Ein Großteil der Geschäftstätigkeit von Zahlungsinstituten wird heute nicht mehr über physische Filialen, sondern über mobile Anwendungen, Websites, API-Verbindungen, virtuelle POS-Infrastrukturen, Rechenzentren und Cloud-Systeme abgewickelt. Daher reicht finanzielle Stärke allein für ein Zahlungsinstitut nicht mehr aus. Der sichere, unterbrechungsfreie, nachvollziehbare und revisionssichere Betrieb der Informationssysteme , ist ebenfalls von grundlegender Bedeutung für den Fortbestand der Betriebserlaubnis.

In der Türkei ist die wichtigste Verordnung für die Informationssysteme von Zahlungs- und E-Geld-Instituten das Kommuniqué über Informationssysteme von Zahlungs- und E-Geld-Instituten und Datenaustauschdienste von Zahlungsdienstleistern im Bereich der Zahlungsdienste. Dieses Kommuniqué regelt umfassend die Verwaltung der Informationssysteme von Zahlungsinstituten, die Informationssicherheit, das Risikomanagement, die Zugriffskontrollen, Penetrationstests, die Geschäftskontinuität, das Outsourcing und die unabhängigen Prüfungen von Informationssystemen.

Die Prüfung von Informationssystemen in Zahlungsinstituten beschränkt sich daher nicht allein auf einen technischen Bericht, der alle paar Jahre von einem unabhängigen Prüfer erstellt wird. Risikobewertungen, Sicherheitstests, Zugriffskontrollen, das Management von Cybervorfällen, Tests zur Geschäftskontinuität und die regelmäßige Berichterstattung an die türkische Zentralbank (TCMB), die das Institut das ganze Jahr über durchführen muss, sind ebenfalls Bestandteil dieses Systems.

Was ist Informationssystemprüfung in Zahlungsinstituten?

Bei der unabhängigen Prüfung von Informationssystemen untersucht eine autorisierte unabhängige Wirtschaftsprüfungsgesellschaft die Prozesse, Aktivitäten, Software, Hardware und die damit verbundenen internen Kontrollen, um die Einhaltung der Informationssystemvorschriften der türkischen Zentralbank durch die Organisation zu beurteilen und sich eine Meinung über die Wirksamkeit, Angemessenheit und Konformität dieser Kontrollen mit den Vorschriften zu bilden .

Daher geht es bei der Wirtschaftsprüfung nicht nur darum, diese Frage zu beantworten:

„Funktioniert das System?“

Folgende Fragen werden ebenfalls vorrangig berücksichtigt:

• Wer hat Zugriff auf das System?
• ob die Zugriffsberechtigungen unnötig weit gefasst sind,
• wie Kundendaten geschützt werden,
• ob Transaktionsdatensätze später nachverfolgt werden können,
• ob die notwendigen Vorkehrungen gegen Cyberangriffe getroffen wurden
• Wie lange es dauern würde, das System im Falle einer Serviceunterbrechung wieder online zu bringen
• ob externe Dienstleister angemessen kontrolliert werden,
• Ob die identifizierten Sicherheitslücken zeitnah behoben wurden.

Eine Prüfung der Informationssysteme beschränkt sich daher nicht allein auf die Überprüfung der IT-Abteilung eines Zahlungsinstituts; sie ist vielmehr eine umfassende Prüfung der Unternehmenskonformität, die Geschäftsführung, internes Kontrollsystem, Risikomanagement, Informationssicherheit, operative Abläufe und externe Dienstleistungsprozesse einschließt. Die Verordnung verpflichtet die Geschäftsführung zur gesetzeskonformen Verwaltung der Informationssysteme und schreibt die Einrichtung einer Funktion innerhalb des internen Kontrollsystems zur Überwachung der Einhaltung der Vorschriften für Informationssysteme vor.

Wer überwacht die Informationssysteme von Zahlungsinstituten?

Kein Software- oder Cybersicherheitsunternehmen kann eine unabhängige Prüfung von Informationssystemen durchführen.

Gemäß dem Rundschreiben muss die Prüfung grundsätzlich von unabhängigen Wirtschaftsprüfungsgesellschaften durchgeführt werden, die von der Aufsichtsbehörde für Rechnungslegung und Prüfungsstandards (POAS) zugelassen in der von der Bankenaufsichtsbehörde (BDDK) veröffentlichten Liste der zur Durchführung von IT-Systemprüfungen in Banken zugelassenen unabhängigen Wirtschaftsprüfungsgesellschaften aufgeführt sind . Die Zentralbank der Republik Türkei (TCMB) hat das Recht, gegebenenfalls eine andere unabhängige Wirtschaftsprüfungsgesellschaft zu beauftragen oder von der Beauftragung einer bestimmten Gesellschaft auf der Liste abzusehen.

