Das ISMS als steuerbaren Arbeitszyklus betreiben.

Die Leitung legt eine Informationssicherheitspolitik fest, die den strategischen Rahmen für alle Sicherheitsmaßnahmen vorgibt.

DORA-Bezug

DORA Art. 4 (Governance) – Resilienzstrategie und Leitungsorganverantwortung

MaRisk-Bezug

MaRisk AT 4.3.1, BT 3.1

Verantwortlichkeiten für Informationssicherheit sind eindeutig zugewiesen, kommuniziert und umfassen die speziellen Rollen gemäß DORA Art. 4 (Leitungsorgan) und Art. 5 (Interner Ablauf) einschließlich CISO, Sicherheitsbeauftragte und deren Stellvertretung.

DORA-Bezug

DORA Art. 4, Art. 5 (Interne Organisation)

MaRisk-Bezug

MaRisk AT 4.4.1

Benannte Sicherheitsfunktionen wie CISO und ISB haben klar definierte Zuständigkeiten, Durchgriffsrechte und Berichtspflichten gemäß DORA Art. 4 (Leitungsorganverantwortung) und Art. 5 (Interne Organisation), einschließlich regelmäßiger Berichterstattung an das Leitungsorgan.

DORA-Bezug

DORA Art. 4, Art. 5 (Schlüsselfunktionen)

MaRisk-Bezug

MaRisk AT 4.3.2, BT 2.1

Geregelte Kommunikationswege zu Aufsichtsbehörden, CERT/CSIRT und anderen relevanten Stellen.

DORA-Bezug

DORA Art. 14, Art. 15 (Anzeigepflichten)

MaRisk-Bezug

MaRisk AT 4.2, BT 3.2

Aktuelle Bedrohungsinformationen werden gemäß DORA Art. 5-8 systematisch aus vertrauenswürdigen Quellen beschafft, bewertet und für das IKT-Risikomanagement genutzt, einschließlich Information Sharing mit ähnlichen Institutionen und Behörden.

DORA-Bezug

DORA Art. 5–8 (Risikomanagement)

MaRisk-Bezug

MaRisk BT 3.1

Konfligierende Aufgaben und Verantwortungsbereiche werden getrennt, um Risiken durch Interessenkonflikte, Betrug und unbefugte Handlungen zu reduzieren.

DORA-Bezug

DORA Art. 4 (Governance), Art. 5 (Interne Kontrollen) – Funktionstrennung in der IKT-Organisation

MaRisk-Bezug

MaRisk AT 4.3.2 (Kontrollverfahren), AT 4.4 (Funktionstrennung)

Die Risikobeurteilung für Informationssicherheit wird systematisch durchgeführt, dokumentiert und wiederholt, um Risiken zu identifizieren, zu analysieren und zu bewerten.

DORA-Bezug

DORA Art. 6 Abs. 2 (IKT-Risikobewertung), Art. 7 (Risikoidentifikation)

MaRisk-Bezug

MaRisk AT 4.3.1, AT 4.3.3

Risiken werden durch geeignete Maßnahmen behandelt, wobei Optionen der Risikovermeidung, -verminderung, -übertragung oder -akzeptanz dokumentiert und umgesetzt werden.

DORA-Bezug

DORA Art. 6 Abs. 3 (Risikobehandlung), Art. 8 (Schutzmaßnahmen)

MaRisk-Bezug

MaRisk AT 4.3.3 (Risikosteuerung), BT 2.1 (Risikotragfähigkeit)

Informationen werden nach ihrer Kritikalität und Schutzbedürftigkeit klassifiziert und entsprechend gekennzeichnet.

DORA-Bezug

DORA Art. 8 (Schutzmaßnahmen), Art. 28 Abs. 3 (Informationsregister)

MaRisk-Bezug

MaRisk BT 3.1 (Schutzbedarfsfeststellung)

Informationen werden entsprechend der Klassifizierungsstufe mit geeigneten Kennzeichnungen versehen, um eine einheitliche Handhabung sicherzustellen.

DORA-Bezug

DORA Art. 8 (Informationssicherheit), Art. 9 (Kennzeichnungspflichten)

MaRisk-Bezug

MaRisk BT 3.1 (Dokumentenlenkung)

Regeln für die Handhabung, Aufbewahrung, Weitergabe und Vernichtung von Informationen werden klassifizierungsabhängig definiert und durchgesetzt.

