113
}
Deutschland: Aufsichtstätigkeit der Bundesanstalt für
Finanzdienstleistungsaufsicht (BaFin) mit Festlegung der Grundsätze
in den Mindestanforderungen an das Risikomanagement (MaRisk),
letztmals geändert durch Rundschreiben 11/2010 der BaFin vom 15.
Dezember 2010.
Österreich: Aufsichtstätigkeit der Finanzmarktaufsicht (FMA) mit
Festlegung allgemeiner Grundsätze im Leitfaden Management
operationelles Risiko vom November 2005 sowie in der
Veröffentlichung Grundsätze ordnungsgemäßer Compliance vom
28.
Dezember 2007.
Schweiz: Aufsichtstätigkeit der FINMA (Eidgenössische
Finanzmarktaufsicht) mit Festlegung der Grundsätze im
Rundschreiben Auslagerung von Geschäftsbereichen bei Banken
vom 20. November 2008
Einstiegspunkt der Analyse ist zunächst die Frage, was nach den vorstehend
bezeichneten Grundsätzen überhaupt als Auslagerung zu verstehen ist. Im
Zusammenhang mit dem Cloud-Computing ist dabei zunächst von
Bedeutung, dass die Datenaufbewahrung stets als Auslagerung/Outsourcing
verstanden wird. Dies führt zum Resultat, dass die strengen Grundsätze zur
Anwendung kommen. Hingegen stellen etwa die folgenden Tätigkeiten
keine Auslagerung dar und lösen entsprechend auch keinen
aufsichtsrechtlich relevanten Sachverhalt aus:
Beratung im Vorfeld, z. B. die Ausarbeitung eines
Informationstechnologie-Projekts zur anschließenden Integration in
den Betrieb der Bank;
Erwerb von Software-Lizenzen und Support in Bezug auf Software;
Wartung technischer Geräte, von Systemen
(
Informationstechnologie usw.) und von Software;
Einrichtung eines Raumes für den Katastrophenfall (ausgestattet mit
PCs, Servern usw. und getrennt von den Büroräumlichkeiten).
Die Banken betreffenden Grundsätze für Deutschland, Österreich und die
Schweiz resultieren in den folgenden Kernaussagen:
Die Bank muss den Cloud-Anbieter sorgfältig auswählen und ihn über
die notwendigen Rahmenbedingungen des Betriebs instruieren. Der
