Neue Mindeststandards Bafin reguliert nun auch die IT
Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) legt erstmals Minimalstandards für die IT in Kapitalverwaltungsgesellschaften (KVGen) fest. Verankert sind die Standards in einem Rundschreiben mit dem Titel „Kapitalverwaltungsaufsichtliche Anforderungen an die IT“ (KAIT).
Von dem Rundschreiben sind nach Angaben der Wirtschaftskanzlei Baker Tilly 137 KVGen in Deutschland betroffen. Dabei handelt es sich um jene Anbieter, „die als externe Verwalter tätig sind und somit rechtlich von der Fondsgesellschaft getrennt sind“.
Die Bafin adressiert vor allem das Thema IT-Sicherheit. Laut Baker Tilly muss jede KVG-Geschäftsleitung eine Leitlinie für Informationssicherheit aufstellen und beschließen. Auf Basis einer solchen Leitlinie müssen die KVGen weitere Sicherheitsrichtlinien für bestimmte Unterbereiche aufstellen – etwa für Netzwerksicherheit, Informationsverschlüsselung (Kryptografie), Authentisierung und Protokollierung. Ziel sei die Vorbeugung von Informationssicherheitsvorfällen und die angemessene Reaktion bei Problemfällen.
Darüber hinaus muss jede Kapitalverwaltungsgesellschaft einen Beauftragten für Informationssicherheit ernennen. Dieser muss die Verantwortlichen der IT-Sicherheit überwachen und die Geschäftsführung der KVG in allen Fragen rund um das Thema Datensicherheit beraten, erläutert Baker Tilly.
1.200% Rendite in 20 Jahren?
Sensibles Thema Risikomanagement
Christian Rüdiger, Leiter im Bereich Fund Solutions bei Baker Tilly, kommentiert: Die IT habe in den KVGen mittlerweile eine zentrale Bedeutung gewonnen. Aufgrund der großen Datenmengen, der verschiedenen beteiligten Systeme und der Sensibilität der Daten sei eine Festlegung von Minimalstandards durch Bafin eine gute Hilfestellung. „Insbesondere im Hinblick auf das sensible Thema Risikomanagement.“
Das Rundschreiben regelt auch den Umgang von KVGen mit IT-Dienstleistern. So müsse jede KVG vor einer Auslagerung eine Risikobewertung durchführen. Außerdem müssen die KVGen einkalkulieren, dass ihr IT-Dienstleister ausfällt. Für ein solches Szenario muss eine Alternativ-Strategie festgezurrt werden.
Die Konsultationsfrist für das Rundschreiben ist bereits abgelaufen. Die Experten von Baker Tilly gehen davon aus, dass die finale Fassung Ende Juli / Anfang August 2019 erscheint. Die Fassung dürfte sich „nicht wesentlich von dem jetzigen Stand unterscheiden“.