DORA-Bezug

DORA Art. 8 (Schutzmaßnahmen), Art. 11 (Datenaufbewahrung)

MaRisk-Bezug

MaRisk BT 3.1 (Daten- und Informationssicherheit)

Alle für die Informationssicherheit relevanten rechtlichen, regulatorischen und vertraglichen Anforderungen werden identifiziert, dokumentiert und regelmäßig auf Aktualitaet geprüft.

DORA-Bezug

DORA Art. 4 (Compliance), Art. 49–54 (Durchsetzung und Sanktionen)

MaRisk-Bezug

MaRisk AT 4.2

Personenbezogene Daten werden gemaess DSGVO und nationalen Datenschutzgesetzen geschützt; Datenschutz-Folgenabschaetzungen werden durchgeführt.

DORA-Bezug

DORA Art. 8 (Datenschutz), Art. 9 (Privacy by Design) – in Abstimmung mit DSGVO

MaRisk-Bezug

MaRisk BT 3.1 (Datenschutz), AT 4.2 (Compliance)

Aufzeichnungen werden vor Verlust, Zerstoerung, Verfaelschung, unbefugtem Zugriff und unbefugter Freigabe geschützt.

DORA-Bezug

DORA Art. 8 (Dokumentenschutz), Art. 28 Abs. 3 (Informationsregister)

MaRisk-Bezug

MaRisk AT 4.2

Betriebsverfahren für IKT-Systeme werden dokumentiert, stehen den zuständigen Mitarbeitern zur Verfuegung und werden regelmäßig auf Aktualitaet geprüft.

DORA-Bezug

DORA Art. 8 (Sicherer Betrieb), Art. 9 (Prozessdokumentation)

MaRisk-Bezug

MaRisk BT 3.1 (Betriebsdokumentation), BT 2.2 (Verfahrensdokumentation)

Der Zugriff auf Informationen und IKT-Systeme wird durch Berechtigungskonzepte gesteuert.

DORA-Bezug

DORA Art. 5–8 (Zugangskontrolle)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1

Der Lebenszyklus von Identitäten wird von der Einrichtung über Änderungen bis zur Deaktivierung gesteuert und dokumentiert.

DORA-Bezug

DORA Art. 8 (Zugangskontrolle), Art. 5 (Berechtigungsmanagement)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1 (Berechtigungsmanagement)

Die Zuweisung und Verwaltung von Authentifizierungsinformationen wird durch ein sicheres Verfahren geregelt, einschließlich initialer Passwortvergabe und Zurücksetzungsprozessen.

DORA-Bezug

DORA Art. 8 (Authentifizierung), Art. 9 (Multi-Faktor-Authentifizierung)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1 (Authentifizierungsverfahren)

Zugriffsrechte werden nach dem Need-to-Know- und Least-Privilege-Prinzip vergeben, regelmässig reviewed und bei Bedarf entzogen.

DORA-Bezug

DORA Art. 8 (Zugriffsrechte), Art. 5 (Berechtigungsreviews)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1 (Berechtigungsreviews)

Sicherheitsanforderungen an Lieferanten werden vertraglich festgelegt und überwacht.

DORA-Bezug

DORA Art. 25–29 (IKT-Drittparteienrisiko)

MaRisk-Bezug

MaRisk AT 9, BT 4

Risiken durch Lieferantenzugriff auf Informationen des Instituts werden identifiziert, bewertet und durch vertragliche Sicherheitsanforderungen adressiert.

DORA-Bezug

DORA Art. 25–29 (IKT-Drittparteienrisiko), Art. 30 (Vertragsanforderungen)

MaRisk-Bezug

MaRisk AT 9 (Auslagerungen), BT 4 (Auslagerungsmanagement)

Risiken in der IKT-Lieferkette werden erfasst, bewertet und durch Sicherheitsanforderungen an Unterlieferanten adressiert.

