Eine Sparkasse führt bit-Compliance ein. Die PPS-Prozesslandkarte wurde übernommen, Anwendungen und Risiken sind erfasst. Bei der Bewertung fällt auf: Eine Anwendung unterstützt mehrere Geschäftsprozesse, ihre Bedeutung für die jeweiligen Risiken ist aber nicht durchgängig hinterlegt. Das fiktive Beispiel zeigt: Datenübernahme allein schafft keine belastbare Bewertungsgrundlage.
bit-Compliance: GRC-Aufgaben in einer Lösung verbinden
IKS
Geschäftsprozesse mit Risiken und Kontrollen verknüpfen.
Strukturanalyse
Informationsverbund mit Objekten und Beziehungen abbilden.
Bewertung
Schutzbedarfe und Risiken strukturiert betrachten.
Entscheidend ist nicht nur, dass diese Informationen vorhanden sind, sondern wie nachvollziehbar sie fachlich miteinander verknüpft sind.
Strukturen übernehmen und nutzen
In bit-Compliance können Prozesse unter anderem mit folgenden Bereichen verknüpft werden:
- IKT-Assetmanagement
- Informationssicherheit
- Notfallmanagement / BCM
- Datenschutzmanagement
- Drittparteienmanagement
- IT-Betrieb
- Benutzerverwaltung und Berechtigungen inkl. SoD
Im IKS lassen sich Geschäftsprozessen beispielsweise Anwendungen, Verträge und IT-Systeme zuordnen sowie Risiken und Kontrollen dokumentieren.
Wichtig: Die Dokumentation erleichtert den Einstieg. Ob Zuordnungen und Verantwortlichkeiten den tatsächlichen Abläufen entsprechen, muss jedoch fachlich geprüft werden.
Datenqualität im laufenden Betrieb sichern
Auch nach der Einführung bleibt die fachliche Pflege entscheidend. Ändern sich Anwendungen, Prozesse oder Zuständigkeiten, müssen Informationen und Bewertungen angepasst werden. Andernfalls verlieren dokumentierte Zusammenhänge an Aussagekraft.
Modulübergreifende Bewertungen ermöglichen
Ein Geschäftsprozess ist sowohl für das IKS als auch für die Informationssicherheit relevant und dieses aus unterschiedlichen Blickwinkeln. Im IKS stehen Risiken und Kontrollen im Vordergrund, in der Informationssicherheit unter anderem Anwendungen, IT-Systeme und Schutzbedarfe. bit-Compliance bietet Verknüpfungen zwischen Modulen und Objekten des Informationsverbundes.
Entscheidend ist ihre Aussagekraft: Unterstützt eine Anwendung mehrere Prozesse, müssen die betroffenen Fachbereiche diese Abhängigkeit erkennen und bei ihren Bewertungen berücksichtigen. Die Verknüpfung allein ersetzt keine fachliche Abstimmung.
DORA-Anforderungen fachlich einordnen
DORA verlangt in Artikel 8 unter anderem, IKT-gestützte Funktionen, Informations- und IKT-Assets sowie relevante Abhängigkeiten zu identifizieren und zu dokumentieren. Ein bestehender Informationsverbund kann dafür Informationen liefern, ersetzt aber nicht automatisch das erforderliche IKT-Assetmanagement.
Die in bit-Compliance erfassten Prozesse, Anwendungen und IT-Systeme können helfen, solche Abhängigkeiten darzustellen.
Wo steht Ihre bit-Compliance-Umgebung heute?
- Sind Prozesse, Anwendungen und IT-Systeme nachvollziehbar zugeordnet?
- Sind Verantwortlichkeiten fachlich geklärt?
- Werden Änderungen auch in den Bewertungen berücksichtigt?
- Funktionieren die Verknüpfungen zwischen den Modulen fachlich, nicht nur technisch?
Planen Sie eine Einführung oder Migration nach bit-Compliance? Oder möchten Sie eine bestehende Umgebung besser nutzen? Entscheidend ist, ob Ihre Datenbestände, Bewertungen und Modulverknüpfungen eine verlässliche Grundlage für die Arbeit der Fachbereiche bilden.
WG-DATA analysiert mit Ihnen den fachlichen Handlungsbedarf, priorisiert Verbesserungen und begleitet deren Umsetzung. Das reduziert Nacharbeiten, verbessert die Nachvollziehbarkeit von Bewertungen und hilft, das Potenzial von bit-Compliance auszuschöpfen.
Sie planen die Einführung oder Migration nach bit-Compliance oder möchten Ihre bestehende Umgebung optimieren? Sprechen Sie uns an. WG-DATA unterstützt Sie von der fachlichen Vorbereitung über die Umsetzung bis zur gezielten Weiterentwicklung.
Ihr Ansprechpartner
Jörn Stenvers
Partner
Risiken und Compliance
joern.stenvers@wg-data.de
