MaRisk IT Anforderungen: Grundlage und Umsetzung für eine effektive IT-Governance in Banken

MaRisk IT Anforderungen: Grundlage der IT-Governance für Banken

Geschätzte Lesezeit: 10 Minuten

Key Takeaways

• Die MaRisk IT Anforderungen definieren die aufsichtsrechtlichen Mindeststandards für das IT-Risikomanagement in Banken.
• Sie stellen zusammen mit den BAIT Leitlinien die Basis für eine wirksame IT-Governance dar.
• Auslagerungen und der Umgang mit IT-Dienstleistern werden umfassend geregelt, um Informationssicherheit und Datenschutz zu garantieren.
• Die Implementierung von Kontrollfunktionen sowie ein kontinuierliches Risikomanagement sind unverzichtbar für regulatorische Compliance.
• Eine robuste IT-Governance stärkt die Betriebsstabilität und wirkt als Wettbewerbsvorteil in der digitalen Finanzwelt.

Einleitung

Die MaRisk IT Anforderungen bilden das Rückgrat der aufsichtsrechtlichen Vorgaben für Banken und Finanzinstitute in Deutschland. Als qualitative Mindeststandards definieren sie, wie Kreditinstitute ihr Risikomanagement inklusive der IT-Risiken gestalten müssen. Die rechtliche Grundlage hierfür findet sich in den §§ 25a und 25b des Kreditwesengesetzes (KWG).

Für die Stabilität und Compliance einer Bank sind diese Anforderungen unverzichtbar. Sie bilden die Basis für eine funktionierende IT-Governance und sorgen dafür, dass IT-Risiken systematisch identifiziert, bewertet und gesteuert werden.

Besonders relevant ist, dass die MaRisk IT Anforderungen zusammen mit den BAIT Leitlinien (Bankaufsichtliche Anforderungen an die IT) für alle Banken verpflichtend sind. Sie dienen als zentraler Prüfungsmaßstab bei Jahresabschluss- und Sonderprüfungen durch Wirtschaftsprüfer und die Bankenaufsicht.

Ohne ein tiefes Verständnis dieser Anforderungen können Banken weder aufsichtsrechtliche Compliance erreichen noch ihre IT-Systeme sicher und effizient betreiben.

Überblick über die MaRisk IT Anforderungen

Die MaRisk (Mindestanforderungen an das Risikomanagement) sind als Rundschreiben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) konzipiert. Sie interpretieren die gesetzlichen Vorgaben des KWG, die Prinzipien von Basel II/III sowie europäische Leitlinien und übersetzen diese in verursachergerechte Mindestanforderungen für das Risikomanagement von Banken.

Bei den IT-bezogenen Anforderungen liegt der Schwerpunkt vor allem im Allgemeinen Teil der MaRisk. Hier werden zentrale Aspekte wie die Gesamtverantwortung der Geschäftsleitung für IT-Belange, die Bereitstellung angemessener IT-Ressourcen, die Entwicklung von Notfallkonzepten, der Umgang mit Auslagerungen sowie die Grundlagen für IT-Organisation und Informationssicherheit definiert.

Der rechtliche und regulatorische Rahmen ist klar: Die MaRisk konkretisieren die §§ 25a und 25b KWG, die eine ordnungsgemäße Geschäftsorganisation und ein angemessenes Risikomanagement fordern – inklusive IT-Systemen und Prozessen.

Besonders wichtig ist die enge Verzahnung mit den BAIT Leitlinien. Während die MaRisk eher allgemeine Grundsätze für das gesamte Risikomanagement inklusive IT formulieren, operationalisieren die BAIT diese Anforderungen speziell für den IT-Bereich und geben detaillierte Handlungsanweisungen.

Detaillierte Erläuterung der BAIT Leitlinien IT

Die BAIT (Bankaufsichtliche Anforderungen an die IT) stellen ein eigenständiges BaFin-Rundschreiben dar, das die konkreten Anforderungen aus § 25a Abs. 1 Satz 3 Nr. 4 und 5 sowie § 25b KWG spezifisch für IT-Systeme und Informationssicherheit präzisiert. Sie geben Banken einen klaren Rahmen für die technische und organisatorische Ausgestaltung ihrer IT-Landschaft.

