39. Při přezkoumání rizikového profilu IKT instituce by příslušné orgány měly zvážit veškeré …

Při přezkoumání rizikového profilu IKT instituce by příslušné orgány měly zvážit veškeré relevantní informace o expozici instituce rizikům IKT, včetně informací uvedených v odstavci 37 a zjištěných podstatných nedostatků a slabin v organizaci IKT i kontrolních mechanismech celé instituce podle hlavy 2 těchto obecných pokynů, a ve vhodných případech by tyto informace měly přiměřeně přezkoumat. V rámci přezkoumání by příslušné orgány měly vzít v úvahu:

• a. možný dopad významného narušení systémů IKT instituce na celý finanční systém na tuzemské i mezinárodní úrovni;
• b. zda může být instituce kvůli závislosti na internetu, rozsáhlému přijímání inovativních řešení v oblasti IKT nebo jiným firemním distribučním kanálům, díky nimž se pravděpodobněji stane cílem kybernetických útoků, vystavena rizikům souvisejícím se zabezpečením nebo dostupností a kontinuitou IKT;
• c. zda nemůže být instituce více vystavena rizikům souvisejícím se zabezpečením IKT, dostupností a kontinuitou IKT, integritou dat IKT nebo se změnou IKT kvůli složitosti (např. při fúzích a akvizicích) nebo zastaralosti svých systémů IKT;
• d. zda instituce provádí podstatné změny svých systémů IKT a/nebo funkcí IKT (např. při fúzích, akvizicí ch, divesticích nebo výměně klíčových systémů IKT), které by mohly nepříznivě ovlivnit stabilitu nebo řádné fungování systémů IKT a mohly by vyvolat podstatné riziko, pokud jde
• o dostupnost, kontinuitu, zabezpečení nebo změnu IKT nebo integritu dat IKT;
• e. zd a instituce zajišťuje služby nebo systémy IKT externě, v rámci skupiny nebo mimo ni, což může instituci vystavit podstatným rizikům spojeným s externím zajištěním IKT;
• f. zda instituce provádí opatření, která agresivně snižují náklady na IKT, což může vést k omezení potřebných investic do IKT, prostředků a informačních kompetencí a zvýšit expozici všem druhům rizik IKT v klasifikaci;
• g. zda umístění důležitých provozních / datových center IKT (např. regiony, země) může instituci vystavit přírodním katastrofám (např. záplavám, zemětřesením), politické nestabilitě nebo pracovním konfliktům a občanským nepokojům, což může vést k podstatnému zvýšení rizik týkajících se dostupnosti, kontinuity a zabezpečení IKT.

3.2.2 Přezkoumání kritických systémů a služeb IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.