DORA-Bezug

DORA Art. 28 Abs. 2 (Lieferkette), Art. 29 (Konzentrationsrisiken)

MaRisk-Bezug

MaRisk AT 9 (Lieferkettenrisiken), BT 4.4.2 (Unterauslagerungen)

Die Einhaltung von Sicherheitsanforderungen durch Lieferanten wird regelmässig überwacht, bewertet und bei Abweichungen nachgesteuert.

DORA-Bezug

DORA Art. 29 (Monitoring), Art. 30 (Audit und Reporting)

MaRisk-Bezug

MaRisk AT 9 (Auslagerungscontrolling), BT 4.4.1 (Auslagerungsüberwachung)

Die Nutzung von Cloud-Diensten wird durch spezifische Sicherheitsanforderungen, Vertragsklauseln und Exit-Strategien geregelt.

DORA-Bezug

DORA Art. 28 (Cloud-Dienste), Art. 30 Vertragsklauseln, Art. 29 Konzentrationsrisiko)

MaRisk-Bezug

MaRisk AT 9 (Cloud-Auslagerungen), BT 4 (Cloud-Dienstleister)

Ein strukturierter Incident-Response-Prozess ist vorbereitet und wird regelmässig getestet.

DORA-Bezug

DORA Art. 10–12 (Vorfallmanagement)

MaRisk-Bezug

MaRisk BT 3.2

Eingegangene Meldungen werden bewertet, priorisiert und einer Entscheidung zugeführt.

DORA-Bezug

DORA Art. 10 (Erkennung und Klassifizierung)

MaRisk-Bezug

MaRisk BT 3.2

Vorfälle werden nach definierten Verfahren bearbeitet, eindämmt und behoben.

DORA-Bezug

DORA Art. 11 (Reaktion und Wiederherstellung)

MaRisk-Bezug

MaRisk BT 3.2

Die Informationssicherheit ist in die Geschäftskontinuitätsplanung integriert.

DORA-Bezug

DORA Art. 11 (Wiederherstellung)

MaRisk-Bezug

MaRisk AT 7.3, BT 3.3

IKT-Systeme sind auf Betriebsunterbrechungen vorbereitet und verfügen über definierte Wiederherstellungsverfahren.

DORA-Bezug

DORA Art. 5–8, Art. 11 (Resilienztests)

MaRisk-Bezug

MaRisk BT 3.3

Geschäftskontinuitätspläne werden entwickelt, dokumentiert, regelmäßig getestet und bei wesentlichen Änderungen aktualisiert.

DORA-Bezug

DORA Art. 11 (Wiederherstellung und BCM), Art. 20 (Resilienztests)

MaRisk-Bezug

MaRisk AT 7.3 (Notfallmanagement), BT 3.3 (Notfallplanung)

Die Leitung erhält regelmässig Berichte über die Informationssicherheitslage.

DORA-Bezug

DORA Art. 4, Art. 5 (Berichtspflichten)

MaRisk-Bezug

MaRisk AT 4.3.1, BT 3.1

Die Einhaltung interner und externer Vorgaben wird regelmässig überprüft.

DORA-Bezug

DORA Art. 4 (Governance)

MaRisk-Bezug

MaRisk AT 4.2, BT 3.1

Mitarbeiter werden regelmässig für Informationssicherheitsrisiken sensibilisiert und geschult.

DORA-Bezug

DORA Art. 5 (Schulung und Sensibilisierung)

MaRisk-Bezug

MaRisk AT 7.1

Hintergrundüberprüfungen von Mitarbeitern und externen Dienstleistern werden vor Aufnahme der Tätigkeit durchgeführt, insbesondere bei sicherheitssensitiven Rollen.

DORA-Bezug

DORA Art. 5 (Personal), Art. 8 (Zugangssicherheit)

MaRisk-Bezug

MaRisk AT 7.1 (Personalauswahl), BT 2.1 (Schlüsselfunktionen)

Vertragliche Bedingungen legen die Verantwortlichkeiten des Mitarbeiters für Informationssicherheit fest und werden vor Aufnahme der Beschaeftigung vereinbart.

DORA-Bezug

DORA Art. 5 (Personalvereinbarungen), Art. 8 (Verhaltensregeln)

MaRisk-Bezug

MaRisk AT 4.4.1 (Pflichten und Befugnisse)

Die mit Telearbeit verbundenen Sicherheitsrisiken werden identifiziert, bewertet und durch angemessene Maßnahmen geschützt.

