professioneller Anleger
• Anpassungen im Bereich Risikotragfähigkeit (u. a. additive, unwesentliche Risiken)
• „Informationsverbund“ v. a. im Zusammenhang mit dem Informationsrisikomanagement (Abschnitt 3 BAIT/AT 7.2 MaRisk)
• Neue konkrete Vorgaben zur Umsetzung eines Informationssicherheitsmanagements (Operative Informationssicherheit)
  • Auswertung sicherheitsrelevanter Informationen (SIEM/Tools)
  • Regelmäßige Tests und anlassbezogene Wirksamkeitsprüfungen zu Identifizierungsregeln sicherheitsrelevanter Ereignisse
  • Regelmäßige und anlassbezogene Tests der IT-Systeme (u. a. Gap-Analysen, Schwachstellenscans, Penetrationstests und Simulationen von Angriffen)
• Identitäts- und Rechtemanagement
  • Standardisierter Prozess und Kontrollen für jegliche Zugriffs-, Zugangs- und Zutrittsrechte
  • Gebäudeschutzkonzept - Zugangskontrolle zu relevanten Räumen (z. B. Server- und Technikräume, nicht nur „Gebäudehülle“)
  • Verantwortliche Personen für technische User und automatisierte Prozesse
• Erweiterte Anforderungen an Schulungs- und Sensibilisierungskonzepte („Verstehen und Anwenden in der Praxis“)

Derweil wird die 7. MaRisk-Novelle schon geplant und soll neben den im Mai 2020 veröffentlichten EBA-Leitlinien zu Kreditvergabe- und -überwachung die Entwicklungen im Bereich Nachhaltigkeit umsetzen.

Kommen Sie gerne auf uns zu und wir besprechen, wie wir Sie optimal bei der Umsetzung der regulatorischen Anforderungen beraten und unterstützen können.