Die inhaltlichen Schwerpunkte der BAIT umfassen acht zentrale Bereiche:

• IT-Strategie, die mit der Geschäftsstrategie abgestimmt sein muss
• IT-Governance mit klaren Verantwortlichkeiten
• Informationsrisikomanagement zur systematischen Bewertung von IT-Risiken
• Berechtigungsmanagement mit dem Grundsatz der minimalen Rechte
• Anwendungsentwicklung nach sicheren Entwicklungsmethoden
• Outsourcing von IT-Dienstleistungen mit angemessenen Kontrollen
• Informationssicherheitsmanagement zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit
• Notfallmanagement für den Umgang mit IT-Ausfällen

Die BAIT-Leitlinien sind als ergänzendes, spezialisiertes Regelwerk zu den MaRisk verbindlich für alle Institute. Während die MaRisk das gesamte Risikomanagement einer Bank adressieren und IT dabei als einen Teilaspekt betrachten, fokussieren die BAIT ausschließlich und detailliert auf die IT-Organisation und IT-Sicherheitsanforderungen.

In der Praxis bedeutet dies: Banken müssen beide Regelwerke umsetzen, wobei die BAIT die IT-spezifischen Aspekte der MaRisk konkretisieren und vertiefen.

Auslagerungen MaRisk – Umgang mit IT-Dienstleistern

Das Auslagerungsmanagement nach MaRisk, besonders im Modul AT 9, stellt spezifische Anforderungen an den Umgang mit IT-Prozessen, Drittsoftware und IT-Dienstleistungen. Diese Regelungen sind angesichts der zunehmenden Nutzung externer IT-Services von hoher Bedeutung für Banken.

Die MaRisk verlangen eine risikoorientierte Klassifizierung aller Auslagerungen. Für IT-Dienstleister bedeutet dies, dass Banken prüfen müssen, ob es sich um wesentliche Auslagerungen handelt, die besonderen Anforderungen unterliegen. Vertragliche Regelungen müssen Service Level Agreements (SLAs) enthalten und klare Vorgaben zu Informationssicherheit, Datenschutz und Kontrollrechten definieren.

Banken müssen außerdem wirksame Kontroll- und Steuerungsprozesse etablieren, um die Leistung von IT-Dienstleistern kontinuierlich zu überwachen. Besonderes Augenmerk liegt dabei auf der Sicherstellung von Informationssicherheit und Datenverfügbarkeit beim Outsourcing-Nehmer.

In den letzten Jahren wurden diese Anforderungen zunehmend mit europäischen Vorgaben verzahnt. Besonders die EBA-Outsourcing Guidelines und die Digital Operational Resilience Act (DORA) haben die Anforderungen an IKT-Dienstleister (Informations- und Kommunikationstechnologie) verschärft und erfordern eine laufende Überprüfung.

Praxisbeispiele für die Umsetzung der MaRisk-Auslagerungsanforderungen im IT-Umfeld sind:

• Die Kontrolle von Cloud-Services durch regelmäßige Sicherheitsaudits
• Die Überwachung von Drittanbietersoftware bezüglich Patches und Updates
• Die vertragliche Sicherstellung von Notfallkonzepten bei externen IT-Betreuungen

Die Nichteinhaltung dieser Anforderungen kann zu aufsichtsrechtlichen Konsequenzen führen, von Mängelrügen bis hin zu Bußgeldern oder sogar dem Verbot bestimmter Auslagerungen.

IT-Governance Bank – Struktur und Umsetzung

IT-Governance in einer Bank umfasst die Gesamtheit aller Strukturen, Prozesse und Verantwortlichkeiten, die zur Steuerung und Überwachung der IT-Landschaft dienen. Sie muss im Einklang mit der Geschäftsstrategie, der Risikobereitschaft und dem regulatorischen Umfeld stehen.