DORA-Bezug

DORA Art. 8 (Remote-Zugriff), Art. 9 (Zugangssicherheit für mobile Arbeit)

MaRisk-Bezug

MaRisk BT 3.1 (Mobile Arbeitsplaetze)

Mitarbeiter werden angehalten und in die Lage versetzt, beobachtete oder vermutete Sicherheitsereignisse über definierte Meldewege zu berichten.

DORA-Bezug

DORA Art. 10 (Erkennung von Vorfällen), Art. 12 (Meldepflichten)

MaRisk-Bezug

MaRisk BT 3.2 (Vorfallmeldung)

Sicherheitszonen schützen IKT-Infrastruktur vor unbefugtem physischem Zugriff.

DORA-Bezug

DORA Art. 5–8 (Schutzmaßnahmen)

MaRisk-Bezug

MaRisk BT 3.1

Der physische Zutritt zu Gebäuden und Räumen mit IKT-Infrastruktur wird durch Zutrittskontrollsysteme geschützt und überwacht.

DORA-Bezug

DORA Art. 8 (Zugangskontrolle), Art. 9 (Physische Sicherheitsmaßnahmen)

MaRisk-Bezug

MaRisk BT 3.1 (Zutrittsregelung)

Geraete außerhalb der gesicherten Räumlichkeiten des Instituts werden gegen Diebstahl, Verlust und unbefugten Zugriff geschützt.

DORA-Bezug

DORA Art. 8 (Mobile Geraete), Art. 9 (Verschlüsselung und Fernlöschung)

MaRisk-Bezug

MaRisk BT 3.1 (Mobile IT)

Geraete werden gemaess Herstellervorgaben und institutsinternen Wartungsplänen gewartet; Wartungsarbeiten werden dokumentiert.

DORA-Bezug

DORA Art. 8 (Betriebssicherheit), Art. 9 (Wartungsprozesse)

MaRisk-Bezug

MaRisk BT 3.1 (Wartung und Instandhaltung)

Geraete werden vor Entsorgung oder Wiederverwendung sicher von Daten befreit und gemaess Umweltvorschriften entsorgt.

DORA-Bezug

DORA Art. 8 (Datenschutz bei Geraeteaussonderung), Art. 9 (Vernichtungsprozesse)

MaRisk-Bezug

MaRisk BT 3.1 (Datenvernichtung)

Dokumente und IKT-Geraete werden bei Nichtnutzung vor unbefugtem Zugriff geschützt; Bildschirme werden bei Verlassen des Arbeitsplatzes gesperrt.

DORA-Bezug

DORA Art. 8 (Zugangssicherheit), Art. 9 (Physische Schutzmaßnahmen)

MaRisk-Bezug

MaRisk BT 3.1 (Bueroorganisation)

IKT-Systeme werden vor physischen und umweltbedingten Bedrohungen geschützt.

DORA-Bezug

DORA Art. 8 (Physische Sicherheit), Art. 9 (Umweltschutz)

MaRisk-Bezug

MaRisk BT 3.1 (Infrastrukturschutz)

IKT-Systeme werden vor unbefugtem physischen Zugriff geschützt.

DORA-Bezug

DORA Art. 8 (Zugangskontrolle), Art. 9 (Physische Zugänge)

MaRisk-Bezug

MaRisk BT 3.1 (Zugangskontrolle)

Technische Schwachstellen werden identifiziert, bewertet und behoben.

DORA-Bezug

DORA Art. 5–8 (Schwachstellenmanagement)

MaRisk-Bezug

MaRisk BT 2.2

Ereignisprotokolle werden erfasst, aufbewahrt und regelässig ausgewertet.

DORA-Bezug

DORA Art. 10 (Erkennung)

MaRisk-Bezug

MaRisk BT 2.2, BT 3.2

Die Nutzung von IKT-Systemen wird auf Anomalien überwacht.

DORA-Bezug

DORA Art. 10 (Erkennung von Anomalien)

MaRisk-Bezug

MaRisk BT 2.2

Testumgebungen und -daten sind gegen unbefugte Nutzung und Offenlegung geschützt.

