Basel II als Treiber des IT-Sicherheitsmanagements — eine Klarstellung

Abstract

In der aktuellen Diskussion um unternehmensexterne Anforderungen an das IT-Sicherheitsmanagement wird häufig auch das Regelwerk von »Basel II« genannt. Oftmals wird ein direkter Zusammenhang zwischen Basel II und der IT-Sicherheit von Unternehmen postuliert. So würde ein IT-Sicherheitsmanagement zu reduzierten IT-Risiken und damit zu einer besseren Risikosituation führen. Hierdurch wiederum ergäben sich für ein Unternehmen günstigere Konditionen bei der Kreditaufnahme. Der vorliegende Beitrag hinterfragt diesen vermeintlichen Zusammenhang, kritisiert eine verkürzende Sichtweise und analysiert den aktuellen, realen Handlungsbedarf, der sich aus Basel II sowohl für Banken als auch für kreditsuchende Unternehmen in Bezug auf ihr IT-Sicherheitsmanagement ergibt. Im Ergebnis wird gezeigt, dass Basel II für Banken einen Anlass bildet, ihr IT-Sicherheitsmanagement zu prüfen und ggf. zusätzliche IT-Sicherheitsmaßnahmen zu ergreifen. Für kreditaufnehmende Unternehmen dagegen resultiert aus Basel II diesbezüglich kein nennenswerter Handlungsdruck.Die Sicherheit der im Unternehmen eingesetzten Informationstechnik (IT) und der verarbeiteten Informationen hat sich mittlerweile als bedeutsames Thema im Blickfeld von Unternehmensleitungen etabliert. So zeigen die Umfrageergebnisse des »IT Governance Global Status Report«, dass »IT-Sicherheit, Datenschutz und IT-Risikomanagement« vom Topmanagement als wichtige IT-Handlungsfelder erachtet werden, in denen seit der letzten Umfrage (im Jahr 2003) beträchtliche Verbesserungen erreicht wurden [ITGI 2006, S. 18 ff.]. Doch trotz dieser Fortschritte muss die IT-Sicherheit schon deswegen weiterhin größte Aufmerksamkeit genießen, da ein auch nur vorübergehendes Nachlassen der Sicherheitsanstrengungen einen Großteil der bisher in die IT-Sicherheit getätigten Investitionen gefährden würde. Ebenso ist unstrittig, dass eine weitgehende oder gar vollständige IT-Unterstützung der Geschäftsprozesse eines Unternehmens nur auf der Basis einer informationstechnischen Infrastruktur, die adäquat gegen interne und externe Bedrohungen geschützt ist, erfolgen kann. Insofern muss IT-Sicherheitsmanagement als eine zen-

IT- und Geschäftsstrategien in der Globalisierung: Compliance im IT-Outsourcing

“…Er konstatiert jedoch unternehmensindividuelle Unterschiede. IT-Unternehmen und IT-Dienstleister spricht er explizit an und erwähnt die informations-und kommunikationstechnische Infrastruktur(Klotz 2007b, S. 100). 9 Bei einer Online-Befragung von "Economist Intelligence" gaben 54 Prozent der 195 befragten Führungskräfte an, dass kein Ausschuss vorhanden ist, der sich aktiv mit Fragen bezüglich Corporate Governance, Risikoprävention oder Compliance auseinandersetzt.…”

“…Das Vorgehen erfolgt vor allem reaktiv (Oracle 2008). 10 Operationelles Risiko: "Gefahr von Verlusten, die infolge der Unangemessenheit oder des Versagens von internen Verfahren, Menschen und Systemen infolge externer Ereignisse eintreten"(Baseler Ausschuss 2004, in: Klotz 2007b.…”