Daher sollte nicht davon ausgegangen werden, dass das Zahlungsinstitut den Informationssystembericht des Finanzberaters oder der traditionellen unabhängigen Wirtschaftsprüfungsgesellschaft, mit der es seit Jahren zusammenarbeitet, automatisch erstellen kann.

Finanzielle unabhängige Prüfungen und informationssystemunabhängige Prüfungen sind unterschiedliche Arten von Prüfungen.

Während das Gesetz Nr. 6493 Zahlungs- und E-Geld-Institutionen unabhängigen Prüfungen unterwirft, gibt es darüber hinaus spezielle Vorschriften für die Prüfung von Informationssystemen.

Wie häufig wird eine Prüfung der Informationssysteme durchgeführt?

Gemäß dem aktuellen Rundschreiben der türkischen Zentralbank (TCMB) unabhängige Prüfungen der Informationssysteme durchgeführt. Die TCMB behält sich jedoch das Recht vor, Umfang und Häufigkeit der Prüfungen bei Bedarf anzupassen.

Weil;

„Informationssystemprüfungen werden nur alle zwei Jahre durchgeführt, dazwischen bestehen keine Verpflichtungen.“

Eine solche Herangehensweise ist falsch.

Obwohl der unabhängige Prüfungszeitraum zwei Jahre beträgt, hat das Zahlungsinstitut das ganze Jahr über zahlreiche Prüfungen seiner Informationssysteme und Berichtspflichten zu erfüllen. Beispielsweise werden Pflichten wie die jährliche Risikobewertung, Penetrationstests, Überprüfungen der Informationssicherheit und Tests zur Geschäftskontinuität in anderen Abständen als dem unabhängigen Prüfungszeitraum durchgeführt.

Wann wird die erste Prüfung der Informationssysteme eines neu lizenzierten Zahlungsinstituts durchgeführt?

Für Zahlungs- oder E-Geld-Institute, die erst kürzlich eine Betriebslizenz erhalten haben, gibt es eine spezielle Regelung.

Dem Rundschreiben zufolge wird die erste unabhängige Prüfung der Informationssysteme für das Jahr nach der Erteilung der Betriebserlaubnis .

Nehmen wir beispielsweise an, ein Zahlungsabwicklungsunternehmen erhält seine Betriebslizenz im Jahr 2026.

gemäß dieser spezifischen Bestimmung im Kommuniqué , dass sie den Zeitraum bis zum Jahr 2027 abdeckt, .

Neu lizenzierte Fintech-Unternehmen sollten daher die unabhängige Prüfung ihrer Informationssysteme nicht als etwas betrachten, das erst Jahre später in Betracht gezogen werden muss.

Die bei der Lizenzerteilung eingerichtete technische Infrastruktur muss vom ersten Betriebsjahr an überprüfbar sein

Wann wird der unabhängige Prüfbericht für Informationssysteme an die Zentralbank der Türkei (TCMB) übermittelt?

Gemäß dem Rundschreiben muss der im Rahmen der unabhängigen Prüfung erstellte Bericht bis Ende Februar des auf den Prüfungszeitraum folgenden Jahres bei der Zentralbank der Republik Türkei (TCMB) eingereicht werden. Die TCMB kann auf Antrag des Instituts eine Fristverlängerung gewähren und gegebenenfalls die elektronische Übermittlung des Berichts verlangen.

im Jahr 2025 die Anwendung „Payment Institutions Audit Tracking System – OKDS“ ; damit wurde ein System für die elektronische Übermittlung und Verfolgung der gemäß dem Kommuniqué erforderlichen Berichte geschaffen, in erster Linie unabhängige Prüfberichte über Informationssysteme.

Diese Entwicklung zeigt, dass die Prüfung von Informationssystemen nicht bloß eine private Angelegenheit zwischen dem Unternehmen und dem Prüfer ist; sie ist vielmehr ein direkter Bestandteil des Aufsichtssystems der türkischen Zentralbank.

Was ist eine Managementerklärung im Rahmen der Wirtschaftsprüfung von Informationssystemen?

Der unabhängige Wirtschaftsprüfer ist nicht der Einzige, der im Rahmen des Prüfungsprozesses des Zahlungsinstituts den Bericht erstellt.

Die Organisation selbst muss ebenfalls eine Managementerklärung erstellen

Gemäß der Mitteilung ist die Organisation verpflichtet, für jeden Prüfungszeitraum eine Managementerklärung abzugeben, in der sie eine Zusicherung hinsichtlich der von ihr im Rahmen ihrer Informationssysteme eingerichteten und vom Vorstand und dem Geschäftsführer genehmigten internen Kontrollen gibt

Der unabhängige Abschlussprüfer prüft diese Aussage und die ihr zugrunde liegenden Studien.

