Projekt FIT- BCM / ALM / ISM

Durch die NBank wurden einzelne Teilprojekte innerhalb eines Programmes defi-niert. Das Teilprojekt "BCM/ITSCM" soll in erster Linie die Feststellungen aus einer 44er Prüfung analysieren und beheben. Gleichzeitig sollen die Maßnahmen dazu geeignet sein, den gestiegenen aufsichtsrechtlichen Anforderungen, auch denen, die nicht unmittelbarer Gegenstand der Prüfung waren oder Findings zur Folge hat-ten, adäquat zu begegnen und diese im Rahmen des Projektes zu berücksichtigen. Die Projektziele richten sich - neben der Aufbauphase - auch auf die Betriebspha-se des BCM als Managementsystem aus. Eines der Ziele bildet somit die Schaffung eines anforderungsgerechten laufenden Betriebes sowohl des BCM als auch des ITSCM. Im Detail sind im Zusammenhang des Teilprojekts "BCM/ITSCM" die Überarbeitung folgender Teilaspekte geplant die somit auch entsprechende Teilziele innerhalb der definierten Programmlaufzeit (siehe Kapitel 2. der Leistungsbeschreibung) darstellen. - Detailplanung der Neukonzeption des BCM sowie ITSCM innerhalb der NBank - Aufbauorganisation / Krisenstab - Anforderungsgerechte Konzeption und Durchführung der Business Impact Analyse (BIA) - Anforderungsgerechte Konzeption und Durchführung eines BC Risk Managements - Neukonzeption des BCMS Dokumentenrahmens - Neukonzeption der BCM und ITSCM Notfalldokumentation - Definition und Operationalisierung von BCM und ITSCM Anforderungen an Dienstleister (wesentlicher Auslagerungen) - Verzahnung der Funktionen BCM - ITSCM - Notfalltests und -übungen Für die Erreichung der vorgenannten Ziele ergeben sich nachfolgende Maßnahmen und Lieferobjekte: - Berücksichtigung zusätzlicher Anforderungen (bspw. aus DORA) im Rahmen der Planung - Definition von Workstreams, Arbeitspaketen und den zugehörigen Maßnahmen auf Grundlage der regulatorischen Anforderungen aus MaRisk, BAIT, DORA sowie des BSI IT-Grundschutzes - Aufgrund der zeitlichen Vorgaben zur Umsetzung der DORA-Verordnung (Zieltermin: 17.01.2025) werden die diesbezüglichen Planungen und Aktivitäten priorisiert behandelt - Identifizierung von Schnittstellen, Abhängigkeiten und Lieferobjekten anderer Projekte, auch in ihrer zeitlichen Dimension - Erstellung eines Projekt- und Zeitplans einschließlich der Ressourcenplanung für die Projektphasen - Festlegung der Formate für die Zusammenarbeit und das Projektmanagement (Überwachung, Reporting) Zur Sicherstellung eines konformen BCM/ITSCM ist es erforderlich, dass der externe Dienstleister eigenverantwortlich im Auftrag des BCM/ITSCM Best Practice Lösungen bzw. Handlungsoptionen erarbeitet und mit relevanten Ansprechpartnern abstimmt. Die Entscheidungskompetenz liegt jederzeit im Bereich Recht/Beauftragte/Interne Dienste (kurz RBD) bzw. dem BCM/ITSCM-Beauftragten und seinem Stellvertreter. Für alle aufgeführten Aktivitäten sind revisionssichere Dokumentationen in Form von Prozessmodellierungen inkl. Beschreibungen, Fachkonzeptionen sowie beglei-tende Dokumente wie z. B. Checklisten / Formulare auf Basis von Best Practice zu erstellen. Darüber hinaus sind anwendergerechte Schulungen vorzubereiten, durchzuführen und zu dokumentieren.

