EBA-Leitlinien

Die Europäische Bankenaufsichtsbehörde (EBA) erlässt Leitlinien und Empfehlungen, die einen einheitlichen aufsichtsrechtlichen Rahmen für den europäischen Bankensektor schaffen. Im Bereich der Informationstechnologie und Cybersicherheit sind insbesondere die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken (EBA/GL/2019/04) sowie die EBA-Leitlinien zu Auslagerungsvereinbarungen (EBA/GL/2019/02) von zentraler Bedeutung. Diese Leitlinien werden durch DORA (ab Januar 2025) schrittweise durch verbindliche technische Regulierungsstandards (RTS) und Implementierungsstandards (ITS) ersetzt und erweitert.

Was sind die EBA-Leitlinien?

Die EBA-Leitlinien sind nicht unmittelbar rechtsverbindlich, entfalten jedoch eine starke Bindungswirkung über das Comply-or-Explain-Prinzip: Nationale Aufsichtsbehörden und beaufsichtigte Institute müssen erklären, ob sie die Leitlinien einhalten, und bei Nichteinhaltung ihre Gründe darlegen. In Deutschland hat die BaFin die relevanten EBA-Leitlinien in ihre Verwaltungspraxis übernommen und in die nationalen Regelwerke (MaRisk, BAIT) integriert. Die Leitlinien decken ein breites Spektrum ab – von der IT-Governance über das Risikomanagement bis hin zur operativen Sicherheit und dem Umgang mit Drittanbietern.

Wen betreffen die EBA-Leitlinien?

Die EBA-Leitlinien richten sich an:

  • Kreditinstitute: Alle Banken und Kreditinstitute, die unter die CRD/CRR-Regulierung fallen.
  • Wertpapierfirmen: Institute, die Wertpapierdienstleistungen erbringen.
  • Zahlungsinstitute und E-Geld-Institute: Anbieter von Zahlungsdiensten im Rahmen der PSD2.
  • Nationale Aufsichtsbehörden: Die BaFin und vergleichbare Behörden in anderen EU-Mitgliedstaaten, die die Leitlinien in ihre Aufsichtspraxis integrieren.

Mittelbar betroffen sind auch IT-Dienstleister und Cloud-Anbieter, die Leistungen für beaufsichtigte Institute erbringen, da die Institute die EBA-Anforderungen auf ihre Auslagerungspartner durchreichen müssen.

Kernforderungen

Die EBA-Leitlinien für IKT- und Sicherheitsrisiken umfassen folgende zentrale Anforderungsbereiche:

  • IKT-Governance und -Strategie: Verantwortung des Leitungsorgans für die IKT-Strategie, angemessene Organisationsstruktur mit klaren Verantwortlichkeiten und ausreichende Ressourcen für das IKT-Risikomanagement.
  • IKT-Risikomanagementrahmen: Umfassendes Rahmenwerk zur Identifizierung, Bewertung, Steuerung und Überwachung von IKT-Risiken, integriert in das Gesamtrisikomanagement des Instituts.
  • Informationssicherheit: Informationssicherheitsrichtlinie, Zugangssteuerung, physische Sicherheit, Kryptografie, Netzwerksicherheit und sicherer Softwareentwicklungslebenszyklus.
  • IKT-Betriebsmanagement: Change-Management, Patch-Management, Protokollierung, Datensicherung und Wiederherstellung, Schwachstellenmanagement und Kapazitätsmanagement.
  • IKT-Projektmanagement: Risikobewertung von IKT-Projekten, Qualitätssicherung, Testverfahren und Post-Implementation-Reviews.
  • Business Continuity Management: Geschäftsfortführungspläne, Notfallpläne, regelmäßige Tests und Übungen zur Sicherstellung der operativen Resilienz.
  • Management von IKT-Drittanbieterrisiken: Due-Diligence-Prüfungen, vertragliche Anforderungen, laufende Überwachung und Exitstrategien für IKT-Auslagerungen.

Zusammenspiel mit DORA

Mit dem Inkrafttreten von DORA (Digital Operational Resilience Act) am 17. Januar 2025 werden die EBA-Leitlinien für IKT- und Sicherheitsrisiken schrittweise durch die verbindlichen DORA-Anforderungen abgelöst. DORA geht in vielen Bereichen über die bestehenden Leitlinien hinaus und führt neue Anforderungen ein, insbesondere zum Threat-Led Penetration Testing (TLPT), zum Drittanbieter-Überwachungsrahmen und zu erweiterten Meldepflichten. Finanzinstitute sollten die Transition von den EBA-Leitlinien zu DORA als strategisches Projekt planen und bestehende Compliance-Maßnahmen gezielt auf die neuen Anforderungen ausrichten.