230. Компетентните органи следва да развият задълбочено разбиране на рамката за управление на риска …

Компетентните органи следва да развият задълбочено разбиране на рамката за управление на риска в областта на ИКТ на институцията и да оценят дали институцията има въведени достатъчни и подходящи стратегии, политики, процедури, протоколи и инструменти в областта на ИКТ, включително нива на толерантност, за ефективно, ефикасно и цялостно справяне със съществения риск в областта на ИКТ в съответствие с DORA. За тази цел компетентните органи следва да вземат предвид, когато е приложимо:

• а. целесъобразността и ефективността на политиките³⁶ , процесите и процедурите на институцията за управление на рисковете в областта на ИКТ, които обхващат, наред с другото, управлението на трети страни доставчици на услуги в областта на ИКТ, откриването на инциденти, свързани с ИКТ, и реагирането при такива, управлението на оценките в областта на ИКТ, криптирането и криптографията, сигурността на ИКТ операциите, мрежовата сигурност, контрола на достъпа, както и дали те са одобрени от ръководния орган и съобщени на всички заинтересовани страни (съгласно член 14 от DORA);
• б. целесъобразност на нивото на толерантност към риска в областта на ИКТ на институцията и допустимата степен на въздействие при смущения на ИКТ (съгласно член 6, параграф 8, буква б) от Регламента DORA);
• в. целесъобразността и изпълнението на стратегията за оперативната устойчивост на цифровите технологии на институцията, включително привеждането ѝ в съответствие с бизнес стратегията;
• г. съгласуваността на стратегията относно риска в областта на ИКТ, пораждан от трети страни, включително стратегията за работа с множество доставчици на ИКТ, когато такава съществува, с общата бизнес стратегия и рамката за управление на рисковете в областта на ИКТ;
• д. остатъчния риск от идентифицираните рискове за институцията по отношение на договорните споразумения за използването на ИКТ услуги, подпомагащи критични или важни функции;
• е. остатъчния риск, произтичащ от идентифицираните от институцията рискове, свързани с ИКТ проекти, които оказват влияние върху критични или важни функции, за които се докладва на ръководния орган, както и от придобиването, разработването и поддръжката на ИКТ системи и от промените в областта ИКТ;
• ж. надеждността и изчерпателността на програмата за тестване на оперативната устойчивост на цифровите технологии;
• з. тенденцията и мащаба на основните инциденти и констатации в областта на ИКТ, докладвани на ръководния орган съгласно член 17, параграф 3, буква д) и член 13, параграф 5 от DORA;
• и. механизмите за контрол на риска в областта на ИКТ, специфични за идентифицирания съществен риск в областта на ИКТ;
• й. своевременно отчитане на аспектите на управлението на риска в областта на ИКТ пред ръководния орган и висшето ръководство;
• к. обхвата и констатациите на вътрешния одит.

³⁶ В съответствие с DORA те трябва да включват най - малко политиката за информационна сигурност, политиките за съхраняване на резервни копия на данните, политиката за управление на ИКТ активите, политиката за криптиране и криптографски контролни мерки, политиката за управление на криптографските ключове, политиката за управление на ИКТ проекти, политиката за придобиване, разработване и поддръжка на ИКТ системи, политиката за човешките ресурси, политиката за физическа и екологична сигурност, политиката за управление на инциденти, свързани с ИКТ, както и политиката за използването на ИКТ услуги, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ.

1. Преглед

1.1 Препратки

• Член 14 Комуникация
• Article 13 5

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.