Etwaige Ungenauigkeiten oder Auslassungen im Lagebericht können als Feststellung im unabhängigen Prüfungsbericht vermerkt werden. Die Weigerung des Unternehmens, einen Lagebericht abzugeben, kann schwerwiegendere Konsequenzen nach sich ziehen, wie beispielsweise einen eingeschränkten Bestätigungsvermerk, die Verweigerung der Stellungnahme oder den Ausschluss vom Prüfungsauftrag.

Daher sollte die Managementerklärung nicht einfach als Standardformular betrachtet werden, das vom Geschäftsführer unterzeichnet wird.

Die Aussage muss durch Nachweise und Aufzeichnungen untermauert werden , die belegen, dass die Kontrollmechanismen der Informationssysteme der Organisation tatsächlich angewendet werden .

Welche Gutachten können im Rahmen der Informationssystemprüfung abgegeben werden?

Als Ergebnis einer unabhängigen Prüfung kann der Prüfer zu einem von vier Hauptschlussfolgerungen gelangen:

• positive Meinung,
• bedingte Meinung
• negative Meinung,
• Sich davor hüten, eine Meinung zu äußern.

Ein positiver Bestätigungsvermerk kann erteilt werden, wenn keine wesentlichen Kontrollmängel vorliegen und im Rahmen der Prüfung keine schwerwiegenden Einschränkungen festgestellt werden. Ein eingeschränkter Bestätigungsvermerk kann erteilt werden, wenn wesentliche Kontrollmängel vorliegen, die jedoch keinen großen Teil des Gesamtsystems betreffen, oder in bestimmten Situationen, in denen die Erlangung ausreichender Prüfungsnachweise eingeschränkt ist. Ein negativer Bestätigungsvermerk kann erteilt werden, wenn die Kontrollmängel einen großen Teil der Informationssysteme oder Zahlungsprozesse betreffen. Ein Bestätigungsvermerk kann verweigert werden, wenn die Prüfungstätigkeit so eingeschränkt ist, dass eine Beurteilung nicht möglich ist.

Das Ziel für das Zahlungsinstitut sollte daher nicht einfach nur darin bestehen, „den Bericht zu erhalten“.

Das Hauptziel besteht darin, vor Beginn der Prüfung etwaige Kontrollmängel zu identifizieren und zu beheben, die zu negativen oder bedingten Prüfungsurteilen führen könnten.

Sind Prüfungen der türkischen Zentralbank (TCMB) und unabhängige Prüfungen von Informationssystemen dasselbe?

NEIN.

Die von einer unabhängigen Wirtschaftsprüfungsgesellschaft durchgeführte Prüfung der Informationssysteme unterscheidet sich von den aufsichtsrechtlichen Kontroll- und Prüfungsaktivitäten der Zentralbank der Türkei (TCMB).

Die Zentralbank der Republik Türkei (TCMB) ist die öffentliche Behörde, die für die Zulassung, Überwachung und Kontrolle von Zahlungs- und E-Geld-Institutionen zuständig ist.

Daher ist ein positiver unabhängiger Prüfbericht erforderlich;

„Die türkische Zentralbank kann das Unternehmen nicht mehr beaufsichtigen.“

Das bedeutet gar nichts.

Die Zentralbank der Republik Türkei (TCMB) führt weiterhin ihre Aufsichts- und Prüfungstätigkeiten durch und kann bei Bedarf zusätzliche Informationen, Dokumente und Erläuterungen anfordern. Im Rahmen der Aufsichts- und Prüfungstätigkeiten der TCMB im Jahr 2025 Verwaltungsstrafen in Höhe von insgesamt 373.243.560,30 TL verhängt, 29 Institute verwarnt, die Betriebslizenzen von 14 Instituten vorübergehend ausgesetzt und die Betriebslizenzen von 7 Instituten widerrufen.

Diese Zahlen belegen, dass die Einhaltung regulatorischer Bestimmungen für Zahlungsinstitute nicht nur eine theoretische Verpflichtung darstellt.

Wie wird das Risikomanagement bei der Prüfung von Informationssystemen untersucht?

Zahlungsinstitute sind verpflichtet, regelmäßig Risikobewertungen ihrer Informationssysteme durchzuführen.

Dem Rundschreiben zufolge müssen Organisationen vor jeder wesentlichen Änderung ihrer Informationssysteme eine umfassende Risikobewertung ihrer Informationssysteme durchführen, und zwar mindestens einmal jährlich .

Ein Bericht, der die Risikobewertung und die für das Vorjahr zu ergreifenden Maßnahmen darlegt, bis Ende Januar eines jeden Jahres dem Verwaltungsrat und der Zentralbank der Türkei (TCMB) vorgelegt werden .

Zum Beispiel das Zahlungsinstitut;

• Veröffentlichung einer neuen mobilen Anwendung
• Verlagerung der Infrastruktur in die Cloud
• Einrichtung eines neuen API-Systems
• Wechsel des wichtigsten externen Dienstleisters
• Entwicklung neuer elektronischer Geld- oder Zahlungsprodukte

Dies könnte eine erneute Überprüfung der Risikobewertung der Informationssysteme erforderlich machen.

