Das neue BAIT KRITIS-Modul beschreibt, welche zusätzlichen Anforderungen zu berücksichtigen sind, um den Nachweis gemäß § 8a Absatz 3 BSI-Gesetz durch den Jahresabschlussprüfer zu erbringen, der im Rahmen der Prüfung des Risikomanagements und der Geschäftsorganisation gleichzeitig die Erfüllung der Anforderungen des § 8a Absatz 1 BSI-Gesetz überprüft und bestätigt.

Das neue Modul stellt dazu klar, dass alle informationstechnischen Systeme, Komponenten oder Prozesse der kritischen Infrastrukturen in der Prüfung komplett abgedeckt sein müssen. Die dafür einschlägigen Nachweisdokumente sind fristgerecht beim BSI einzureichen, entsprechend den jeweils gültigen Vorgaben des BSI.

Die BaFin erläutert in der Veröffentlichung hinsichtlich der neuen Anforderungen auch, dass

• das KRITIS-Schutzziel auch bei Auslagerungen von Dienstleistungen – dann bei dem beauftragten Unternehmen – sicherzustellen ist und
• im Rahmen der Notfallvorsorge Maßnahmen zu ergreifen sind, mit denen die kritischen Dienstleistungen auch im Notfall aufrechterhalten werden können.

Neben der Prüfung im Rahmen des Jahresabschlusses sind auch weitere Möglichkeiten zur Nachweiserbringung zulässig. Die KRITIS-Betreiber sollten dazu entsprechend die „Orientierungshilfe zu Nachweisen gemäß § 8a Abs. 3 BSIG“ in der jeweils aktuellen Fassung beachten.

Die Anforderungen der KritisV zum Sektor Finanz- und Versicherungswesen sind zum 30.06.2017 in Kraft getreten und müssen bis zum 30.06.2019 von den betroffenen Instituten umgesetzt sein. Die Rechtsverordnung legt qualitative und quantitative Kriterien, wie beispielsweise die Anzahl von definierten Transaktionen oder der versorgten Personen für eine bestimmte Dienstleistung fest. Unternehmen die diese Kriterien erfüllen, betreiben eine Kritische Infrastruktur im Sinne des § 2 Absatz 10 BSI-Gesetz.

Im Sektor Finanz- und Versicherungswesen sind kritische Dienstleistungen gem. § 7 BSI-KritisV

1. die Bargeldversorgung;
2. der kartengestützte Zahlungsverkehr;
3. der konventionelle Zahlungsverkehr;
4. die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften;
5. Versicherungsdienstleistungen.

Die Veröffentlichung der BaFin mit dem Text der aktualisierten BAIT erreichen Sie unter diesem Link:

FMC unterstützt Institute bei der inhaltlichen Umsetzung und Erfüllung der Anforderungen der KritisV, der BAIT und auch der 5. MaRisk Novelle. Hierzu bieten wir einen initialen Workshop für eine strukturierte und toolgestützte Ermittlung der institutsindividuellen Handlungsfelder und Herausforderungen. Mehr über unser Angebot finden Sie hier.

Im Sektor Finanz- und Versicherungswesen sind kritische Dienstleistungen gem. § 7 BSI-KritisV

1. die Bargeldversorgung;
2. der kartengestützte Zahlungsverkehr;
3. der konventionelle Zahlungsverkehr;
4. die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften;
5. Versicherungsdienstleistungen.

Das kommende KRITIS-Modul soll beschreiben, welche zusätzlichen Anforderungen zu berücksichtigen sind, um den Nachweis gemäß § 8a Absatz 3 BSI-Gesetz durch den Jahresabschlussprüfer zu erbringen, der im Rahmen der Prüfung des Risikomanagements und der Geschäftsorganisation gleichzeitig die Erfüllung der Anforderungen des § 8a Absatz 1 BSI-Gesetz überprüft und bestätigt. Mit dieser Maßnahme soll insbesondere die bestehende „Doppelaufsicht“ durch das BSI und die BaFin koordiniert werden.

Die Anforderungen der KritisV zum Sektor Finanz- und Versicherungswesen sind zum 30.06.2017 in Kraft getreten und müssen bis zum 30.06.2019 von den betroffenen Instituten umgesetzt sein. Die Rechtsverordnung legt qualitative und quantitative Kriterien, wie beispielsweise die Anzahl der versorgten Personen oder die Anzahl von definierten Transaktionen für eine bestimmten Dienstleistung fest. Unternehmen die diese Kriterien erfüllen, betreiben eine Kritische Infrastruktur im Sinne des § 2 Absatz 10 BSI-Gesetz.

Als erste Maßnahme haben die Betreiber Kritischer Infrastrukturen nach § 8b Absatz 3 BSI-Gesetz innerhalb von sechs Monaten nach Inkrafttreten der BSI-KritisV dem BSI ein Funktionspostfach als Kontaktstelle zu benennen, über das sie jederzeit rund um die Uhr erreichbar sind. Um eine reibungslose Vorfallsbewältigung in Zusammenarbeit mit dem BSI sicherzustellen, sollen interne Prozesse eingerichtet werden, die eine Alarmierung geeigneter Ansprechpartner nach Eingang der Information auch außerhalb der normalen Geschäftszeiten sicherstellen. Dies gilt insbesondere, wenn die Betreiber eine IT-Störung an das BSI gemeldet haben und mit Rückfragen des BSI zu rechnen ist.

FMC unterstützt Institute bei der inhaltlichen Umsetzung und Erfüllung der Anforderungen der KritisV, dem zu erwartenden Kritis-Modul der BAIT und auch der 5. MaRisk Novelle. Hierzu bieten wir einen initialen Workshop für eine strukturierte und toolgestützte Ermittlung der institutsindividuellen Handlungsfelder und Herausforderungen. Mehr über unser Angebot finden Sie hier.

FMC unterstützt Versicherungsunternehmen bei der inhaltlichen Umsetzung und Erfüllung der Anforderungen VAIT. Hierzu bieten wir einen initialen Workshop für eine strukturierte und toolgestützte Ermittlung der unternehmensspezifischen Handlungsfelder und Herausforderungen. Mehr über unser Angebot finden Sie hier.