Die MaRisk IT Anforderungen und BAIT Leitlinien definieren klare Erwartungen an diese Governance-Struktur. Die Gesamtverantwortung für die IT wird unmissverständlich der Geschäftsleitung zugewiesen. Gleichzeitig muss eine sachgerechte IT-Organisation mit klar definierten Rollen aufgebaut werden. Typische Schlüsselpositionen sind dabei:

• Chief Information Officer (CIO) für die strategische IT-Steuerung
• Chief Information Security Officer (CISO) für die Informationssicherheit
• IT-Risikomanager zur Identifikation und Bewertung von IT-Risiken

Für eine wirksame IT-Governance sind mehrere organisatorische Maßnahmen notwendig:

1. Aufbau einer umfassenden Richtlinienlandschaft mit IT-Strategie, Sicherheitsrichtlinien und Notfallplänen
2. Einrichtung von Gremien wie einem IT-Steuerungsausschuss zur Abstimmung zwischen Fachbereichen und IT
3. Implementierung von Rollen- und Berechtigungskonzepten mit klarer Funktionstrennung
4. Integration eines IT-Risikomanagements in das Gesamtrisikomanagement der Bank

Eine sorgfältige Dokumentation aller IT-Prozesse, klare Kommunikationswege und regelmäßige Berichterstattung an die Geschäftsleitung sind unverzichtbare Elemente dieser Governance-Struktur. Nur so kann eine Bank nachweisen, dass sie den regulatorischen Anforderungen an ihre IT-Steuerung gerecht wird.

Kontrollfunktionen IT – Sicherstellung der Einhaltung der Anforderungen

Die MaRisk fordern die Implementierung eines wirksamen internen Kontrollsystems (IKS) zur kontinuierlichen Überwachung der IT-Prozesse und Informationssicherheit. Diese Kontrollfunktionen bilden die dritte Verteidigungslinie im Risikomanagement einer Bank.

Die zentralen Kontrollfunktionen im IT-Bereich umfassen:

• Das IT-Risikocontrolling, das IT-spezifische Risiken identifiziert, bewertet und überwacht
• Die Informationssicherheitsfunktion (CISO/ISB), die für den Schutz aller Informationswerte verantwortlich ist
• Die Compliance-Funktion, die die Einhaltung regulatorischer Vorgaben im IT-Bereich sicherstellt
• Die unabhängige Interne Revision, die als objektive Prüfinstanz die Wirksamkeit aller IT-Kontrollen bewertet

Zu den wichtigsten Kontrollmechanismen gehören die kontinuierliche Überwachung von IT-Systemen, regelmäßige Sicherheitsüberprüfungen, strukturierte Auditprozesse und eine transparente Berichterstattung über identifizierte Schwachstellen.

Für jede Kontrolle muss eine umfassende Dokumentation erfolgen, die Prüfungshandlungen, Ergebnisse und abgeleitete Maßnahmen nachvollziehbar darstellt. Regelmäßige Reports an die Geschäftsleitung und Aufsichtsorgane sind unverzichtbar, um die Compliance mit MaRisk IT Anforderungen und BAIT Leitlinien nachzuweisen.

In der Praxis sollten Banken einen risikobasierten Kontrollansatz verfolgen, bei dem kritische IT-Systeme und -Prozesse einer intensiveren Überwachung unterliegen als weniger risikobehaftete Bereiche. So lassen sich begrenzte Kontrollressourcen effizient einsetzen.

Praxisnaher Ausblick und Tipps zur Umsetzung

Für eine erfolgreiche Implementierung der MaRisk IT Anforderungen empfiehlt sich der Aufbau eines integrierten Frameworks. Dieses sollte IT-Strategie, Informationssicherheit, Auslagerungsmanagement und internes Kontrollsystem konsistent entlang der regulatorischen Vorgaben ausrichten.

Die größten Herausforderungen für Banken liegen aktuell in drei Bereichen:

1. Die zunehmende Digitalisierung erfordert ständige Anpassungen der IT-Governance.
2. Die Komplexität der IKT-Auslagerungen steigt durch Cloud-Services und spezialisierte FinTech-Anbieter.
3. Laufende regulatorische Anpassungen, insbesondere durch ESG-Anforderungen und die neue DORA-Verordnung, müssen zeitnah umgesetzt werden.