Bei einer Prüfung von Informationssystemen bewertet der Prüfer daher nicht nur die technischen Konfigurationen, sondern auch das System des Unternehmens zur Identifizierung, Bewertung und Berichterstattung von Risiken an den Vorstand sowie zur Ergreifung von Maßnahmen in diesem Bereich

Ist die Einrichtung eines Informationssicherheitsmanagementsystems zwingend erforderlich?

Ja.

Das Zahlungsinstitut muss einen Rahmen für das Informationssicherheitsmanagement und ein entsprechendes Informationssicherheitsmanagementsystem einrichten , um die Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationssysteme zu schützen

Das Informationssicherheitsmanagementsystem muss mindestens einmal jährlich überprüft und aktualisiert werden; Informationswerte müssen klassifiziert, Zugriffsrechte festgelegt, Vorfälle überwacht und Aufgaben und Verantwortlichkeiten im Zusammenhang mit der Informationssicherheit klar definiert werden.

Daher reicht es allein nicht aus, eine ISO-Zertifizierung zu erhalten oder ein Dokument mit einer "Informationssicherheitsrichtlinie" im Unternehmen zu haben.

Richtlinien müssen in realen Systemen umgesetzt werden.

Sind Penetrationstests für Zahlungsabwicklungsunternehmen verpflichtend?

Ja.

Gemäß einem Rundschreiben der türkischen Zentralbank (TCMB) müssen die Informationssysteme des Zahlungsinstituts mindestens einmal jährlich einem Penetrationstest unterzogen werden , der von Personen durchgeführt wird, die nicht mit Aufgaben im Bereich der Informationssicherheit betraut sind und über eine nationale oder internationale Zertifizierung im Bereich Penetrationstests verfügen . Dabei werden Szenarien verwendet, die interne und externe Bedrohungen abdecken.

Bei Penetrationstests geht es nicht nur darum, dass ein Softwareunternehmen einen Systemangriff simuliert.

Die in den Testergebnissen festgestellten Schwachstellen;

• Bestimmung von Wichtigkeitsstufen,
• Risikobewertung
• so schnell wie möglich gelöst werden und
• Anschließend sollte ein vom Vorstand genehmigter Aktionsplan folgen

ist notwendig.

Daher umfasst die Prüfung nur Folgendes:

Gibt es einen Penetrationstestbericht?

Die Frage wird nicht berücksichtigt.

Der wichtigste Punkt ist:

Wurden die im Penetrationstest gefundenen kritischen Sicherheitslücken behoben?

Das ist die Frage.

Sind Schwachstellenscans und Penetrationstests dasselbe?

NEIN.

Das CBRT-Rundschreiben sieht zwei separate Sicherheitsüberprüfungen vor.

Die Systemserver und Kommunikationsnetzwerke der Organisation sollten mindestens sechsmal jährlich auf Schwachstellen überprüft werden, sowohl vor der Inbetriebnahme als auch anschließend regelmäßig . Umgekehrt sollten umfassende Penetrationstests mindestens einmal jährlich durchgeführt werden.

Weil;

„Wir führen einmal jährlich einen Penetrationstest durch; weitere Sicherheitstests sind nicht erforderlich.“

Aus legislativer Sicht ist dieser Ansatz unzureichend.

Werden Sicherheitslücken der Zentralbank der Türkei (TCMB) gemeldet?

Die Organisation ist verpflichtet , der Zentralbank der Türkei (TCMB) mindestens einmal jährlich einen Bericht vorzulegen, in dem die aufgetretenen Sicherheitsverletzungen, die Ergebnisse von Penetrationstests und die identifizierten kritischen Schwachstellen sowie die zu deren Behebung ergriffenen Maßnahmen und deren Ergebnisse detailliert aufgeführt sind .

Darüber hinaus gibt es spezielle Bestimmungen, die die unverzügliche Meldung bedeutender Vorfälle im Zusammenhang mit Datenaustauschdiensten an die Zentralbank der Türkei (TCMB) vorschreiben.

Daher reicht es möglicherweise nicht aus, Informationssicherheitsvorfälle einfach im Jira-Protokoll des technischen Teams zu schließen.

Je nach Art des Vorfalls ist eine weitere Bewertung auf rechtlicher Ebene, im Bereich Compliance, bei der Informationssicherheit und auf Ebene des höheren Managements erforderlich.

Wie lange sollten Prüfprotokolle aufbewahrt werden?

Zahlungsinstitute sind verpflichtet, ein Prüfprotokollsystem einzurichten , das es ihnen ermöglicht, den physischen oder logischen Zugriff auf Kundeninformationen und Informationssysteme, unbefugte Zugriffsversuche sowie Transaktionen im Zusammenhang mit Zahlungsaktivitäten zu verfolgen .

