FAQ · Konzern, Rollen und Mandanten
Wie bewertet Ihr Haus eine gemeinsame Plattform, die mehrere Rechtseinheiten und Prozesse trägt?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Eine gemeinsame Plattform wird zum eigenen Objekt, das jede nutzende Rechtseinheit, jeden Prozess und jede vertragliche Leistung verknüpft. Betriebsdaten wie Standort, Architektur und technische Kontrollen lassen sich zentral pflegen.
Die Bewertung der Funktionen liegt beim Finanzunternehmen: Nach Angabe der Aufsicht nimmt es selbst vor, welche Funktionen kritisch oder wichtig sind. Für den Schutzbedarf der Plattform lässt sich in vielen Fällen der höchste Schutzbedarf aller Anwendungen übernehmen, die sie benötigen. Die Grundschutz-Methodik nennt dies Maximumprinzip. Der Schutzbedarf kann höher liegen, wenn mehrere Anwendungen gleichzeitig ausfallen (Kumulationseffekt). Daraus folgt keine identische Risikoeinstufung für alle Nutzer.
Ausfallkonzentration und Ausstiegsfähigkeit prüft Ihr Haus je Rechtseinheit. Das Informationsregister hilft, Konzentrationen und geografische Abhängigkeiten bei IKT-Dienstleistungen zu erkennen.
In der Praxis
Eine gemeinsame Plattform mit zwei Rechtseinheiten und unterschiedlichen Prozessfolgen wird modelliert.
- Gemeinsame Plattform und einzelne Nutzungsbeziehungen sind getrennt geführt.
- Schutzbedarf und Kritikalität sind je Nutzung abgeleitet.
- Gemeinsame Ausfall- und Ausstiegsabhängigkeiten sind geprüft.
Nachweis: Als Nachweis dienen eine Plattformkarte mit Bewertung je Rechtseinheit und eine Sicht auf Konzentrationen im Konzern.
Belege
- BaFin, kritische oder wichtige Funktion, Bewertung durch das Finanzunternehmen
- BSI, IT-Grundschutz-Kurs, Lerneinheit 4.3: Vorgehen und Vererbung, Maximumprinzip
- BSI, IT-Grundschutz-Kurs, Lerneinheit 4.3: Vorgehen und Vererbung, Kumulationseffekt
- Informationsregister und Anzeigepflichten, Nutzen für Unternehmen, BaFin