39. При прегледа на рисковия профил на институцията в областта на ИКТ компетентните органи следва …

При прегледа на рисковия профил на институцията в областта на ИКТ компетентните органи следва да разгледат цялата относима информация относно рисковите експозиции на институцията по отношение на рисковете за ИКТ, включително информацията по параграф 37, и установените съществени недостатъци или слабости в организацията на ИКТ и механизмите за контрол на цялата институция съгласно дял 2 от настоящите насоки, и когато е уместно, преразглеждане на тази информация по пропорционален начин. Като част от този преглед компетентните органи следва да разгледат:

• а) потенциалното въздействие на значително прекъсване на ИКТ системите на институцията върху финансовата система на национално или международно равнище;
• б) дали институцията може да бъде обект на рискове за сигурността на ИКТ или на рискове за достъпа и непрекъсваемостта на ИКТ, дължащи се на зависимостта от интернет, приемане на новаторски ИКТ решения или други бизнес канали за дистрибуция, които биха могли да я направят по - вероятна цел за кибератаки;
• в) дали институцията може да бъде в изложена в по - голяма степен на рискове за сигурността на ИКТ, рискове за достъпа и непрекъсваемостта на ИКТ, рискове за целостта на ИКТ данните или рискове от промени в ИКТ поради сложността (напр. в резултат на сливания или придобивания) или моралното остаряване на нейните ИКТ системи;
• г) дали институцията осъществява съществени промени в своите ИКТ системи и/или ИКТ функции (напр. в резултат на сливания, придобивания, продажби или замяна на основните си ИКТ системи), което може да окаже неблагоприятно въздействие върху стабилността или правилното функциониране на ИКТ системите и може да доведе до съществени рискове за достъпа и непрекъсваемостта на ИКТ, рискове за сигурността на ИКТ, рискове от промяна на ИКТ или рискове за целостта на ИКТ данните;
• д) дали институцията е изнесла дейности, свързани с нейните ИКТ услуги или ИКТ системи в рамките на групата или извън нея, които могат да я изложат на съществени рискове, свързани с изнесените дейности в областта на ИКТ;
• е) дали институцията прилага агресивни мерки за намаляване на разходите за ИКТ, които могат да доведат до намаляване на необходимите инвестиции в ИКТ, ресурси и експертни познания в областта на информационните технологии и могат да увеличат експозицията на всички видове рискове за ИКТ в таксономията;
• ж) дали местоположението на важни ИКТ операции/центрове за данни (напр. региони, страни) може да изложи институцията на природни бедствия (напр. наводнения, земетресения), политическа нестабилност или трудово - правни конфликти и граждански вълнения, които могат да доведат до съществено увеличение на рисковете за достъпа и непрекъсваемостта на ИКТ и рисковете за сигурността на ИКТ.

3.2.2 Преглед на критичните ИКТ системи и услуги

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/