Branchenspezifische Sicherheitsstandards
In einigen Branchen gelten spezifische Vorgaben, so zum Beispiel für Versicherungen, Banken, in der Automobilindustrie und für Krankenhäuser.
VAIT – Neue Anforderungen auf dem Weg
Die BaFin hat ihr Rundschreiben zu den versicherungsaufsichtlichen Anforderungen an die IT (VAIT) im Juli 2018 veröffentlicht und im März 2019 um den Teil zu kritischen Infrastrukturen erweitert. Nun steht eine Novelle an, welche die Anforderungen der Europäischen Aufsichtsbehörde (EIOPA) an das Management von Informationstechnik und Informationssicherheit von Oktober 2020 umfassen soll.
Erste Prüfungen der BaFin zeigten bei bisherigen Umsetzungen der VAIT diverse IT-Sicherheitsmängel-- darunter schwerwiegende, die höchste Stufe im BaFin-Bewertungsschema – bei den meisten Versicherungsunternehmen im Informationsrisiko- und Informationssicherheitsmanagement. Die BaFin fand in den Unternehmen zum Teil keine internen Prozesse vor, die ausreichten, um Informationsrisiken zu erkennen und zu bewerten. Darüber hinaus legten die Unternehmen oft nicht genau genug fest, wie schutzbedürftig bestimmte Informationen waren.
Im Informationssicherheitsmanagement mangelte es oft an Verfahren, um IT-Sicherheitsvorfälle so schnell zu erkennen, dass noch rechtzeitig Gegenmaßnahmen eingeleitet werden können. So hat die BaFin beispielsweise festgestellt, dass Versicherungsunternehmen zwar die Betriebssysteme und Netzwerkaktivitäten automatisch überwachten, oft aber andere wichtige Softwareanwendungen und Hardwarekomponenten nicht einbezogen. Dadurch entstand ein Sicherheitsrisiko für die gesamte IT des Unternehmens.
Außerdem deckten die Prüfungen bei viele Versicherungsunternehmen Schwachstellen hinsichtlich der Überwachung ihrer externen IT-Dienstleister auf. Da Versicherer viele verschiedene IT-Aufträge an externe Dienstleister vergeben, müssen sie die damit verbundenen Risiken kennen. Vor allem bei IT-Dienstleistungen, die nicht vom aufsichtsrechtlichen Ausgliederungsbegriff erfasst werden, etwa dem Bezug von Hard- und Software, verzichteten die Versicherer in zahlreichen Fällen auf eine vorhergehende Risikoanalyse und erfüllten damit nicht ihre Verpflichtung zu einem wirkungsvollen Risikomanagement.
