39. При прегледа на рисковия профил на институцията в областта на ИКТ компетентните органи следва …

При прегледа на рисковия профил на институцията в областта на ИКТ компетентните органи следва да разгледат цялата относима информация относно рисковите експозиции на институцията по отношение на рисковете за ИКТ, включително информацията по параграф 37, и установените съществени недостатъци или слабости в организацията на ИКТ и механизмите за контрол на цялата институция съгласно дял 2 от настоящите насоки, и когато е уместно, преразглеждане на тази информация по пропорционален начин. Като част от този преглед компетентните органи следва да разгледат:

• а) потенциалното въздействие на значително прекъсване на ИКТ системите на институцията върху финансовата система на национално или международно равнище;
• б) дали институцията може да бъде обект на рискове за сигурността на ИКТ или на рискове за достъпа и непрекъсваемостта на ИКТ, дължащи се на зависимостта от интернет, приемане на новаторски ИКТ решения или други бизнес канали за дистрибуция, които биха могли да я направят по - вероятна цел за кибератаки;
• в) дали институцията може да бъде в изложена в по - голяма степен на рискове за сигурността на ИКТ, рискове за достъпа и непрекъсваемостта на ИКТ, рискове за целостта на ИКТ данните или рискове от промени в ИКТ поради сложността (напр. в резултат на сливания или придобивания) или моралното остаряване на нейните ИКТ системи;
• г) дали институцията осъществява съществени промени в своите ИКТ системи и/или ИКТ функции (напр. в резултат на сливания, придобивания, продажби или замяна на основните си ИКТ системи), което може да окаже неблагоприятно въздействие върху стабилността или правилното функциониране на ИКТ системите и може да доведе до съществени рискове за достъпа и непрекъсваемостта на ИКТ, рискове за сигурността на ИКТ, рискове от промяна на ИКТ или рискове за целостта на ИКТ данните;
• д) дали институцията е изнесла дейности, свързани с нейните ИКТ услуги или ИКТ системи в рамките на групата или извън нея, които могат да я изложат на съществени рискове, свързани с изнесените дейности в областта на ИКТ;
• е) дали институцията прилага агресивни мерки за намаляване на разходите за ИКТ, които могат да доведат до намаляване на необходимите инвестиции в ИКТ, ресурси и експертни познания в областта на информационните технологии и могат да увеличат експозицията на всички видове рискове за ИКТ в таксономията;
• ж) дали местоположението на важни ИКТ операции/центрове за данни (напр. региони, страни) може да изложи институцията на природни бедствия (напр. наводнения, земетресения), политическа нестабилност или трудово - правни конфликти и граждански вълнения, които могат да доведат до съществено увеличение на рисковете за достъпа и непрекъсваемостта на ИКТ и рисковете за сигурността на ИКТ.

3.2.2 Преглед на критичните ИКТ системи и услуги

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.