230. Příslušné orgány by měly získat důkladný přehled o rámci instituce pro řízení rizika v oblasti …

Příslušné orgány by měly získat důkladný přehled o rámci instituce pro řízení rizika v oblasti IKT a posoudit, zda instituce zavedla dostatečné a vhodné strategie, zásady, postupy, protokoly a nástroje v IKT, včetně úrovní tolerance, aby mohla účinně, efektivně a komplexně řešit vážná rizika v oblasti IKT v souladu s nařízením DORA. Za tímto účelem by příslušné orgány měly v příslušných případech zvážit:

• a. vhodnost a účinnost politik³⁶ , procesů a postupů instituce, pokud jde o řízení rizika v oblasti IKT, které zahrnují mimo jiné řízení třetích stran v oblasti IKT, detekci incidentů souvisejících s IKT a reakci na ně, řízení hodnocení IKT, šifrování a kryptografii, bezpečnost provozu IKT, bezpečnost sítě, řízení přístupu a to, zda byly tyto politiky, procesy a postupy schváleny vedoucím orgánem a sděleny všem příslušným zúčastněným stranám (podle článku 14 nařízení DORA);
• b. vhodnost přípustné odchylky rizika v oblasti IKT a tolerance dopadů narušení v oblasti IKT (podle čl. 6 odst. 8 písm. b) nařízení DORA);
• c. vhodnost a provádění strategie instituce v oblasti digitální provozní odolnosti, včetně jejího souladu se strategií podnikání;
• d. soulad strategie řízení rizika v oblasti IKT spojeného s třetími stranami, včetně strategie pro více dodavatelů v oblasti IKT (je -li k dispozici), s celkovou strategií podnikání a rámcem pro řízení rizika v oblasti IKT;
• e. zbytkové riziko vyplývající ze zjištěných rizik instituce v souvislosti se smluvními ujednáními
• o využívání služeb IKT podporujících zásadní nebo důležité funkce;
• f. zbytkové riziko vyplývající ze zjištěných rizik instituce u projektů v oblasti IKT, které mají dopad na zásadní nebo důležité funkce, hlášených vedoucímu orgánu, a také u pořizování, vývoje a údržby systémů IKT a změn v oblasti IKT;
• g. spolehlivost a komplexnost programu testování digitální provozní odolnosti;
• h. vývoj a rozsah závažných incidentů souvisejících s IKT a zjištění nahlášených vedoucímu orgánu v souladu s čl. 17 odst. 3 písm. e) a čl. 13 odst. 5 nařízení DORA;
• i. kontroly rizika v oblasti IKT, které se vztahují ke konkrétnímu zjištěnému riziku v oblasti IKT;
• j. včasné podávání zpráv o aspektech řízení rizika v oblasti IKT vedoucímu orgánu a vrcholnému vedení instituce;
• k. rozsah a nálezy interních auditů.

³⁶ V souladu s nařízením DORA by měly zahrnovat alespoň politiku zabezpečení informací, politiku zálohování, politiku správy aktiv v oblasti IKT, politiku šifrování a kryptografických kontrol, politiku správy šifrovacích klíčů, politiku řízení projektů v oblasti IKT, politiku pořizování, vývoje a údržby systémů IKT, politiku v oblasti lidských zdrojů, politiku fyzické a environmentální bezpečnosti, politiku řízení incidentů souvisejících s IKT, politiku využívání služeb IKT, které podporují zásadní nebo důležité funkce poskytované poskytovateli služeb IKT z řad třetích stran.

1. Přehled

1.1 Odkazy

• Článek 14 Komunikace
• Článek 13 5

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.