Kurzdefinition: § 25a KWG verpflichtet Kreditinstitute zu einer ordnungsgemäßen Geschäftsorganisation mit einem angemessenen und wirksamen Risikomanagement. Die Geschäftsleiter sind dafür verantwortlich. Zum Risikomanagement gehört ausdrücklich ein angemessenes Notfallmanagement, insbesondere für IT-Systeme. § 25a KWG ist die aufsichtsrechtliche Grundnorm, an die die IKT-Anforderungen der DORA anknüpfen. [N-KWG-25a]
Der Normwortlaut
§ 25a Abs. 1 KWG bestimmt: „Ein Institut muss über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bestimmungen und der betriebswirtschaftlichen Notwendigkeiten gewährleistet.“ Eine ordnungsgemäße Geschäftsorganisation muss insbesondere „ein angemessenes und wirksames Risikomanagement“ umfassen; dazu gehört nach dem Katalog des § 25a Abs. 1 KWG „die Festlegung eines angemessenen Notfallmanagements, insbesondere für IT-Systeme“. [N-KWG-25a]
Wer trägt die Verantwortung?
Die Geschäftsleiter. § 25a Abs. 1 KWG weist die Verantwortung für die ordnungsgemäße Geschäftsorganisation ausdrücklich den Geschäftsleitern zu. Sie haben die erforderlichen Maßnahmen für die internen Vorgaben zu ergreifen. IT- und Cyberrisiken sind damit Leitungsaufgabe. [N-KWG-25a]
Was gehört zum Risikomanagement nach § 25a KWG?
Ein Katalog von Elementen. Dazu zählen die Festlegung von Geschäfts- und Risikostrategie, Verfahren zur Risikotragfähigkeit, interne Kontrollverfahren mit internem Kontrollsystem und unabhängiger Interner Revision, eine angemessene personelle und technisch-organisatorische Ausstattung, ein angemessenes Notfallmanagement — insbesondere für IT-Systeme — sowie angemessene Vergütungssysteme. [N-KWG-25a]
Welche Rolle spielt das IT-Notfallmanagement?
Es ist ausdrücklich verankert. § 25a Abs. 1 KWG nennt das angemessene Notfallmanagement, insbesondere für IT-Systeme, als eigenen Bestandteil des Risikomanagements. IT-Ausfälle und Cybervorfälle sind damit im Notfallmanagement der Bank abzubilden. [N-KWG-25a]
Wie verhält sich § 25a KWG zur DORA?
Als aufsichtsrechtlicher Anknüpfungspunkt. Die DORA konkretisiert die Anforderungen an das IKT-Risikomanagement für den Finanzsektor. § 25a KWG bleibt die nationale Grundnorm für die ordnungsgemäße Geschäftsorganisation; die DORA-Vorgaben treten als spezielleres IKT-Regime hinzu. [N-KWG-25a]
Wie wird die Angemessenheit bestimmt?
Nach Art, Umfang, Komplexität und Risikogehalt. Die Ausgestaltung des Risikomanagements hängt von der Geschäftstätigkeit ab; seine Angemessenheit und Wirksamkeit ist regelmäßig zu überprüfen. Der Maßstab ist damit institutsspezifisch, nicht schematisch. [N-KWG-25a]
Häufige Fehlannahmen
- „IT-Sicherheit ist bei Banken Sache der IT-Abteilung.“ Nein. § 25a KWG weist die Verantwortung den Geschäftsleitern zu. [N-KWG-25a]
- „Ein IT-Notfallplan ist optional.“ Nein. Das angemessene Notfallmanagement, insbesondere für IT-Systeme, ist ausdrücklicher Bestandteil des Risikomanagements. [N-KWG-25a]
- „Das Risikomanagement ist für alle Institute gleich.“ Nein. Es hängt von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit ab. [N-KWG-25a]
- „Die DORA ersetzt § 25a KWG.“ Nein. § 25a KWG bleibt die Grundnorm; die DORA konkretisiert die IKT-Anforderungen. [N-KWG-25a]
- „Interne Revision und Risikocontrolling können kombiniert werden.“ Nein. Die Interne Revision darf nicht mit anderen Kontrollfunktionen kombiniert werden. [N-KWG-25a]
- „Das Risikomanagement muss nicht überprüft werden.“ Doch. Seine Angemessenheit und Wirksamkeit ist regelmäßig zu überprüfen. [N-KWG-25a]
Was die Geschäftsleitung tun sollte
- Verantwortung annehmen. Die ordnungsgemäße Geschäftsorganisation als Leitungsaufgabe wahrnehmen.
- IT-Notfallmanagement verankern. Ein angemessenes Notfallmanagement für IT-Systeme aufbauen und pflegen.
- Kontrollfunktionen trennen. Internes Kontrollsystem, Risikocontrolling, Compliance und Interne Revision unabhängig ausgestalten.
- DORA einordnen. Die IKT-spezifischen DORA-Vorgaben in das bestehende Risikomanagement integrieren.
Für die Geschäftsleitung
§ 25a KWG macht die IT-Governance zur Chefsache der Bank: ordnungsgemäße Organisation, wirksames Risikomanagement und ein ausdrückliches IT-Notfallmanagement. Wer diese Grundnorm sauber umsetzt, hat zugleich das Fundament, auf dem die spezielleren DORA-Anforderungen aufsetzen.
Quellen
- [N-KWG-25a] § 25a KWG (Besondere organisatorische Pflichten; Risikomanagement), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/kredwg/__25a.html