Bewährte Best Practices für die Umsetzung sind:

• Etablierung klarer Verantwortlichkeiten mit direkter Berichtslinie zur Geschäftsleitung
• Durchführung regelmäßiger Risiko- und Kontrollreviews, mindestens jährlich
• Proaktives Management regulatorischer Änderungen durch Regulatory-Change-Prozesse
• Kontinuierliche Anpassung von Governance-Strukturen und Verträgen an neue Anforderungen

Banken, die diese Anforderungen umfassend und nachhaltig umsetzen, stärken nicht nur ihre IT-Governance, sondern minimieren auch aufsichtsrechtliche und operationelle Risiken. Eine robuste IT-Steuerung wird zunehmend zum Wettbewerbsvorteil, da sie Vertrauen schafft und die Grundlage für sichere digitale Innovationen bildet.

Die Investition in gute IT-Governance zahlt sich aus – nicht nur durch Vermeidung regulatorischer Probleme, sondern auch durch höhere Betriebsstabilität und Kundenvertrauen.

Fazit

Die MaRisk IT Anforderungen bilden das Fundament für ein robustes IT-Risikomanagement und eine wirksame IT-Governance in deutschen Banken. Ihre Bedeutung kann kaum überschätzt werden, da sie die Stabilität und Sicherheit der Informationstechnologie im Finanzsektor gewährleisten.

Die integrative Rolle zwischen den allgemeinen MaRisk IT Anforderungen, den spezifischen BAIT Leitlinien IT, dem Auslagerungsmanagement nach MaRisk und der Etablierung wirksamer Kontrollfunktionen ist entscheidend. Nur wenn diese Elemente ineinandergreifen, entsteht ein konsistentes Governance-System, das regulatorischen Anforderungen entspricht und IT-Risiken effektiv steuert.

Für Banken ist eine proaktive und kontinuierliche Umsetzung dieser Anforderungen unerlässlich. Die IT-Landschaft und das regulatorische Umfeld entwickeln sich ständig weiter – ebenso müssen sich auch die Governance-Strukturen und Kontrollen anpassen. Nur so können Institute die Stabilität ihrer IT-Governance sicherstellen und aufsichtsrechtlichen Anforderungen nachhaltig gerecht werden.

Letztlich geht es nicht nur um Compliance, sondern um die Schaffung einer resilienten, sicheren und effizienten IT-Landschaft, die das Fundament für den Geschäftserfolg in einer zunehmend digitalisierten Finanzwelt bildet.

FAQ

Was sind die MaRisk IT Anforderungen?

Die MaRisk IT Anforderungen sind qualitative Mindeststandards, die Banken in Deutschland für ihr IT-Risikomanagement einhalten müssen, basierend auf den §§ 25a und 25b KWG und ergänzt durch die BAIT Leitlinien.

Welche Rolle spielen die BAIT Leitlinien?

Die BAIT Leitlinien konkretisieren und operationalisieren die Anforderungen der MaRisk speziell für IT-Systeme, IT-Sicherheit und IT-Governance und sind verbindlich für alle Kreditinstitute.

Wie wird der Umgang mit IT-Dienstleistern geregelt?

Die MaRisk enthalten klare Regeln für das Auslagerungsmanagement, inklusive der Einhaltung von Sicherheitsstandards, SLAs und kontinuierlicher Überwachung externer IT-Dienstleister.

Warum ist IT-Governance in Banken so wichtig?

IT-Governance stellt sicher, dass die strategische Steuerung, das Risikomanagement und die Compliance der IT in Einklang mit den geschäftlichen und regulatorischen Anforderungen steht und so IT-Risiken minimiert werden.

Wie stellen Banken die Einhaltung der MaRisk sicher?

Durch ein internes Kontrollsystem (IKS) mit klaren Kontrollfunktionen, regelmäßigen Audits und Berichterstattung gewährleisten Banken die Überwachung und Einhaltung der aufsichtsrechtlichen IT-Anforderungen.