214. V souladu s nařízením DORA by příslušné orgány měly provést přezkum toho, jak daná instituce …

V souladu s nařízením DORA by příslušné orgány měly provést přezkum toho, jak daná instituce identifikuje, klasifikuje a dokumentuje všechny obchodní funkce podporované informačními a komunikačními technologiemi, role a odpovědnosti, informační aktiva³⁴ a aktiva v oblasti IKT³⁵ , která tyto funkce podporují, a jejich úlohy a vzájemné závislosti ve vztahu k riziku v oblasti IKT. Toto hodnocení by mělo příslušným orgánům pomoci získat důkladný přehled

• o expozici instituce vůči inherentnímu riziku v oblasti IKT (profil rizik v oblas ti IKT), identifikovat významné inherentní riziko v oblasti IKT a vytvořit si názor na jeho obezřetnostní dopad. Za tímto účelem by příslušné orgány měly zvážit alespoň následující skutečnosti, jsou - li relevantní a použitelné:
• a. zpráva o přezkumu rámce pro řízení rizika v oblasti IKT (podle čl. 6 odst. 5 nařízení DORA);
• b. zdroje rizika v oblasti IKT, zejména rizika vzájemné expozice s jinými finančními subjekty, identifikované institucí podle čl. 8 odst. 2 nařízení DORA;
• c. oznámené závažné incidenty související s IKT (v souladu s čl. 19 odst. 1 nařízení DORA), včetně trendu souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT (podle čl. 11 odst. 10 nařízení DORA);
• d. výsledky testů stanovených v programu testování digitální provozní odolnosti (podle článku 24 nařízení DORA), včetně souhrnu zjištění z penetračního testování na základě hrozeb a souvisejících plánů nápravných opatření (v souladu s čl. 26 odst. 6 nařízení DORA);
• e. registr informací (ve smyslu čl. 28 odst. 3 nařízení DORA), včetně koncentrace poskytovatelů služeb IKT z řad třetích stran, včetně poskytovatelů těchto služeb v rámci skupiny, podle typu služeb a/nebo systémů IKT;
• f. doporučení a stanoviska hlavních orgánů dohledu (podle čl. 40 odst. 3 a čl. 42 odst. 7 nařízení DORA) a související odpovědi, zprávy a informace od kritických poskytovatelů služeb IKT z řad třetích stran (podle s čl. 35 odst. 1 písm. c), čl. 42 odst. 1 a čl. 48 odst. 2 nařízení DORA);
• g. úroveň složitosti systémů IKT a výsledky posouzení rizika v oblasti IKT u „legacy“ systémů IKT (podle čl. 8 odst. 7 nařízení DORA);
• h. vyhodnocení rizik po velkých změnách (v souladu s čl. 8 odst. 3 nařízení DORA);
• i. míra přijetí a integrace inovativních řešení v oblasti IKT;
• j. místa, konkrétně regiony nebo země, kde se nacházejí datová centra a citlivé určené prostory včetně případů, kdy nasmlouvané služby IKT poskytují poskytovatelé služeb IKT z řad třetích stran, přičemž to se vztahuje také na místo zpracování a uchovávání dat;
• k. jakékoli související závažné nedostatky nebo slabá místa zjištěná podle hlavy 5;
• l. vlastní hodnocení rizik a kontrol v oblasti IKT (je - li součástí interních postupů pro hodnocení kapitálové přiměřenosti);
• m. informace o řízení rizik v oblasti IKT předložené vedoucímu orgánu instituce;
• n. zjištění interních a externích auditů souvisejících s IKT;
• o. prostředí vnějších hrozeb, včetně informací o hrozbách a zranitelných místech. Přezkum systémů IKT a služeb IKT

³⁴ Čl. 3 bod 6 nařízení (EU) 2022/2554.

³⁵ Čl. 3 bod 7 nařízení (EU) 2022/2554.

1. Přehled

1.1 Odkazy

• Článek 6 5
• Článek 8 2
• Článek 19 1
• Článek 11 10
• Článek 24 Obecné požadavky na provádění testování digitální provozní odolnosti
• Článek 26 6
• Článek 28 3
• Článek 42 7
• Článek 48 2
• Článek 8 7
• Článek 8 3

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.