BMC Helix ITSM für Schweizer Banken: Compliance mit FINMA, nDSG und IKT-Minimalstandard

Schweizer Banken stehen unter zunehmendem Prüfdruck: Die FINMA intensiviert Vor-Ort-Inspektionen und prüft dabei konkret, ob Incident- und Change-Management-Prozesse lückenlos nachgewiesen werden können. Wer sein ITSM nicht als regulatorisches Nachweisinstrument konfiguriert hat, riskiert aufsichtsrechtliche Massnahmen.

Dahinter stecken vier Anforderungsrahmen. FINMA-RS 2023/1 verlangt dokumentierte Verantwortlichkeiten für Change Management, IKT-Betrieb und Incident Management sowie nachweisbar geprüfte Kontrollen. FINMA-RS 2018/3 behandelt jede cloud-basierte ITSM-Plattform als Outsourcing: Prüfrechte für Bank, Revisionsstelle und FINMA beim Dienstleister sind vertraglich zu regeln, ein vollständiges Outsourcing-Risikoinventar ist Pflicht.

Der IKT-Minimalstandard des BACS legt den Cyber-Resilienz-Benchmark für Betreiber kritischer Infrastrukturen fest, orientiert am NIST Cybersecurity Framework. Das revidierte Datenschutzgesetz (nDSG) verpflichtet Finanzinstitute ausserdem zu schnellen Datenpannen-Meldungen an den EDÖB. Alle vier Rahmen erzeugen konkrete, prüfbare Anforderungen an ITSM-Systeme. Da FINMA-RS 2023/1 dabei die weitreichendsten operativen Vorgaben stellt, beginnt die Analyse dort, wenn Schweizer Banken BMC Helix ITSM einsetzen.

Ein ITSM-System für Banken in der Schweiz muss folgende FINMA-RS 2023/1-Anforderungen erfüllen, abgeleitet direkt aus dem Rundschreiben-Wortlaut:

1. Verzahnte Incident-, Change- und BCM-Prozesse dokumentieren. Das Rundschreiben verlangt, dass Änderungsmanagement, IKT-Betrieb und Incident Management als zusammenhängende Prozesse konfiguriert und nachweisbar geprüft werden können.

2. Eskalationspfade mit definierten Verantwortlichkeiten hinterlegen. Die Geschäftsleitung muss für jeden Prozess dokumentierte Zuständigkeiten und klare Eskalationsstufen vorweisen können.

3. Lückenlose Audit-Trails für jede ITSM-Transaktion führen. Jede Change-Genehmigung, jede Incident-Eskalation und jeder Konfigurationseingriff muss revisionssicher protokolliert sein.

4. Rollenmodelle und Segregation of Duties konfigurieren. Wer Änderungen beantragt, genehmigt und umsetzt, muss systemseitig getrennt sein. BMC Helix ITSM bildet diese Trennung über granulare Rollenmodelle ab.

5. Cloud-ITSM als Outsourcing nach FINMA-RS 2018/3 behandeln. Cloud-basierte Plattformen erfordern uneingeschränkte Prüfrechte für Bank, Revisionsstelle und FINMA beim Dienstleister sowie ein vollständiges Outsourcing-Risikoinventar mit geregelter Datenlokation.

6. MTTR und Change-Failure-Rate als Risikoindikatoren reporten. Operationelle Risikokennzahlen müssen regelmässig erhoben, dokumentiert und der Geschäftsleitung berichtet werden.

Der IKT-Minimalstandard des BACS ergänzt diesen Rahmen um einen messbaren Cyber-Resilienz-Benchmark, der für alle Betreiber kritischer Infrastrukturen gilt.

Der IKT-Minimalstandard des BACS ist ein auf dem NIST CSF aufbauendes Profil-Framework mit vier Reifegradtiers. Er legt für Betreiber kritischer Infrastrukturen, darunter Banken, den Mindest-Reifegrad für Cyber-Resilienz fest. Formal hat er empfehlenden Charakter, doch FINMA-Prüfer und Revisoren legen ihn in der Praxis als verbindlichen Massstab an.

