Was muss eine Bank im Ernstfall noch leisten können?
Was, wenn eine Bank ihre Systeme nach einem Cyberangriff nicht wie geplant wiederherstellen kann? Produktions-IT ist ausgefallen, Identitäten sind kompromittiert, Datenbestände nicht verlässlich und wichtige Dienstleister nur eingeschränkt erreichbar. Gleichzeitig benötigen Kunden weiterhin Zugang zu kritischen Services. Für diesen Fall braucht es mehr als einen Wiederanlaufplan: ein klares Bild davon, was die Bank mindestens noch leisten können muss.
Die Minimum Viable Bank (MVB) beschreibt den kleinsten kontrollierten Betriebszustand, in dem eine Bank eine priorisierte Teilmenge ihrer Services auf akzeptablem Niveau fortführen kann. Sie ist keine kleinere Version der Bank und auch nicht bloß IT- oder Disaster Recovery. Vielmehr verbindet sie geschäftliche Prioritäten mit den dafür erforderlichen Prozessen, Menschen, Daten, Technologien, Kontrollen und Drittparteien.
Dabei ist die MVB von den kritischen oder wichtigen Funktionen (kwF) nach DORA abzugrenzen. kwF sind Funktionen, deren Ausfall die finanzielle Leistungsfähigkeit oder die Kontinuität der Dienstleistungen wesentlich beeinträchtigen könnte – oder die für die Erfüllung aufsichtsrechtlicher Pflichten wesentlich sind. Die Einstufung benennt also, welche Funktionen besonders bedeutsam sind. Die MVB fragt ergänzend: Welche Services kann und muss die Bank unter konkreten Krisenbedingungen mindestens noch erbringen – und mit welchen Ressourcen? Nicht jede kwF muss dabei zwingend im vollen Normalumfang verfügbar sein; das Krisen-Zielbild muss jedoch mit den regulatorischen Anforderungen vereinbar sein.
Hier ergänzen sich MVB und Business Continuity Management (BCM). BCM schafft den Rahmen, um Auswirkungen zu analysieren, Notfallmaßnahmen vorzubereiten und Geschäftsaktivitäten fortzuführen oder wiederherzustellen. Die MVB setzt dazu ein strategisches Zielbild: Welche Services müssen zuerst verfügbar sein, auf welchem Mindestniveau und mit welchen Ressourcen? Dafür müssen Institute Ende-zu-Ende-Abhängigkeiten sichtbar machen – von Identitäten und Kernplattformen über Daten bis zu Dienstleistern.
Folgende Fragen stehen hier im Mittelpunkt: Welche Leistungen sind unverzichtbar, welche akzeptable Einschränkungen sind festzulegen und welche passenden organisatorischen, personellen, technischen und lieferantenbezogenen Maßnahmen sind zu entwickeln? Die sich ergebenden Szenarien müssen realistisch getestet werden, um eventuelle Lücken gegebenenfalls durch Anpassungen bei Verantwortlichkeiten, Abläufen oder Investitionen zu schließen. zu schließen. Die MVB ist kein einmaliges Konzept, sondern muss in Governance und Prozesse eingebettet und regelmäßig an neue Risiken angepasst werden.
Vor dem Hintergrund hat der VÖB ein Austauschforum Business Continuity Management eingerichtet, in dem auch Fragestellungen zur MVB vertieft werden.