DORA-Bezug

DORA Art. 20–23 (Resilienztests, TLPT)

MaRisk-Bezug

MaRisk BT 2.2

Änderungen an Informationen, IKT-Systemen und Prozessen werden kontrolliert geplant, bewertet, freigegeben und nachverfolgt.

DORA-Bezug

DORA Art. 6-8 (IKT-Risikomanagement), Art. 9 (Sichere Betriebsfuehrung)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.2 (Change-Prozesse)

Produktive Daten in Testumgebungen werden minimiert, geschützt und nur unter klaren Freigaberegeln verwendet.

DORA-Bezug

DORA Art. 8 (Sicherheitsmaßnahmen), Art. 23 (Test- und Uebungsumgebungen)

MaRisk-Bezug

MaRisk BT 2.2 (Test- und Freigabeverfahren)

Informationen in Benutzerendpunkten sind geschützt.

DORA-Bezug

DORA Art. 8 (IKT-Sicherheit), Art. 9 (Schutzmaßnahmen)

MaRisk-Bezug

MaRisk BT 3.1 (Technische Schutzmaßnahmen)

Sichere Authentifizierungsmechanismen werden implementiert, um unbefugten Zugriff zu verhindern.

DORA-Bezug

DORA Art. 8 (Zugangskontrolle), Art. 9 (Authentifizierung)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1 (Authentifizierung)

Zugriff auf Informationen und IKT-Systeme wird auf der Basis geschäftlicher und Sicherheitsanforderungen kontrolliert.

DORA-Bezug

DORA Art. 8 (Zugriffskontrolle), Art. 5 (Berechtigungsmanagement)

MaRisk-Bezug

MaRisk BT 3.1 (Zugriffskonzepte), BT 2.1

Die Sicherheit von IKT-Dienstleistungen, die über Netze erbracht werden, wird sichergestellt.

DORA-Bezug

DORA Art. 28 (IKT-Drittparteienrisiko), Art. 29 (Monitoring)

MaRisk-Bezug

MaRisk AT 9 (Auslagerungsmanagement)

Sicherheitsanforderungen werden in der Softwareentwicklung berücksichtigt.

DORA-Bezug

DORA Art. 8 (Sichere Entwicklung), Art. 9 (Secure Development)

MaRisk-Bezug

MaRisk BT 2.2 (Softwareentwicklung)

Sicherungskopien von Informationen, Software und Systemen werden gemäß eines festgelegten Zeitplans aufbewahrt.

DORA-Bezug

DORA Art. 11 (Wiederherstellung), Art. 8 (Datensicherung)

MaRisk-Bezug

MaRisk AT 7.3 (Wiederherstellungsfähigkeit)

Ereignisse, die für die Informationssicherheit relevant sind, werden protokolliert und analysiert.

DORA-Bezug

DORA Art. 10 (Erkennung), Art. 11 (Logging und Monitoring)

MaRisk-Bezug

MaRisk BT 3.2 (Vorfallmanagement)

IKT-Komponenten werden redundant ausgelegt, um die Verfügbarkeit zu gewährleisten.

DORA-Bezug

DORA Art. 11 (Redundanz), Art. 8 (Verfügbarkeit)

MaRisk-Bezug

MaRisk AT 7.3 (Redundanzkonzepte)

Verschlüsselung wird zur Erfüllung von Informationssicherheitsanforderungen verwendet.

DORA-Bezug

DORA Art. 8 (Verschlüsselung), Art. 9 (Kryptographische Maßnahmen)

MaRisk-Bezug

MaRisk BT 3.1 (Verschlüsselung)

Die Vergabe und Nutzung privilegierter Zugriffsrechte wird besonders geschützt, überwacht und regelmäßig überprüft.

DORA-Bezug

DORA Art. 8 (Privilegiertes Zugriffsmanagement), Art. 9 (Überwachung privilegierter Aktionen)

MaRisk-Bezug

MaRisk BT 3.1, BT 2.1 (Administratorrechte)

IKT-Systeme werden durch geeignete Maßnahmen gegen Schadsoftware geschützt; Praevention, Erkennung und Beseitigung sind in einem Maßnahmenbuendel verankert.