Die fünf NIST-Funktionen lassen sich direkt auf ITSM-Prozesse übersetzen: Identifizieren deckt die Asset-CMDB in BMC Helix ab. Schützen verlangt dokumentierte Change-Kontrollen mit Vier-Augen-Prinzip. Erkennen setzt automatisierte Incident-Erkennung und Alert-Integration voraus. Reagieren erfordert regelbasiertes Ticket-Routing mit definierten Eskalationspfaden. Wiederherstellen belegen BCM-Workflows und getestete Recovery-Prozeduren.

Das BACS ergänzt diesen Rahmen durch die Cybersicherheits- und Resilienzmethode (CSRM) als strukturiertes Selbstbewertungsinstrument. Damit können Finanzinstitute ihren aktuellen Tier-Stand messen und Lücken gegenüber dem Soll-Profil dokumentieren. ISO 27001 und der globale NIST CSF decken ähnliches Terrain ab, kennen aber keine Schweizer Sektorprofile mit festen Tier-Anforderungen.

Wer im Revisionsfall seinen Reifegrad nicht mit ITSM-Daten belegen kann, steht ohne Nachweise da. Daneben erzeugt das revidierte Datenschutzgesetz (revDSG) eigene, zeitkritische Pflichten, die im ITSM separat abgebildet werden müssen.

Das revidierte Datenschutzgesetz (revDSG/nDSG) verpflichtet Banken, Datenschutzverletzungen mit hohem Risiko «so rasch als möglich» an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden. Eine fixe 72-Stunden-Frist wie in der EU-DSGVO kennt das nDSG nicht. Das erhöht den Druck sogar: Ohne automatisierten Eskalationspfad bewertet jemand die Frist manuell, jedes Mal neu.

Hinzu kommt, dass ein einziges Sicherheitsereignis gleichzeitig mehrere Meldepflichten auslösen kann: eine EDÖB-Meldung nach nDSG, eine Meldung an die FINMA nach RS 2023/1 und eine Cyber-Meldung an das BACS. Jede Behörde verlangt andere Informationen, andere Fristen, andere Verantwortliche. Fehlen strukturierte ITSM-Workflows, entstehen Lücken, die im Revisionsfall direkt sanktionierbar sind.

BMC Helix bildet diese Anforderungen als konfigurierbare Prozesse ab. Ein Datenpannen-Ticket durchläuft einen Risikobewertungs-Workflow, der automatisch den Schweregrad klassifiziert und parallel Benachrichtigungen an alle drei Behörden auslöst. Zugriffsprotokollierung und Löschkonzepte lassen sich als eigenständige Workflow-Schritte integrieren, mit dokumentierten Genehmigungsschritten und Audit-Trail.

Institute, die BMC Helix ITSM in der Schweiz als regulatorisches Nachweiswerkzeug einführen wollen, müssen drei Bereiche verbindlich klären, bevor ein Vertrag unterzeichnet wird. Erstens: Datenlokation und Hosting. FINMA-RS 2018/3 fordert uneingeschränkte Prüf- und Einsichtsrechte für Bank, Revisionsstelle und FINMA beim Dienstleister. BMC Helix unterstützt On-Premises- und hybride Deployments.

Zweitens: Prüfrechte gegenüber BMC als Cloud-Provider müssen definiert sein. Drittens: Rollenmodelle, Vier-Augen-Prinzipien und Audit-Trails müssen implementiert sein.

Für Vorstand und Revision sind vier KPIs direkt relevant: Audit-Prep-Zeit (Ziel: Reduktion von Tagen auf Stunden), Change-Failure-Rate (Benchmark: unter 5 % laut ITIL-Praxis), MTTR (Mean Time to Restore) sowie Anzahl regulatorischer Findings pro Revisionszyklus. Diese Grössen lassen sich in BMC Helix als Dashboards abbilden und direkt in Revisionsberichte überführen.

Wo das aktuelle Setup Lücken hat, lässt sich in einem strukturierten Evaluierungs-Workshop klären. Die häufigste Schwachstelle liegt dabei nicht in der Technologie selbst, sondern im Implementierungsansatz.