Durch die NBank wurden einzelne Projekte innerhalb eines Programmes definiert. Das Projekt "Auslagerungsmanagement" soll in erster Linie die Feststellungen aus einer 44er Prüfung analysieren und beheben. Gleichzeitig sollen die Maßnahmen dazu geeignet sein, den gestiegenen aufsichtsrechtlichen Anforderungen, auch denen, die nicht unmittelbarer Gegenstand der Prüfung waren oder Findings zur Folge hatten, adäquat zu begegnen und diese im Rahmen des Projektes zu berücksichtigen. Die Projektziele richten sich - neben der Konzeptionsphase - auch auf die Betriebsphase des Auslagerungsmanagements aus. Eines der Ziele bildet somit die Schaffung eines anforderungsgerechten laufenden Betriebes eines Auslagerungsmanagementsystems. Im Detail sind im Zusammenhang des Teilprojekts "Auslagerungsmanagement" die Überarbeitung folgender Teilaspekte geplant die somit auch u. a. entsprechende Teilziele innerhalb der definierten Programmlaufzeit (siehe Kapitel 2. der Leistungsbeschreibung) darstellen. - Die Auslagerungsstrategie - Die Serviceklassifizierung - Risikoanalyse / Risikobewertung - Die Steuerung der Dienstleister als auch der 1st Line - Das Exit-Management - Das interne Berichtswesen - Die Vertragsgestaltung sowie - Die Einbindung in das interne Risikomanagement Für die Erreichung der vorgenannten Ziele ergeben sich u. a. nachfolgende Maß-nahmen und Lieferobjekte: - Neugestaltung Auslagerungsstrategie / DOR-Strategie unter Berücksichtigung der Anforderungen aus DORA - Neuerstellung einer Methodik zur Klassifizierung von Dienstleistungsbezügen, die die Besonderheiten aus DORA berücksichtigt inkl. Verprobung und Implementierung in die bestehenden Prozesse - Herleitung und Festlegung von Definitionen kritischer und nicht-kritischer IKT-Dienstleister - Anwendung der neuen Serviceklassifizierung für alle bestehenden und neuen, relevanten Leistungsbezüge - Erweiterung der Risikobetrachtung gegenüber der bisherigen Risikoanalyse/ Risikobewertung zur Einbindung weiterer Risiken, insbes. bei IKT-Dienstleistern - Berücksichtigung und Abarbeitung vorhandener Prüfungsfeststellungen zum Thema Risikoanalyse / Risikobewertung, insbesondere zur Nachvollziehbarkeit von Entscheidungswegen und des IKS im Rahmen des Genehmigungsprozesses - Anwendung der neuen Risikoanalyse und Risikobewertung für alle bestehenden und neuen, relevanten Leistungsbezüge - Überarbeitetes Berichtswesen des Auslagerungsmanagements an den Vor-stand unter Berücksichtigung der erweiterten Anforderungen aus DORA - Entwicklung eines geeigneten Verfahrens zur Sicherstellung der Einhaltung der Mindestanforderungen an die Vertragsgestaltung unter Berücksichtigung der Anforderungen aus DORA - Anwendung der neuen Methodik zur Sicherstellung, dass neue Dienstleitungsverträge vollständig sowie bestehende Dienstleistungsverträge risiko-orientiert die Mindestanforderungen an die Vertragsgestaltung erfüllen - Sicherstellung der Vollständigkeit der Dienstleistungsverträge in den genutzten IT-Systemen, z. B. Forum-Suite - Aufbau eines Informationsregisters mit den in DORA geforderten Inhalten - Weiterentwicklung und mit den Fachbereichen und 2ndLines, insbesondere BCM und ISM abstimmte Prozesse zur Steuerung und Überwachung von Dienstleistern - Entwicklung von zentralen Vorgaben für die Dienstleistersteuerung sowie Kontrollaktivitäten inkl. Prozessdokumentationen durch die Zentrale Auslagerungsbeauftragte unter Einbindung von BCM und ISM - Weiterentwicklung des Konzeptes für die Prozesse zur Beendigung von Auslagerungen um erweiterte DORA-Anforderungen - Anwendung der überarbeiteten Steuerungs- und Überwachungssystematik sowie Anforderungen an die Beendigung von Dienstleistungen auf neue und bestehende Leistungsbezüge - Erstellung und Umsetzung eines Maßnahmenpakets zur Entwicklung eines IKT-Risikomanagement nach DORA aus Sicht des Auslagerungsmanagements - Beratung bei der Umsetzung der obigen Maßnahmen in Forum Suite sowie Pflege der Datensätze, insb. Entwicklung von systemgestützten Workflows, z. B. hinsichtlich wiederkehrender Kontrollhandlungen und Genehmigungen Zur Sicherstellung eines konformen ALM ist es erforderlich, dass der externe Dienstleister eigenverantwortlich im Auftrag des ALM Best Practice Lösungen bzw. Handlungsoptionen erarbeitet und mit relevanten Ansprechpartnern abstimmt. Die Entscheidungskompetenz liegt jederzeit im Bereich Recht/Beauftragte/Interne Dienste (kurz RBD) bzw. dem ALM-Beauftragten und seinem Stellvertreter. Für alle aufgeführten Aktivitäten sind revisionssichere Dokumentationen in Form von Prozessmodellierungen inkl. Beschreibungen, Fachkonzeptionen sowie begleitende Dokumente wie z. B. Checklisten / Formulare auf Basis von Best Practice zu erstellen. Darüber hinaus sind anwendergerechte Schulungen vorzubereiten, durchzuführen und zu dokumentieren.