DORA-Bezug

DORA Art. 8 (Schutzmaßnahmen), Art. 9 (Schadsoftwareabwehr)

MaRisk-Bezug

MaRisk BT 3.1 (Malware-Schutz), BT 2.2 (Virenschutz)

Die Systemuhren aller relevanten IKT-Systeme werden mit einer referenzierten Zeitquelle synchronisiert, um eine konsistente Protokollierung zu gewaehrleisten.

DORA-Bezug

DORA Art. 10 (Protokollierung und Zeitstempel), Art. 11 (Beweissicherung)

MaRisk-Bezug

MaRisk BT 2.2 (Systemuhrzeit)

Regeln für die sichere Entwicklung von Software und IKT-Systemen werden im gesamten Lebenszyklus angewandt, von der Anforderungsanalyse bis zur Wartung.

DORA-Bezug

DORA Art. 8 (Sichere Entwicklung), Art. 9 (Secure-by-Default)

MaRisk-Bezug

MaRisk BT 2.2 (Softwareentwicklung und Aenderungsmanagement)

Sicherheitsanforderungen für Softwareentwicklung werden in der Anforderungsphase definiert und vor der Entwicklung freigegeben.

DORA-Bezug

DORA Art. 8 (Sicherheitsanforderungen), Art. 9 (Secure Development Lifecycle)

MaRisk-Bezug

MaRisk BT 2.2 (IT-Entwicklung)

Systeme werden nach dem Prinzip der verteidigungstiefen Architektur (Defence in Depth) entworfen und implementiert.

DORA-Bezug

DORA Art. 8 (Systemarchitektur), Art. 9 (Sichere Netze und Systeme)

MaRisk-Bezug

MaRisk BT 3.1 (Architekturvorgaben)

Sicherheitstests werden während der Entwicklung durchgeführt (SAST, DAST, Dependency-Checks, Penetrationstests) vor der Produktionsfreigabe.

DORA-Bezug

DORA Art. 20 (Resilienztests), Art. 23 (TLPT)

MaRisk-Bezug

MaRisk BT 2.2 (Test- und Freigabeverfahren)

Bei fremdvergebener Softwareentwicklung werden die Sicherheitsanforderungen vertraglich festgelegt und die Einhaltung überwacht.

DORA-Bezug

DORA Art. 28 (Drittparteienrisiko), Art. 30 (Vertragsanforderungen)

MaRisk-Bezug

MaRisk AT 9 (Auslagerung von Entwicklung), BT 4 (Auslagerungen)

Entwicklungs-, Test- und Produktionsumgebungen sind technisch und organisatorisch getrennt, um unbeabsichtigte Auswirkungen auf den Produktivbetrieb zu verhindern.

DORA-Bezug

DORA Art. 8 (Sichere IKT-Betriebsfuehrung), Art. 9 (Integrität und Verfügbarkeit)

MaRisk-Bezug

MaRisk BT 2.2 (Systementwicklung und Betrieb)

Netzwerke und IKT-Systeme, die darüber erreichbar sind, werden geschützt.

DORA-Bezug

DORA Art. 8 (Netzwerksicherheit), Art. 9 (Segmentierung)

MaRisk-Bezug

MaRisk BT 3.1 (Netzwerkschutz)

Sicherheitsmechanismen, Dienstebenen und Managementanforderungen von Netzwerkdiensten werden identifiziert und implementiert.

DORA-Bezug

DORA Art. 28 (IKT-Drittdienstleister), Art. 29 (Monitoring)

MaRisk-Bezug

MaRisk AT 9 (Auslagerung)

Netze werden in separate Netzsegmente unterteilt.

DORA-Bezug

DORA Art. 8 (Netzsegmentierung), Art. 9 (Isolation)

MaRisk-Bezug

MaRisk BT 3.1 (Netzwerkarchitektur)

Der Zugriff auf externe Webseiten wird gemanagt.

DORA-Bezug

DORA Art. 8 (Zugriffskontrolle), Art. 9 (Content-Filter)

MaRisk-Bezug

MaRisk BT 3.1 (Internetnutzung)

Richtlinien für den Einsatz kryptographischer Maßnahmen werden entwickelt und implementiert.

DORA-Bezug

DORA Art. 8 (Kryptographie), Art. 9 (Verschlüsselung)

MaRisk-Bezug

MaRisk BT 3.1 (Kryptographische Verfahren)