Diese Prüfprotokolle müssen mindestens zehn Jahre lang in einem mit Zeitstempeln versehenen, redundanten und revisionssicheren Format gespeichert werden .

Prüfprotokolle;

• der Prozess
• Bearbeitungszeit
• der betreffende Benutzer,
• Personal,
• das aufgerufene System,
• IP- und Portinformationen,
• Änderungen vorgenommen

Je nach Art der Transaktion sollte eine anschließende Überwachung möglich sein.

Diese Aufzeichnungen können nicht nur für die behördliche Aufsicht, sondern auch bei Kundenstreitigkeiten und unautorisierten Zahlungstransaktionen von großer Bedeutung sein.

Zum Beispiel der Kunde;

„Ich habe diese Geldüberweisung nicht getätigt.“

In diesem Fall muss möglicherweise ermittelt werden, von welchem ​​Gerät, von welcher IP-Adresse, mit welcher Authentifizierungsmethode und zu welchem ​​Zeitpunkt die Transaktion durchgeführt wurde.

Gehört Business Continuity auch zur Prüfung von Informationssystemen?

Ja.

dessen Wirksamkeit zu überprüfen .

Gemäß der Richtlinie sollte der Test in der Regel auch die Gewährleistung eines reibungslosen Tagesbetriebs über ein Ausweichzentrum umfassen. Vertreter, Niederlassungen, andere mit den Informationssystemen verbundene Organisationen sowie externe Dienstleister sollten ebenfalls in die Testpläne einbezogen werden.

Daher das Unternehmen;

„Wir haben ein Backup-System für den Fall einer Katastrophe.“

Das allein reicht nicht aus.

Das Backup-System muss getestet werden, um zu sehen, ob es tatsächlich funktioniert.

Wenn beispielsweise das Hauptrechenzentrum offline geht, ist auch das Zahlungsinstitut betroffen;

• Die Möglichkeit der Nutzer, auf ihre Konten zuzugreifen
• um die Zahlungsabwicklung fortsetzen zu können,
• um den Verlust von Kundendaten zu verhindern,
• damit die operativen Teams weiterarbeiten können

wird erwartet.

Sollte der Cyber-Notfallplan getestet werden?

Ja.

Die Richtlinie schreibt vor, dass die Pläne zur Reaktion auf Cybervorfälle regelmäßig, mindestens einmal jährlich , getestet und die Testergebnisse dem Vorstand mitgeteilt werden müssen.

Daher ist das Management von Cybervorfällen mit der Erstellung dieses Dokuments nicht abgeschlossen:

„Was werden wir tun, wenn es zu einem Cyberangriff kommt?“

Der Plan muss entweder in der Entwurfsphase oder anhand technischer Szenarien getestet werden.

Zum Beispiel;

Ransomware-Angriffe, Datenlecks in Kundendatenbanken, Diebstahl von API-Schlüsseln oder die Unbrauchbarkeit einer Zahlungsanwendung

Solche Szenarien können auch im Hinblick auf das Geschäftsmodell der Organisation bewertet werden.

Können auch externe Dienstleister in die Prüfung von Informationssystemen einbezogen werden?

Ja.

Ein erheblicher Teil der Informationssysteme eines Zahlungsinstituts kann auf Dienstleistungen von Drittanbietern angewiesen sein.

Zum Beispiel;

• Cloud-Anbieter
• Rechenzentrum
• Softwareunternehmen
• Cybersicherheitsunternehmen
• KYC-Anbieter
• Betrugsinfrastruktur

Sie können entscheidende Bestandteile der Informationssysteme einer Organisation sein.

Laut Mitteilung berücksichtigt die unabhängige Wirtschaftsprüfungsgesellschaft die Auswirkungen externer Dienstleistungen auf Informationssysteme und plant , falls erforderlich, die Prüfung auch auf externe Dienstleister auszuweiten

Darüber hinaus müssen externe Dienstleistungsverträge Bestimmungen enthalten, die die Prüfung einer Tätigkeit durch den Anbieter ermöglichen, ohne deren Umfang einzuschränken, selbst wenn diese Tätigkeit im Falle einer internen Prüfung einer unabhängigen Prüfung unterliegen würde. Vertragliche Bestimmungen, die es der Zentralbank der Republik Türkei (TCMB), der Organisation und der unabhängigen Wirtschaftsprüfungsgesellschaft ermöglichen, die erforderlichen Informationen und Dokumente vom externen Dienstleister anzufordern, sind ebenfalls obligatorisch.

Daher umfasst der externe Dienstleistungsvertrag des Zahlungsinstituts Folgendes:

„Die Systeme des Lieferanten können von keinem Dritten geprüft werden.“

Die Einführung einer derart absoluten Bestimmung könnte ernsthafte regulatorische Probleme verursachen.

Werden Cloud-Dienste im Rahmen von IT-Systemprüfungen geprüft?

