FINMA-RS 2023/1
Operationelle Risiken und Resilienz – Banken.
LÖSUNGEN · FINANZINSTITUTE
Operationelle Resilienz für Banken und Finanzdienstleister.
Banken, Wertpapierhäuser und ihre IT-Dienstleister müssen operationelle Risiken, IKT- und Cyberrisiken und die Resilienz kritischer Funktionen nachweisen. Varmo verbindet das FINMA-Rundschreiben 2023/1 und DORA mit Risiken, Massnahmen, Dienstleistern und Vorfällen.
WAS SIE BEKOMMEN
- FINMA-RS 2023/1 und DORA im Wortlaut, ab Pro
- Pflichten der Organisation einmal, Systeme und Dienstleister je Asset
- Meldungen an FINMA und Aufsicht mit gesetzlichen Fristen
- Zuordnungen zu ISO/IEC 27001, NIST CSF 2.0 und NIS2
- Hosting in der Schweiz, Zugriff nur nach Zuständigkeit
1. Zwei Vorgaben, eine Umsetzung
Das FINMA-Rundschreiben 2023/1 gilt für Banken und Wertpapierhäuser in der Schweiz, DORA für Finanzunternehmen in der EU. Beide stehen als Kataloge mit Wortlaut bereit und sind einander zugeordnet: Was Sie für das eine umsetzen, sehen Sie beim anderen als Erfüllung oder Vorschlag.
- Erleichterungen für die Aufsichtskategorien 4 und 5 beim jeweiligen Punkt
- Vereinfachter Rahmen und TLPT nach DORA als eigene Kapitel
- Abdeckung nach den Funktionen des NIST CSF
2. Organisation, System und Dienstleister
Pflichten von Verwaltungsrat und Geschäftsleitung, Strategie, Testprogramm und Berichte belegen Sie einmal am Asset der Organisation. Zugriffe, Härtung, Schwachstellen, Protokollierung und Sicherung prüft der Eigentümer je System, Vertragsinhalte je IKT-Dienstleister. Varmo schlägt die passenden Kapitel je Asset-Kategorie vor.
3. Meldungen an Behörden
Legen Sie fest, welchen Meldepflichten Ihre Organisation unterliegt: FINMA, Aufsicht nach DORA, BACS oder NIS2. Bei jedem Vorfall entscheidet die verantwortliche Person, ob gemeldet werden muss, und erhält je Meldung eine Pendenz mit der gesetzlichen Frist, etwa 24 und 72 Stunden bei der FINMA.
- Fristen ab der Erkennung bzw. ab der vorherigen Meldung
- Zeitpunkt und Referenz jeder Meldung als Nachweis
- Abschluss des Vorfalls erst, wenn alle Meldungen erfasst sind
Risiken, Massnahmen und Prüfungen
Risikoanalyse, Massnahmen, interne Kontrollen, Audits und Managementbewertung liegen im selben System. Für jedes Risiko und jede Feststellung steht fest, wer als Nächstes handelt.
Need-to-know und Hosting in der Schweiz
Zuständigkeit gibt Zugriff: Personen sehen ihre eigenen Objekte, Rollen nur für Überblicksaufgaben. Die Daten liegen in der Schweiz, der Betreiber sieht sie nur mit Ihrer befristeten Freigabe. Einen zweiten Faktor können Sie für die ganze Organisation verlangen.
Passend dazu
DORA
Digitale operationale Resilienz im Finanzsektor.
Sicherheitsvorfälle
Vorfälle behandeln und Meldungen festhalten.
Häufige Fragen
Gilt DORA für Schweizer Banken?
Direkt nur für Finanzunternehmen in der EU, also etwa für Tochtergesellschaften in der EU. Schweizer IT-Dienstleister von EU-Finanzunternehmen betrifft DORA über die Vertragsinhalte nach Art. 30.
Ersetzt Varmo die Prüfung durch die Prüfgesellschaft?
Nein. Varmo strukturiert Umsetzung und Nachweise und zeigt Lücken; die aufsichtsrechtliche Prüfung bleibt bei der Prüfgesellschaft.
Meldet Varmo Vorfälle an die FINMA?
Nein. Gemeldet wird über die Kanäle der FINMA bzw. der Aufsicht. Im Vorfall halten Sie Fristen, Zeitpunkt und Referenz jeder Meldung fest.
Wie nah sind Sie an ISO/IEC 27001?
In einer persönlichen Demo zeigen wir Ihnen den Weg bis zum Readiness-Bericht, unverbindlich. Oder Sie starten sofort mit dem Paket Free.