Dies teilte die BaFin kürzlich in einer Pressemeldung mit. Der Entwurf des Rundschreibens enthält Hinweise zur Auslegung der nationalen und europarechtlichen Vorschriften, die die technisch-organisatorische Ausstattung der Geschäftsfüh-rung von Kapitalverwaltungsgesellschaften (KVGen) regeln.

Erhöhung des IT-Risikobewusstseins

Mit dem Rundschreiben will die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die besondere Bedeutung der Informationstechnik berücksichtigen.

Hauptziel der Behörde ist es, die IT-Sicherheit im Markt zu erhöhen. Vor allem will sie  das IT-Risikobewusstsein in den KVGen schärfen.

Regelungsbereiche

Das Rundschreiben soll dem Management einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausgestaltung der IT geben. Dies gilt vor allem für die IT-Ressourcen und das IT-Risikomanagement – aber auch für das Outsourcing von IT-Aktivitäten und IT-Prozessen, da Unternehmen zunehmend IT-Dienstleistungen von Dritten in Anspruch nehmen.

Im Einzelnen betrifft das Rundschreiben folgende acht Bereiche:

IT-Strategie IT-Governance Informationsrisikomanagement Informationssicherheitsmanagement Benutzerberechtigungsmanagement IT-Projekte, Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen) IT-Betrieb (inkl. Datensicherung) Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen

Bereich 8 betrifft § 36 KAGB mit den Artikeln 75 bis 82 der AIFM Level 2-VO in Bezug auf die Auslagerung von IT-Dienstleistungen einschließlich des sonstigen Fremdbezuges von IT-Dienstleistungen. Diese Regelungen soll das Rundschreiben präzisieren.

Anwendbarkeit

Das Rundschreiben soll auf alle Kapitalverwaltungsgesellschaften im Sinne von § 17 Kapitalanlagegesetzbuch (KAGB) anzuwenden sein, die über eine Erlaubnis nach § 20 Absatz 1 KAGB verfügen.

Keine Anwendung finden die geplanten Regelungen auf:

• registrierte KVGen nach § 44 KAGB,
• extern verwaltete Investmentgesellschaften,
• Zweigniederlassungen von EU-Verwaltungsgesellschaften nach §§ 51 und 54 KAGB,
• Verwahrstellen, Treuhänder und Bewerter

Verhältnis zur KAMaRisk

Die Anforderungen an die IT, die in den Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften (KAMaRisk) enthalten sind, bleiben unberührt.

Kein abschließender Charakter

Wie die Behörde betont, sind die Themenbereiche nicht abschließend. Damit bleiben KVGen auch außerhalb von KAIT dazu verpflichtet, gängige IT-Standards zu berücksichtigen und den jeweils aktuellen Stand der Technik zu berücksichtigen.

Proportionalitätsprinzip

Die Anforderungen, die das Papier aufstellt, sind prinzipienorientiert. Vor allem sollen sie dem Proportionalitätsprinzip Rechnung tragen, so die Meldung.  

In einer Anlage zu dem Entwurf dieses Rundschreibens schätzt die BaFin noch den Erfüllungsaufwand.

Interessenten können den Entwurf des Rundschreibens kommentieren. Stellungnahmen sind unter „WA 46-FR 1903-2018/0001“ mit dem Betreff „Stellungnahme im Rahmen der Konsultation 07/2019“ bis zum 06.05.2019 zu richten:

• per E-Mail an: Konsultation-07-19@bafin.de
• oder schriftlich an die Bundesanstalt für Finanzdienstleistungsaufsicht, Referat WA 46, Marie-Curie-Straße 24-28, D-60439 Frankfurt am Main 

Zum Entwurf des Rundschreibens mit Schätzung des Erfüllungsaufwandes

KWG/CRR in Hochfrequenz, ungebunden aktuell Kreditwesengesetz (KWG) Der „Reischauer/Kleinhans“ zählt seit Jahrzehnten zu den führenden Werken seines Fachs. Neben detaillierten Kommentierungen zum KWG finden Sie im „Reischauer / Kleinhans“: eine vertiefende Erläuterung der wesentlichen Vorschriften der Capital Requirements Regulation (CRR)  Erläuterungen der Delegierten Verordnung (EU) 2015/61– LCR-VO Erläuterungen u. a. der LiqV, der AnzV, der FinaRisikoV und des MaRisk-Regelungstextes, sowie eine alphabetische Übersicht der Legaldefinitionen wesentlicher Gesetze und Verordnungen.

(ESV/bp)