Ja.

Wenn die kritischen Systeme eines Zahlungsinstituts in einer privaten oder gemeinschaftlichen Cloud betrieben werden, kann die Cloud-Infrastruktur auch für unabhängige Prüfungszwecke bewertet werden.

Die türkische Zentralbank (TCMB) überwacht auch Community-Cloud-Anbieter und Organisationen, die diese Dienste nutzen und ab 2025 die entsprechende Zulassung erhalten haben; im Jahr 2025 genehmigte sie neun weitere Zahlungs- und E-Geld-Institutionen für die Nutzung der Community-Cloud.

Daher beseitigt die Nutzung von Cloud-Computing nicht den Umfang der Aufsicht.

Im Gegenteil;

Cloud-Architektur + Datenstandort + Zugriffsberechtigungen + Subunternehmer + Datensicherung + Geschäftskontinuität

Dies kann zu einem der zentralen Themen bei der Wirtschaftsprüfung werden.

Welche Rolle spielt der Verwaltungsrat bei der Prüfung von Informationssystemen?

Das Rundschreiben überlässt die Verantwortung für die Verwaltung von Informationssystemen nicht allein dem IT-Manager.

Der Vorstand ist dafür verantwortlich, dass das Management der Informationssysteme in Übereinstimmung mit den gesetzlichen Bestimmungen durchgeführt wird .

Darüber hinaus;

• Richtlinien für Informationssysteme
• Klassifizierung von Informationsressourcen
• einige Sicherheitsmaßnahmenpläne
• Managementerklärung
• Risikobewertungen

Dies wird auf Managementebene behandelt.

Daher der Vorstand;

„Wir kennen uns mit den technischen Details nicht aus; dafür ist die IT-Abteilung zuständig.“

Dieser Ansatz ist aus der Sicht der Zahlungsinstitute unzureichend.

Obwohl vom Vorstand nicht erwartet wird, dass er jedes technische Detail kennt, sollte ein Corporate-Governance-Mechanismus eingerichtet werden, der in der Lage ist, wesentliche Risiken, die von Informationssystemen ausgehen, zu verstehen und zu hinterfragen und die Zuweisung der notwendigen Ressourcen sicherzustellen.

Häufigste Risikobereiche bei der Prüfung von Informationssystemen

Für Zahlungsinstitute ist die Überprüfung der folgenden Bereiche vor einer Prüfung besonders wichtig:

1. Veraltete Informationssicherheitsrichtlinien
2. Übermäßig weit gefasste Zugriffsrechte
3. Die Systemberechtigungen ehemaliger Mitarbeiter werden nicht entzogen
4. Nutzung gemeinsam genutzter Benutzerkonten in kritischen Systemen
5. Mangelnde Dokumentation des Prüfprozesses
6. Versäumnis, Protokollaufzeichnungen für den erforderlichen Zeitraum aufzubewahren
7. Fehlende regelmäßige Schwachstellenscans
8. Versäumnis, jährliche Penetrationstests durchzuführen
9. Die Ergebnisse von Penetrationstests wurden über einen längeren Zeitraum nicht veröffentlicht
10. Der Notfallplan wurde noch nicht getestet
11. Unzureichende Überwachung externer Dienstleister
12. Die Cloud-Infrastruktur ist nicht vorschriftsgemäß konfiguriert
13. Versäumnis, Risikobewertungsberichte rechtzeitig an den Vorstand und die Zentralbank der Türkei zu übermitteln
14. Die Aussage des Managements wird nicht durch Fakten gestützt
15. Unzureichende Dokumentation kritischer Sicherheitsvorfälle.

Ein wesentlicher Teil dieser Risikobereiche steht in direktem Zusammenhang mit den im Kommuniqué enthaltenen Bestimmungen zu jährlichen Kontrollen, Penetrationstests, Risikomanagement, externen Dienstleistungen und Prüfprotokollen.

Reicht es aus, das System kurz vor dem Audit zu reparieren?

Die Logik hinter Audits von Informationssystemen besteht nicht einfach darin, zu überprüfen, ob das System am Auditstichtag funktionierte.

Der Abschlussprüfer kann beurteilen, ob die Kontrollen im relevanten Zeitraum tatsächlich funktionierten.

Zum Beispiel Politik;

„Alle Zugriffsberechtigungen werden jährlich überprüft.“

Allerdings reicht es möglicherweise nicht in allen Fällen aus, lediglich eine Woche vor einem Audit alle Berechtigungen zusammenfassend zu prüfen, um nachzuweisen, dass das System das ganze Jahr über vorschriftsgemäß betrieben wurde.

Tatsächlich legt das Kommuniqué fest, dass Informationssicherheitsmanagement, Risikobewertungen, Zugriffsrechte, externe Dienste und Notfallpläne regelmäßig überwacht und dokumentiert werden müssen .