Durch die NBank wurden einzelne Projekte innerhalb eines Programmes definiert. Das Projekt "Informationssicherheitsmanagement (kurz ISM)" soll in erster Linie die Feststellungen aus einer 44er Prüfung analysieren und beheben. Gleichzeitig sollen die Maßnahmen dazu geeignet sein, den gestiegenen aufsichtsrechtlichen Anforderungen, auch denen, die nicht unmittelbarer Gegenstand der Prüfung waren oder Findings zur Folge hatten, adäquat zu begegnen und diese im Rahmen des Projektes zu berücksichtigen. Die Projektziele richten sich - neben der Konzeptionsphase - auch auf die Betriebsphase des Informationsmanagements aus. Eines der Ziele bildet somit die Schaffung eines anforderungsgerechten laufenden Betriebes eines stabilen und konformen Informationssicherheitsmanagementsystems (kurz ISMS). Im Detail sind im Zusammenhang des Projekts "Informationssicherheitsmanagement" die Überarbeitung folgender Teilaspekte geplant die somit auch u. a. entsprechende Teilziele innerhalb der definierten Programmlaufzeit (siehe Kapitel 2. der Leistungsbeschreibung) darstellen. - Informationssicherheitsstrategie - Integration der Informationssicherheit in die Serviceprozesse der IT - Aufbau von Security Standard Prozesse gemäß anerkannten Normen (unter Berücksichtigung von DORA), insbesondere BSI IT-Grundschutz - Aufbau und Weiterentwicklung der Schnittstellen zum Risikomanagement, Auslagerungsmanagement, BCM und ITSCM - Formalisiertes Zusammenspiel mit den Geschäftsbereichen und Eigentümern der Informationswerte innerhalb der Institution o Normierung der Schutzbedarfsfeststellung (kurz: SBF) o Definition der Datenklassen - Weiterentwicklung und Neugestaltung des Dokumentenrahmenwerks (u.a. Informationssicherheitsleitlinie sowie weitere relevante Richtlinien gemäß BAIT/BSI IT-Grundschutz und DORA) Für die Erreichung der vorgenannten Ziele ergeben sich u. a. nachfolgende Maß-nahmen und Lieferobjekte: - Definition Sicherheitsniveau und -anpassung der BSI-Vorgaben (Bausteine) für den Verbund sowie ausgelagerte bzw. virtualisierte Bereiche (z. B. Cloud) - Erstellung einer institutsbezogenen Gefährdungsübersicht - Die Einstufung von Informationssicherheits-Risiken - Pläne zur Behandlung von Informationssicherheitsrisiken (reduce, avoid, transfer/accept) - Konsolidierung von Informationssicherheits-Risiken und Maßnahmen - Beratung bei der Umsetzung der obigen Maßnahmen in Forum Suite sowie Pflege der Datensätze, insb. Entwicklung von systemgestützten Workflows, z. B. hinsichtlich der regelmäßigen und anlassbezogen Schutzbedarfsfeststellung - Weiterentwicklung des ISMS um erweiterte DORA-Anforderungen auf Basis von Best Practice - Optimierung des ISMS gemäß BSI-Standard 200-2: Methodik - Aufbau einer Schnittstelle zum IRM gemäß BSI Standard 200-3 (Risikomanagement) unter Berücksichtigung des ISO-Standard 27004 - Analyse der der bestehenden IT-Landschaft (inkl. IT-Architektur soweit vor-handen), insbesondere der der vorhandenen Sicherheitskomponenten - Erstellung einer nachvollziehbaren, strukturierten Übersicht der IT-Systemwelt, inklusive Anwendungen und Anbindungen mit einer Bewertung des Sicherheitsniveaus gemäß ISMS auf Basis BSI Grundschutz - Verweis auf mögliche Wiedersprüche zwischen den Vorgaben des ISMS und der bestehenden IT-Landschaft, soweit die bestehende Lösung bereits erfolgreich auf das zu definierende Sicherheitsniveau einzahlt - Beratung der IT-Teams zur Planung der Beseitigung von Abweichungen gegenüber dem Soll des ISMS - Unterstützung beim Design und der Implementierung zusätzlicher, dedizierter Sicherheitslösungen - Bewertung der Wirksamkeit bestehender und neuer Maßnahmen der IT-Sicherheit - Sicherstellung von Verständnis und Akzeptanz der NBank für neue Sicherheitsmaßnahmen durch Einsatz neuer Kommunikationsmittel und -wege. o Planung diverser Kommunikationswege (z. B. direkt, "Guerilla", usw.) o Beratung bei der Auswahl der passenden Medien nach Zweck und Wirksamkeit o Erstellung von Präsentation, Plakaten, Flyer, Giveaways etc. o Sicherstellung von Feedback Mechanismen o Planung und Durchführung von Kampanien zum ISMS und Awaren-ess Zur Sicherstellung eines konformen ISMS ist es erforderlich, dass der externe Dienstleister eigenverantwortlich im Auftrag des ISM Best Practice Lösungen bzw. Handlungsoptionen erarbeitet und mit relevanten Ansprechpartnern abstimmt. Die Entscheidungskompetenz liegt jederzeit im Bereich Recht/Beauftragte/Interne Dienste (kurz RBD) bzw. dem Informationssicherheitsbeauftragten und seinem Stellvertreter. Für alle aufgeführten Aktivitäten sind revisionssichere Dokumentationen in Form von Prozessmodellierungen inkl. Beschreibungen, Fachkonzeptionen sowie begleitende Dokumente wie z. B. Checklisten / Formulare auf Basis von Best Practice zu erstellen, Darüber hinaus sind anwendergerechte Schulungen vorzubereiten, durchzuführen und zu dokumentieren.

Durch die NBank wurden einzelne Projekte (u. a. ALM, BCM und ISM) zur Behebung von Feststellungen im Rahmen einer Sonderprüfung gemäß § 44 KWG definiert. Ergänzend dazu sollen die Projektergebnisse geeignet sein, aufsichtsrechtliche Anforderungen (insbesondere KWG, MaRisk, DORA), die nicht unmittelbar Gegenstand der Sonderprüfung waren, adäquat zu begegnen. Im Rahmen dieser Projekte (ALM, BCM, ISM) ist eine themenübergreifende Compliance Beratung zur Auslegung bzw. Interpretation erforderlich. Dabei ist das Hauptziel innerhalb der definierten Programmlaufzeit (siehe Kapitel 2. der Leistungsbeschreibung) eine Qualitätssicherung bei der Abstellung der identifizierten Findings im Rahmen der 44er Sonderprüfung sicherzustellen sowie zur Auslegung bzw. Interpretation der regulatorischen Anforderungen, insbesondere MaRisk/KWG i. V. m. BAIT und BSI IT-Grundschutz (200-1/200-2/200-3/200-4) sowie DORA zu beraten. Wesentliche Tätigkeitsschwerpunkte sind: - Beurteilung von Technisch-Organisatorischen-Maßnahmen hinsichtlich ihrer Eignung zur Abstellung von Findings - Beratung zur Interpretation und Auslegung regulatorischer Vorgaben (insbesondere MaRisk/KWG i. V. m. BAIT und BSI IT-Grundschutz (200-1/200-2/200-3/200-4) sowie DORA) sowie Herbeiführung geeigneter Lösungen gemäß Best Practice - Identifikation von themenübergreifenden Schnittstellen - Klärung von regulatorischen Fragen aus den Beauftragtenfunktionen ALM, BCM und ISM Zur Sicherstellung der übergeordneten Compliance zwischen den Losen 1-3 ist es erforderlich, dass der externe Dienstleister eigenverantwortlich im Auftrag der jeweiligen Projekte, die sich aus den Losen 1-3 ergeben, Best Practice Lösungen bzw. Handlungsoptionen erarbeitet und mit relevanten Ansprechpartnern abstimmt. Die Entscheidungskompetenz liegt jederzeit im Bereich Recht/Beauftragte/Interne Dienste (kurz RBD) bzw. der jeweiligen Projektleitung und deren Stellvertreter. Für alle aufgeführten Aktivitäten sind revisionssichere Dokumentationen in Form von Prozessmodellierungen inkl. Beschreibungen, Fachkonzeptionen sowie begleitende Dokumente wie z. B. Checklisten / Formulare auf Basis von Best Practice zu erstellen. Darüber hinaus sind anwendergerechte Schulungen vorzubereiten, durchzuführen und zu dokumentieren.