EBA-Leitlinien
Die Europäische Bankenaufsichtsbehörde (EBA) erlässt Leitlinien und Empfehlungen, die einen einheitlichen aufsichtsrechtlichen Rahmen für den europäischen Bankensektor schaffen. Im Bereich der Informationstechnologie und Cybersicherheit sind insbesondere die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken (EBA/GL/2019/04) sowie die EBA-Leitlinien zu Auslagerungsvereinbarungen (EBA/GL/2019/02) von zentraler Bedeutung. Diese Leitlinien werden durch DORA (ab Januar 2025) schrittweise durch verbindliche technische Regulierungsstandards (RTS) und Implementierungsstandards (ITS) ersetzt und erweitert.
Was sind die EBA-Leitlinien?
Die EBA-Leitlinien sind nicht unmittelbar rechtsverbindlich, entfalten jedoch eine starke Bindungswirkung über das Comply-or-Explain-Prinzip: Nationale Aufsichtsbehörden und beaufsichtigte Institute müssen erklären, ob sie die Leitlinien einhalten, und bei Nichteinhaltung ihre Gründe darlegen. In Deutschland hat die BaFin die relevanten EBA-Leitlinien in ihre Verwaltungspraxis übernommen und in die nationalen Regelwerke (MaRisk, BAIT) integriert. Die Leitlinien decken ein breites Spektrum ab – von der IT-Governance über das Risikomanagement bis hin zur operativen Sicherheit und dem Umgang mit Drittanbietern.
Wen betreffen die EBA-Leitlinien?
Die EBA-Leitlinien richten sich an:
- Kreditinstitute: Alle Banken und Kreditinstitute, die unter die CRD/CRR-Regulierung fallen.
- Wertpapierfirmen: Institute, die Wertpapierdienstleistungen erbringen.
- Zahlungsinstitute und E-Geld-Institute: Anbieter von Zahlungsdiensten im Rahmen der PSD2.
- Nationale Aufsichtsbehörden: Die BaFin und vergleichbare Behörden in anderen EU-Mitgliedstaaten, die die Leitlinien in ihre Aufsichtspraxis integrieren.
Mittelbar betroffen sind auch IT-Dienstleister und Cloud-Anbieter, die Leistungen für beaufsichtigte Institute erbringen, da die Institute die EBA-Anforderungen auf ihre Auslagerungspartner durchreichen müssen.
Kernforderungen
Die EBA-Leitlinien für IKT- und Sicherheitsrisiken umfassen folgende zentrale Anforderungsbereiche:
- IKT-Governance und -Strategie: Verantwortung des Leitungsorgans für die IKT-Strategie, angemessene Organisationsstruktur mit klaren Verantwortlichkeiten und ausreichende Ressourcen für das IKT-Risikomanagement.
- IKT-Risikomanagementrahmen: Umfassendes Rahmenwerk zur Identifizierung, Bewertung, Steuerung und Überwachung von IKT-Risiken, integriert in das Gesamtrisikomanagement des Instituts.
- Informationssicherheit: Informationssicherheitsrichtlinie, Zugangssteuerung, physische Sicherheit, Kryptografie, Netzwerksicherheit und sicherer Softwareentwicklungslebenszyklus.
- IKT-Betriebsmanagement: Change-Management, Patch-Management, Protokollierung, Datensicherung und Wiederherstellung, Schwachstellenmanagement und Kapazitätsmanagement.
- IKT-Projektmanagement: Risikobewertung von IKT-Projekten, Qualitätssicherung, Testverfahren und Post-Implementation-Reviews.
- Business Continuity Management: Geschäftsfortführungspläne, Notfallpläne, regelmäßige Tests und Übungen zur Sicherstellung der operativen Resilienz.
- Management von IKT-Drittanbieterrisiken: Due-Diligence-Prüfungen, vertragliche Anforderungen, laufende Überwachung und Exitstrategien für IKT-Auslagerungen.
Zusammenspiel mit DORA
Mit dem Inkrafttreten von DORA (Digital Operational Resilience Act) am 17. Januar 2025 werden die EBA-Leitlinien für IKT- und Sicherheitsrisiken schrittweise durch die verbindlichen DORA-Anforderungen abgelöst. DORA geht in vielen Bereichen über die bestehenden Leitlinien hinaus und führt neue Anforderungen ein, insbesondere zum Threat-Led Penetration Testing (TLPT), zum Drittanbieter-Überwachungsrahmen und zu erweiterten Meldepflichten. Finanzinstitute sollten die Transition von den EBA-Leitlinien zu DORA als strategisches Projekt planen und bestehende Compliance-Maßnahmen gezielt auf die neuen Anforderungen ausrichten.