Sollmaßnahmenkatalog: von der Anforderung bis zur Umsetzung

Christopher Uhl, Alexander Beck und Christopher Stahl, Spezialistenteam IT und Bankanwendungsverfahren, AWADO GmbH Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft

I. Einleitung

Der Sollmaßnahmenkatalog ist längst eine verankerte Anforderung im Rahmen der aufsichtsrechtlichen Anforderungen an die Informationstechnologie. So gilt die Anforderung, einen Sollmaßnahmenkatalog zu definieren, nicht nur für Banken, sondern für eine Vielzahl von regulierten Instituten bzw. Gesellschaften (nachfolgend „Institute” genannt). Daher wurde die Anforderung zur Definition eines Sollmaßnahmenkataloges neben den Bankaufsichtlichen Anforderungen an die IT „BAIT“ (Tz. 3.6 BAIT) auch in den Kapitalverwaltungsaufsichtlichen Anforderungen an die IT „KAIT“ (Kapitel 3, Tz. 21 KAIT), Versicherungsaufsichtliche Anforderungen an die IT „VAIT“ (Tz. 3.7 VAIT) sowie zuletzt in den Zahlungsdiensteaufsichtlichen Anforderungen an die IT von Zahlungs- und E-Geld-Instituten „ZAIT“ (Tz. 3.6 ZAIT) dargelegt. 

Die feste Etablierung in den zuvor genannten Rechtsverordnungen stellt die gleichermaßen wichtige Bedeutung des Sollmaßnahmenkataloges zum Schutz von schützenswerten Vermögenswerten „Schutzobjekt“ dar, die die Aufsicht dem Thema damit beimisst. 

Exemplarisch regelt die BAIT sinngemäß den Sollmaßnahmenkatalog wie folgt: Gemäß Tz. 3.6 BAIT (Kapitel 3, Tz. 21 KAIT, Tz. 3.7 VAIT und Tz. 3.6 ZAIT) hat ein Institut Anforderungen zu definieren, die zur Erreichung des jeweiligen Schutzbedarfs angemessen sind und diese in geeigneter Form zu dokumentierten „Sollmaßnahmenkatalog“. Dieser enthält jedoch lediglich die Anforderungen, nicht jedoch aber deren konkrete Umsetzung.^[1] Durch die Sollmaßnahmen wird dadurch ein übergeordneter Charakter gebildet werden: „was ist zu tun“ anstatt zu definieren „wie ist es zu tun“. Weiterhin hat das Institut auf Basis der festgelegten Risikokriterien einen Vergleich der Sollmaßnahmen mit den jeweils umgesetzten Maßnahmen (dem Ist-Zustand) durchzuführen (Tz. 3.7 BAIT).^[2] 

II. Orientierung an gängigen Standards und weiteren Quellen

Eine Methodik zur Definition der Anforderungen (Sollmaßnahmen) eines Sollmaßnahmenkataloges wird durch die genannten Rechtsverordnungen nicht vorgegeben. In der Methodik bzw. Ausgestaltung der Sollmaßnahmen sind die Institute daher zunächst frei.  [...]
Beitragsnummer: 21952