3.2 Идентифициране на съществени рискове за ИКТ

Компетентните органи следва да идентифицират съществените рискове за ИКТ, на които институцията е или би могла да бъде изложена, като следват стъпките по - долу. 3.2.1 Преглед на рисковия профил на ИКТ в институцията

При прегледа на рисковия профил на институцията в областта на ИКТ компетентните органи следва да разгледат цялата относима информация относно рисковите експозиции на институцията по отношение на рисковете за ИКТ, включително информацията по параграф 37, и установените съществени недостатъци или слабости в организацията на ИКТ и механизмите за контрол на цялата институция съгласно дял 2 от настоящите насоки, и когато е уместно, преразглеждане на тази информация по пропорционален начин. Като част от този преглед компетентните органи следва да разгледат:

• а) потенциалното въздействие на значително прекъсване на ИКТ системите на институцията върху финансовата система на национално или международно равнище;
• б) дали институцията може да бъде обект на рискове за сигурността на ИКТ или на рискове за достъпа и непрекъсваемостта на ИКТ, дължащи се на зависимостта от интернет, приемане на новаторски ИКТ решения или други бизнес канали за дистрибуция, които биха могли да я направят по - вероятна цел за кибератаки;
• в) дали институцията може да бъде в изложена в по - голяма степен на рискове за сигурността на ИКТ, рискове за достъпа и непрекъсваемостта на ИКТ, рискове за целостта на ИКТ данните или рискове от промени в ИКТ поради сложността (напр. в резултат на сливания или придобивания) или моралното остаряване на нейните ИКТ системи;
• г) дали институцията осъществява съществени промени в своите ИКТ системи и/или ИКТ функции (напр. в резултат на сливания, придобивания, продажби или замяна на основните си ИКТ системи), което може да окаже неблагоприятно въздействие върху стабилността или правилното функциониране на ИКТ системите и може да доведе до съществени рискове за достъпа и непрекъсваемостта на ИКТ, рискове за сигурността на ИКТ, рискове от промяна на ИКТ или рискове за целостта на ИКТ данните;
• д) дали институцията е изнесла дейности, свързани с нейните ИКТ услуги или ИКТ системи в рамките на групата или извън нея, които могат да я изложат на съществени рискове, свързани с изнесените дейности в областта на ИКТ;
• е) дали институцията прилага агресивни мерки за намаляване на разходите за ИКТ, които могат да доведат до намаляване на необходимите инвестиции в ИКТ, ресурси и експертни познания в областта на информационните технологии и могат да увеличат експозицията на всички видове рискове за ИКТ в таксономията;
• ж) дали местоположението на важни ИКТ операции/центрове за данни (напр. региони, страни) може да изложи институцията на природни бедствия (напр. наводнения, земетресения), политическа нестабилност или трудово - правни конфликти и граждански вълнения, които могат да доведат до съществено увеличение на рисковете за достъпа и непрекъсваемостта на ИКТ и рисковете за сигурността на ИКТ.

3.2.2 Преглед на критичните ИКТ системи и услуги

Като част от процеса за идентифициране на рисковете за ИКТ с потенциално значимо пруденциално въздействие върху институцията, компетентните органи следва да преразгледат документацията от институцията и да формулират становище относно това кои ИКТ системи и услуги са от решаващо значение за адекватното функциониране, достъп, непрекъсваемост и сигурност на основните дейности на институцията.

За тази цел компетентните органи следва да преразгледат методологията и процесите, прилагани от институцията за идентифициране на критичните ИКТ системи и услуги, като се има предвид, че някои ИКТ системи и услуги може да се считат за критични от институцията от гледна точка на непрекъсваемост на дейността и достъпа, сигурността (напр. предотвратяване на измами) и/или поверителността (напр. поверителни данни). При извършването на прегледа компетентните органи следва да вземат предвид, че критичните ИКТ системи и услуги трябва да изпълняват поне едно от следните условия:

• а) те поддържат основните бизнес дейности и канали за разпространение (напр. банкомати, интернет и мобилно банкиране) на институцията;
• б) те поддържат съществени управленски процеси и корпоративни функции, включително управление на риска (напр. системи за управление на риска и системи за управление на касовите наличности);
• в) към тях се прилагат към специални правни или регулаторни изисквания (ако има такива), които налагат повишени изисквания за достъп, устойчивост, поверителност или сигурност (напр. законодателство за защита на данните или възможни „цели за времето на възстановяване“ (RTO, максималният срок, в който трябва да бъде възстановена дадена система или процес след инцидент) и „Цел за момент на възстановяване“ (RPO, максималният период, през който данните могат да бъдат загубени в случай на инцидент) за някои системно важни услуги (ако и когато е приложимо);
• г) те обработват или съхраняват поверителни или чувствителни данни, неразрешеният достъп до които може значително да повлияе на репутацията на институцията, финансовите резултати или стабилността и непрекъсваемостта на нейната дейност (напр. бази данни с чувствителна информация за клиентите); и/или
• д) те предоставят базисни функционалности, които са жизненоважни за адекватното функциониране на институцията (напр. телекомуникационни услуги и услуги за свързване, услуги за сигурност на ИКТ и кибернетична сигурност).

3.2.3 Идентифициране на съществените рискове за ИКТ за критичните ИКТ системи и услуги

Като се вземат предвид извършените проверки на рисковия профил на ИКТ на институцията и критичните ИКТ системи и услуги, посочени по - горе, компетентните органи следва да изготвят становище за съществените рискове за ИКТ, които според тяхната надзорна преценка могат да окажат значително пруденциално въздействие върху критичните ИКТ системи и услуги на институцията.

Когато оценяват потенциалното въздействие на рисковете за ИКТ върху критичните ИКТ системи и услуги на дадена институция, компетентните органи следва да разгледат:

• а) финансовото въздействие, включително (но не само) загуба на средства или активи, потенциални компенсации за клиентите, правни разходи и разходи за възстановяване, договорни щети, загубени приходи;
• б) възможността за прекъсване на дейността, като се има предвид (но не само) критичността на засегнатите финансови услуги; броят на потенциално засегнатите клиенти и/или клонове и служители;
• в) потенциалното въздействие върху репутацията на институцията въз основа на критичността на засегнатите банкови услуги или оперативна дейност (напр. кражба на данни за клиентите); външния профил/видимост на засегнатите ИКТ системи и услуги (напр. мобилни или онлайн банкови системи, пунктове за продажба, банкомати или платежни системи);
• г) регулаторното въздействие, включително възможността за публична критика от страна на регулатора, глоби или дори промяна на разрешенията;
• д) стратегическото въздействие върху институцията, например ако стратегическият продукт или бизнес план са компрометирани или откраднати.

След това компетентните органи следва да съотнесат идентифицираните рискове за ИКТ, които се считат за съществени, към посочените по - долу категории ИКТ рискове, за които в приложението са дадени допълнителни описания и примери за съответните рискове. Компетентните органи следва да вземат предвид рисковете за ИКТ в приложението като част от оценката по дял 3:

• а) риск за достъпа и непрекъсваемост на ИКТ;
• б) риск за сигурността на ИКТ;
• в) риск от промени в ИКТ;
• г) риск за целостта на ИКТ данните;
• д) риск от изнасяне на дейности, свързани с ИКТ.

Съотнасянето има за цел да подпомогне компетентните органи при определянето на рисковете, които са съществени (ако има такива) и следователно трябва да бъдат предмет на по - тесен и/или по - задълбочен преглед на посочените нататък в документа стъпки за оценка.