MaRisk & BAIT
Die MaRisk (Mindestanforderungen an das Risikomanagement) und die BAIT (Bankaufsichtliche Anforderungen an die IT) bilden zusammen das zentrale aufsichtsrechtliche Rahmenwerk der BaFin für das Risikomanagement und die IT-Governance von Finanzinstituten in Deutschland. Während die MaRisk die übergeordneten Anforderungen an das Risikomanagement definieren, konkretisieren die BAIT die Erwartungen der Aufsicht an die IT-Organisation, das Informationssicherheitsmanagement und den IT-Betrieb. Beide Regelwerke werden regelmäßig aktualisiert, um neue regulatorische Entwicklungen und Bedrohungsszenarien zu berücksichtigen.
Was sind MaRisk und BAIT?
Die MaRisk konkretisieren die Anforderungen des § 25a KWG (Kreditwesengesetz) an eine ordnungsgemäße Geschäftsorganisation von Kreditinstituten und Finanzdienstleistungsinstituten. Sie umfassen Anforderungen an die Aufbau- und Ablauforganisation, das Risikomanagement, die interne Revision und das Outsourcing. Die aktuelle Fassung (7. MaRisk-Novelle, 2023) integriert unter anderem die EBA-Leitlinien für die Kreditvergabe und -überwachung sowie Anforderungen an ESG-Risiken.
Die BAIT konkretisieren die MaRisk im Bereich der Informationstechnologie und stellen das zentrale Regelwerk für die IT-Aufsicht über Finanzinstitute dar. Die aktuelle Fassung berücksichtigt die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken und umfasst Anforderungen in neun Themenbereichen.
Wen betreffen MaRisk und BAIT?
Beide Regelwerke richten sich an alle von der BaFin beaufsichtigten Institute:
- Kreditinstitute: Banken, Sparkassen und Kreditgenossenschaften aller Größenordnungen.
- Finanzdienstleistungsinstitute: Wertpapierfirmen, Zahlungsinstitute und sonstige Finanzdienstleister.
- Kapitalverwaltungsgesellschaften: Für die BAIT gelten analoge Anforderungen über die KAIT (Kapitalverwaltungsaufsichtliche Anforderungen an die IT).
- Versicherungsunternehmen: Über die VAIT (Versicherungsaufsichtliche Anforderungen an die IT) gelten vergleichbare IT-Anforderungen.
Die Anforderungen gelten nach dem Proportionalitätsprinzip: Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten bestimmen, wie detailliert die Umsetzung ausfallen muss. Auch IT-Dienstleister und Auslagerungsunternehmen sind mittelbar betroffen, da Institute die Einhaltung der Anforderungen auch bei ausgelagerten Aktivitäten sicherstellen müssen.
Kernforderungen der BAIT
Die BAIT definieren Anforderungen in neun zentralen Themenbereichen:
- IT-Strategie: Die Geschäftsleitung muss eine nachhaltige IT-Strategie festlegen, die mit der Geschäftsstrategie konsistent ist und regelmäßig überprüft wird.
- IT-Governance: Klare Organisationsstrukturen, Verantwortlichkeiten und Prozesse für die Steuerung und Überwachung der IT, einschließlich der Vermeidung von Interessenkonflikten.
- Informationsrisikomanagement: Systematische Identifikation, Bewertung, Steuerung und Überwachung von Informationsrisiken auf Basis eines Schutzbedarfskonzepts.
- Informationssicherheitsmanagement: Aufbau eines Informationssicherheitsmanagementsystems (ISMS) mit einem Informationssicherheitsbeauftragten, Sicherheitsrichtlinien und regelmäßigen Sensibilisierungsmaßnahmen.
- Operative Informationssicherheit: Implementierung von Maßnahmen zur physischen und logischen Sicherheit, Netzwerksicherheit, Schwachstellenmanagement und Protokollierung sicherheitsrelevanter Ereignisse.
- Identitäts- und Rechtemanagement: Strukturierte Vergabe, Überprüfung und Entzug von Zugriffsrechten nach dem Need-to-know- und Least-Privilege-Prinzip.
- IT-Projekte und Anwendungsentwicklung: Anforderungen an das IT-Projektmanagement, die Anwendungsentwicklung einschließlich Testverfahren und die Steuerung von Eigenentwicklungen.
- IT-Betrieb: Anforderungen an den sicheren und stabilen IT-Betrieb, einschließlich Change-Management, Incident-Management, Datensicherung und IT-Notfallmanagement.
- Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen: Risikoanalyse, vertragliche Regelungen, Steuerung und Überwachung ausgelagerter IT-Dienstleistungen.
Prüfungen und Konsequenzen
Die Einhaltung der MaRisk und BAIT wird regelmäßig durch die BaFin und die Deutsche Bundesbank im Rahmen von Sonderprüfungen nach § 44 KWG überprüft. Feststellungen und Mängel werden als besonders schwerwiegend, schwerwiegend oder sonstig klassifiziert. Bei erheblichen Defiziten kann die BaFin aufsichtsrechtliche Maßnahmen ergreifen – von Anordnungen zur Mängelbeseitigung über Kapitalzuschläge bis hin zur Abberufung von Geschäftsleitern. Die Ergebnisse fließen zudem in den aufsichtsrechtlichen Überprüfungs- und Bewertungsprozess (SREP) ein und können die Kapitalanforderungen des Instituts beeinflussen.