BCM Banken
Business Continuity Management (BCM) bereitet eine Bank darauf vor, kritische Leistungen während einer Störung fortzuführen und danach wiederherzustellen. Dazu gehören IT-Ausfälle, Cyberangriffe oder ein Brand. Die Verantwortlichen bestimmen unverzichtbare Prozesse und planen, wie Kunden auch bei Ausfall der üblichen Systeme oder Geschäftsräume bedient werden können.
In Deutschland behandeln die MaRisk AT 7.3 die Notfallplanung der Bank, während DORA die IKT-Geschäftsfortführung regelt. § 25a des Kreditwesengesetzes zählt das IT-Notfallmanagement zur ordnungsgemäßen Geschäftsorganisation. Pläne benennen Zuständigkeiten und Wiederherstellungsmaßnahmen, damit Beschäftigte bei einer Unterbrechung auf vorbereitete Abläufe zurückgreifen können.
MaRisk AT 7.3: das Notfallkonzept
MaRisk AT 7.3 verlangt ein Notfallkonzept für alle Aktivitäten und Prozesse, die kritische oder wichtige Funktionen sind. Das Notfallkonzept enthält Geschäftsfortführungs- und Wiederherstellungspläne auf Basis plausibler Szenarien, legt Verantwortlichkeiten, Ziele und Maßnahmen fest und bestimmt, wann ein Plan ausgelöst wird. Die Bank aktualisiert es jährlich und anlassbezogen, und die Geschäftsleitung erhält mindestens quartalsweise einen schriftlichen Bericht zum Notfallmanagement.
Grundlage sind Auswirkungsanalysen über eine Übersicht aller Funktionen. Ist eine kritische oder wichtige Funktion ausgelagert, brauchen Bank und Dienstleister abgestimmte Notfallkonzepte. Die Bank prüft das Konzept regelmäßig, für kritische oder wichtige Funktionen jährlich, protokolliert die Tests und teilt die Ergebnisse den Verantwortlichen schriftlich mit. Diese Anforderungen gelten in der MaRisk-Fassung vom 30. Juni 2026 (PDF).
DORA: IKT-Geschäftsfortführung
Für die IKT gilt der Digital Operational Resilience Act. Artikel 11 verlangt eine Leitlinie zur IKT-Geschäftsfortführung und eine Business-Impact-Analyse für schwere Betriebsstörungen. Banken testen die Pläne mindestens jährlich für IKT-Systeme, die sämtliche Funktionen unterstützen. Nach wesentlichen Änderungen an IKT-Systemen für kritische oder wichtige Funktionen sind zusätzliche Tests erforderlich. Außer bei Kleinstunternehmen umfassen die Tests Cyberangriffe und das Umschalten von der primären IKT-Infrastruktur auf redundante Kapazität.
Banken brauchen außerdem eine Krisenmanagementfunktion mit Verfahren für interne und externe Krisenkommunikation und melden der Aufsicht auf Anfrage die geschätzten jährlichen Kosten und Verluste aus schwerwiegenden IKT-Vorfällen. Artikel 12 regelt Backups: eine dokumentierte Sicherungsleitlinie, Wiederherstellung auf physisch und logisch getrennten Systemen sowie Wiederherstellungszeit- und Wiederherstellungspunktziele je Funktion. DORA in der EU regelt neben diesen Kontinuitätspflichten weitere Anforderungen an die operationale Resilienz.
Kommende Events zu Risiko & Compliance
Was unterscheidet operationelle Resilienz von BCM?
BCM plant für den Ausfall bestimmter Prozesse, Systeme oder Standorte und für ihre Wiederherstellung. Operationelle Resilienz ist das weitere Ziel: Die Bank erbringt ihre kritischen Leistungen innerhalb einer Toleranz für Störungen weiter, gleich aus welchem Grund. Die Grundsätze zur operationellen Resilienz (auf Englisch) des Basler Ausschusses vom 31. März 2021 zählen BCM-Planung und Tests zu ihren Teilen.
Was ist eine Business-Impact-Analyse in einer Bank?
Eine Auswirkungsanalyse betrachtet über abgestufte Zeiträume, welche Folgen der Ausfall einer Aktivität oder eines Prozesses hat. Die MaRisk verlangen, dass sie Art und Umfang des materiellen und immateriellen Schadens und den Zeitpunkt des Ausfalls berücksichtigt. Das Ergebnis bestimmt, welche Funktionen zuerst zurückkommen und wie lange ein Ausfall dauern darf, und es fließt in die Wiederherstellungszeitziele nach DORA.
Wie oft testen Banken ihre Notfallpläne?
MaRisk AT 7.3 verlangt jährliche Tests für kritische oder wichtige Funktionen. Nach DORA Artikel 11 müssen die Pläne für IKT-Systeme sämtlicher Funktionen mindestens jährlich getestet werden. Nach wesentlichen Änderungen an IKT-Systemen für kritische oder wichtige Funktionen kommen zusätzliche Tests hinzu. Die MaRisk ergänzen, dass Häufigkeit und Umfang sich an der Gefährdungslage orientieren und Dienstleister eingebunden werden. Erweiterte Tests an Live-Systemen fallen unter das bedrohungsgeleitete Penetrationstesten.
BCM und Finance Loop
Finance Loop ist der Treffpunkt für die Verantwortlichen von BCM, IT-Risiko und DORA-Programmen deutscher Banken. Finance Loop kündigte KI Exchange 2026 in Hamburg an, eine Konferenz mit DORA-Compliance im Programm. Die DORA-Schulung behandelt die regulatorischen Anforderungen an Beschäftigte und Leitung.
Finance Loop ist ein Experten-Netzwerk, das die institutionelle Nutzung neuer Technologien im Finanzwesen fördert, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & digitale Vermögenswerte, Zahlungsverkehr & digitales Geld, Digitale Infrastruktur & Souveränität und Risiko & Compliance.