IDW Knowledge Paper: Cyberrisk Teil 2 - Prüfungen von Cyber Security bei Kreditinstituten

Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW), Presseinformation 8/2022 vom 1.6.2022

Das Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW) befasst sich in seinem neuen Knowledge Paper mit dem Thema Cyber Security-Prüfungen bei Kreditinstituten. Um sich gegen die zunehmenden Bedrohungen zu wappnen, sollten Kreditinstitute IT-Systemprüfungen veranlassen. Diese erlauben es, Gefährdungen und notwendige Handlungsfelder frühzeitig zu identifizieren und so Cyberrisiken deutlich zu reduzieren. In „Cyberrisk Teil 1“ hatte das IDW bereits faktenbasierte Grundlagen zu Cyberrisiken dargestellt.

Cyberrisiken gehören inzwischen zu den größten Unternehmensrisiken. Dies belegen bedauerlicherweise auch neuerliche Cyberattacken im Zusammenhang mit dem Krieg in der Ukraine. Kreditinstitute sollten daher die Angemessenheit und Wirksamkeit ihrer Cyber Security-Vorkehrungen regelmäßig hinterfragen und prüfen lassen.

Das neue IDW Knowledge Paper beschreibt, inwiefern sich Prüfer von Kreditinstituten standardmäßig im Rahmen von Abschlussprüfungen bzw. aufsichtsrechtlichen Prüfungen mit dem Thema Cyber Security befassen. „Bei der Jahresabschlussprüfung bildet die Prüfung von Cyber Security-Maßnahmen nicht per se einen Prüfungsgegenstand. Sollte der Abschlussprüfer jedoch Cyberrisiken identifizieren, die Auswirkungen auf wesentliche Darstellungen in Abschluss und Lagebericht haben können, hat er hierauf angemessen zu reagieren“, betont Prof. Dr. Klaus-Peter Naumann. „Effektive Cyber Security-Vorkehrungen sollten daher zur Basis nachhaltigen Handelns gehören und Bestandsteil einer guten Corporate Governance sein“, so der IDW Vorstandssprecher.

Darüber hinaus geht das Knowledge Paper auf das bei Kreditinstituten verpflichtende Informationssicherheitsmanagement ein und stellt klar, dass der Prüfer auch hier noch keine explizite und umfassende Aussage zur Angemessenheit und Wirksamkeit von Cyber Security- Vorkehrungen zu treffen hat. Naumann weist indes darauf hin, dass viele Geschäftsleiter und Aufsichtsräte die Notwendigkeit von Cyber Security-Prüfungen erkannt hätten und daher Prüfungen beauftragten. „Sowohl interne als auch externe Prüfungen werden als probates Mittel angesehen, um die Cyberresilienz zu bewerten, proaktiv notwendige Handlungsfelder zu identifizieren und die Cyber Security im Unternehmen zu verbessern“, erläutert der Vorstandssprecher.

Das Knowledge Paper beleuchtet überdies, wie der Aufsichtsrat die Prüfungsschwerpunkte bei der Jahresabschlussprüfung festlegen kann und was er bei der Beauftragung von Cyberrisk-Prüfungen zu beachten hat. Der Fokus liegt in diesem Papier auf Kreditinstituten, da bei diesen die aufsichtlichen Anforderungen an die IT sowie deren Prüfungen besonders ausgeprägt sind.

Mit dem Knowledge Paper „Cyberrisk Teil 2 - Prüfungen von Cyber Security bei Kreditinstituten“ leistet das IDW einen weiteren Beitrag für die wichtige Debatte zur Prävention vor Cyberangriffen. Bereits mit dem ersten Teil des Knowledge Papers „Cyberrisk: Grundlagen - Definitionen, Maßnahmen, Risikolage und Organisationen“ hatte das IDW Unternehmen und Wirtschaftsprüfer bei der Bekämpfung von Cybergefahren unterstützt. 

Das Knowledge Paper „Cyberrisk Teil 2 - Prüfungen von Cyber Security bei Kreditinstituten“ finden Sie unter folgendem Link auf der IDW Website: IDW Knowledge Paper