Daher sollten Zahlungsinstitute einen Ansatz der Auditbereitschaft verfolgen – eine kontinuierliche Bereitschaft für Audits .

Wie bereitet man sich auf ein IT-Systemaudit vor?

Es wäre für das Zahlungsinstitut von Vorteil, vor Beginn der unabhängigen Prüfung mindestens die folgende Struktur einzurichten:

1. Das Inventar der Informationssysteme wird aktualisiert.
2. Informationsbestände werden klassifiziert.
3. Die Berechtigungen von Benutzern und privilegierten Konten werden überprüft.
4. Die jährliche Risikobewertung ist abgeschlossen.
5. Schwachstellenscans und Penetrationstests werden durchgeführt.
6. Für alle kritischen Sicherheitsbefunde, die weiterhin ungelöst bleiben, wird ein Aktionsplan erstellt.
7. Die Prüfprotokolle und das Protokollierungssystem werden getestet.
8. Es werden Aufzeichnungen über die Geschäftskontinuität und die Tests der Sekundärzentren erstellt.
9. Verträge mit externen Dienstleistern und deren Prüfungsrechte werden überprüft.
10. Aufzeichnungen über Cybervorfälle und Datenschutzverletzungen werden überprüft.
11. Die Beschlüsse und Berichte des Vorstands werden finalisiert.
12. Es werden Beweismittelakten erstellt, die als Grundlage für die Managementerklärung dienen.

Diese Vorbereitung sollte möglichst während der gesamten Tätigkeitsperiode erfolgen, nicht erst einige Wochen vor der Inspektion.

Ist die Prüfung von Informationssystemen auch im Lizenzierungsprozess wichtig?

Ja.

Informationssysteme sind kein Gebiet, das erst nach dem Erwerb einer Lizenz an Bedeutung gewinnt.

Die Antragsunterlagen der türkischen Zentralbank (TCMB) für die Betriebserlaubnis verlangen eine unabhängige Bewertung der Informationssysteme, der Betriebskontinuität, der Informationssicherheit und der Vertraulichkeitsmaßnahmen des Unternehmens. Die aktuellen Anhänge zur Betriebserlaubnis enthalten Anforderungen, wonach Sachverhalte im Zusammenhang mit Informationssystemen von autorisierten, unabhängigen Wirtschaftsprüfungsgesellschaften geprüft werden müssen.

Investoren, die Zahlungsinstitute gründen wollen, sollten daher Folgendes beachten:

„Zuerst holen wir uns die Lizenz der türkischen Zentralbank, die Informationssysteme können wir später fertigstellen.“

Ein solches Verhalten ist nicht korrekt.

Die technische Architektur muss vor der endgültigen Genehmigungsphase des Lizenzantrags ein überprüfbares Niveau erreichen.

Können Verstöße gegen die Informationssystemvorschriften Auswirkungen auf eine Betriebserlaubnis haben?

Ja.

Das Versäumnis von Zahlungsinstituten, die Vorschriften der türkischen Zentralbank einzuhalten, wird nicht lediglich als technischer Mangel betrachtet.

Gemäß Gesetz Nr. 6493 können Verstöße gegen Gesetze und behördliche Entscheidungen administrative Sanktionen nach sich ziehen. Die Prüfergebnisse der türkischen Zentralbank (TCMB) für das Jahr 2025 zeigen, dass neben Bußgeldern auch schwerwiegende Konsequenzen wie die vorübergehende Aussetzung und der Entzug von Betriebsgenehmigungen verhängt werden können.

Allerdings ist es nicht korrekt zu sagen, dass jede Feststellung in Bezug auf Informationssysteme automatisch zum Lizenzentzug führt.

Bei der Festlegung der Sanktionen werden Art, Schwere und Dauer des Verstoßes sowie die einschlägigen Rechtsvorschriften berücksichtigt.

Wird es jedoch versäumt, kritische Informationssicherheitslücken systematisch anzugehen, kann dies die Einhaltung gesetzlicher Bestimmungen und die operative Sicherheit einer Organisation insgesamt ernsthaft beeinträchtigen.

Häufig gestellte Fragen

Ist die unabhängige Prüfung von Informationssystemen in Zahlungsinstituten obligatorisch?

Ja. Das Rundschreiben der türkischen Zentralbank schreibt vor, dass die Informationssysteme von Zahlungs- und E-Geld-Institutionen von autorisierten unabhängigen Wirtschaftsprüfungsgesellschaften geprüft werden müssen.

Wie häufig werden Audits von Informationssystemen durchgeführt?

In der Regel alle zwei Jahre . Die türkische Zentralbank kann Umfang und Häufigkeit der Prüfung bei Bedarf anpassen.

Wann wird das neue Zahlungsinstitut seiner ersten Prüfung unterzogen?

Die erste unabhängige Prüfung der Informationssysteme wird für das Jahr nach dem Jahr durchgeführt, in dem die Betriebserlaubnis erteilt wurde.

