39. Při přezkoumání rizikového profilu IKT instituce by příslušné orgány měly zvážit veškeré …

Při přezkoumání rizikového profilu IKT instituce by příslušné orgány měly zvážit veškeré relevantní informace o expozici instituce rizikům IKT, včetně informací uvedených v odstavci 37 a zjištěných podstatných nedostatků a slabin v organizaci IKT i kontrolních mechanismech celé instituce podle hlavy 2 těchto obecných pokynů, a ve vhodných případech by tyto informace měly přiměřeně přezkoumat. V rámci přezkoumání by příslušné orgány měly vzít v úvahu:

• a. možný dopad významného narušení systémů IKT instituce na celý finanční systém na tuzemské i mezinárodní úrovni;
• b. zda může být instituce kvůli závislosti na internetu, rozsáhlému přijímání inovativních řešení v oblasti IKT nebo jiným firemním distribučním kanálům, díky nimž se pravděpodobněji stane cílem kybernetických útoků, vystavena rizikům souvisejícím se zabezpečením nebo dostupností a kontinuitou IKT;
• c. zda nemůže být instituce více vystavena rizikům souvisejícím se zabezpečením IKT, dostupností a kontinuitou IKT, integritou dat IKT nebo se změnou IKT kvůli složitosti (např. při fúzích a akvizicích) nebo zastaralosti svých systémů IKT;
• d. zda instituce provádí podstatné změny svých systémů IKT a/nebo funkcí IKT (např. při fúzích, akvizicí ch, divesticích nebo výměně klíčových systémů IKT), které by mohly nepříznivě ovlivnit stabilitu nebo řádné fungování systémů IKT a mohly by vyvolat podstatné riziko, pokud jde
• o dostupnost, kontinuitu, zabezpečení nebo změnu IKT nebo integritu dat IKT;
• e. zd a instituce zajišťuje služby nebo systémy IKT externě, v rámci skupiny nebo mimo ni, což může instituci vystavit podstatným rizikům spojeným s externím zajištěním IKT;
• f. zda instituce provádí opatření, která agresivně snižují náklady na IKT, což může vést k omezení potřebných investic do IKT, prostředků a informačních kompetencí a zvýšit expozici všem druhům rizik IKT v klasifikaci;
• g. zda umístění důležitých provozních / datových center IKT (např. regiony, země) může instituci vystavit přírodním katastrofám (např. záplavám, zemětřesením), politické nestabilitě nebo pracovním konfliktům a občanským nepokojům, což může vést k podstatnému zvýšení rizik týkajících se dostupnosti, kontinuity a zabezpečení IKT.

3.2.2 Přezkoumání kritických systémů a služeb IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/