Wann wird der unabhängige Prüfbericht über die Informationssysteme der Zentralbank der Türkei (TCMB) vorgelegt?

Der Bericht muss bis Ende Februar des auf den Prüfungszeitraum folgenden Jahres an die Zentralbank der Türkei (TCMB) weitergeleitet werden

Wie häufig werden Penetrationstests bei Zahlungsabwicklungseinrichtungen durchgeführt?

Informationssysteme mindestens einmal einem regelmäßigen Penetrationstest unterzogen werden

Wie oft wird ein Schwachstellenscan durchgeführt?

Die mit dem System verbundenen Server und Kommunikationsnetzwerke mindestens sechsmal jährlich auf Schwachstellen überprüft werden

Muss der Notfallplan getestet werden?

Ja. Die Wirksamkeit des Notfallplans für Informationssysteme mindestens einmal jährlich überprüft werden

Wie viele Jahre lang werden die Protokolle aufbewahrt?

Die in diesem Rundschreiben behandelten Prüfprotokolle müssen mindestens zehn Jahre .

Können die Informationssysteme eines externen Dienstleisters einer Prüfung unterzogen werden?

Ja. Die unabhängige Wirtschaftsprüfungsgesellschaft kann den Umfang der Prüfung auf externe Dienstleister ausdehnen, wenn sie dies unter Berücksichtigung der Auswirkungen externer Dienstleistungen auf die Informationssysteme der Organisation für notwendig erachtet.

Ist der Vorstand für die Informationssysteme verantwortlich?

Ja. Die Richtlinie verpflichtet den Vorstand der Organisation, sicherzustellen, dass das Management der Informationssysteme im Einklang mit den gesetzlichen Bestimmungen erfolgt.

Fazit: Die Prüfung von Informationssystemen ist ein kontinuierlicher Compliance-Prozess für Zahlungsinstitute

Die Prüfung von Informationssystemen in Zahlungsinstituten stellt ein viel umfassenderes System dar als nur die alle zwei Jahre stattfindende unabhängige Prüfung.

Gemäß den aktuellen Bestimmungen der türkischen Zentralbank ist die Institution;

Das Unternehmen ist verpflichtet, die Risiken seiner Informationssysteme zu bewerten, ein Informationssicherheitsmanagementsystem einzurichten, Zugriffsrechte zu kontrollieren, mindestens sechsmal jährlich Schwachstellenscans durchzuführen, mindestens einmal jährlich Penetrationstests durchzuführen, seinen Notfallplan zu testen, Prüfprotokolle mindestens zehn Jahre lang aufzubewahren und in der Regel alle zwei Jahre eine unabhängige Prüfung seiner Informationssysteme durchführen zu lassen .

Darüber hinaus ist es während der Prüfungszeiträume zwingend erforderlich, eine vom Verwaltungsrat und dem Geschäftsführer genehmigte Managementerklärung zu erstellen und den unabhängigen Prüfungsbericht bis Ende Februar des Folgejahres bei der Zentralbank der Türkei (TCMB) einzureichen.

Daher ist es für Zahlungsinstitute unzutreffend, die Einhaltung der Informationssysteme als ausschließliche technische Verantwortung der IT-Abteilung anzusehen.

Ein gesundes System;

Vorstand + Informationstechnologie + Informationssicherheit + Interne Kontrolle + Risikomanagement + Recht/Compliance + Externe Dienstleister

Es erfordert eine Abstimmung zwischen ihnen.

Insbesondere bei neu gegründeten Zahlungs- oder E-Geld-Institutionen muss die Informationssystemarchitektur von Anfang an gemäß den Vorschriften der türkischen Zentralbank gestaltet werden, Protokollierungs- und Nachweisgenerierungsmechanismen müssen eingerichtet werden, bevor sie in Betrieb genommen werden, und ein System zur Vorbereitung auf kontinuierliche Prüfungen muss geschaffen werden, bevor unabhängige Prüfungen beginnen.

Dieser Ansatz erleichtert nicht nur das Erreichen eines positiven Prüfungsberichts, sondern ist auch wichtig für den Schutz der Betriebserlaubnis des Zahlungsinstituts, die Gewährleistung der Kundensicherheit und die Minderung regulatorischer Risiken, die unter der Aufsicht der Zentralbank der Republik Türkei (TCMB) auftreten können. Die Entscheidung der TCMB, das OKDS-System im Jahr 2025 zur Überwachung der aufsichtsrechtlichen Berichterstattung, einschließlich unabhängiger Prüfberichte für Informationssysteme, einzuführen und im selben Jahr eine erhebliche Anzahl von Verwaltungs- und Lizenzierungssanktionen zu verhängen, zeigt, dass die Einhaltung der Vorschriften für Informationssysteme zu einem immer zentraleren Prüfungsbereich für den Sektor wird.