39. I forbindelse med gennemgangen af instituttets IKT-risikoprofil bør de kompetente myndigheder …

I forbindelse med gennemgangen af instituttets IKT-risikoprofil bør de kompetente myndigheder undersøge alle relevante oplysninger om instituttets IKT-risikoeksponering, herunder oplysningerne i pkt. 37 og de identificerede væsentlige mangler eller svagheder i IKT-organisationens og instituttets kontroller under afsnit 2 i disse retningslinjer og, hvor det er relevant, gennemgå disse oplysninger. Som led i denne gennemgang bør de kompetente myndigheder overveje:

• a. den potentielle konsekvens, som en større afbrydelse af instituttets IKT-systemer kan få for det finansielle system, enten på nationalt eller internationalt niveau
• b. om instituttet har forhøjede IKT-sikkerhedsrisici eller IKT-tilgængeligheds- og - kontinuitetsrisici som følge af internetbrug, omfattende anvendelse af innovative IKT-løsninger eller andre forretningsmæssige distributionskanaler, som kan gøre det til et mere sandsynligt mål for cyberangreb
• c. om instituttet kan være mere eksponeret for IKT-sikkerhedsrisici, IKT-tilgængeligheds- og - kontinuitetsrisici, IKT-dataintegritetsrisici eller IKT-ændringer som følge af kompleksiteten (f.eks. som følge af opkøb eller fusioner) eller forældede IKT-systemer
• d. om instituttet gennemfører væsentlige ændringer i sit IKT-system og/eller sin IKT-funktion (f.eks. som følge af fusioner, opkøb, frasalg eller udskiftning af det centrale IKT-system), som kan påvirke IKT-systemets stabilitet eller funktion negativt og kan medføre væsentlige IKT-tilgængeligheds- og -kontinuitetsrisici, IKT-sikkerhedsrisici, IKT-ændringsrisici eller IKT-dataintegritetsrisici
• e. om instituttet har udliciteret IKT-tjenester eller IKT-systemer i eller uden for koncernen, som kan udgøre væsentlige IKT-outsourcingrisici
• f. om instituttet gennemfører aggressive IKT-omkostningsbesparelser, som kan føre til en reduktion i de nødvendige IKT-investeringer, ressourcer og IT-ekspertise, og som kan øge eksponeringen for alle IKT-risikotyperne i klassificeringen
• g. om placeringen af vigtige IKT-drifts-/datacentre (f.eks. regioner, lande) kan eksponere instituttet for naturkatastrofer (f.eks. oversvømmelser, jordskælv), politisk ustabilitet eller arbejdsmarkedskonflikter og civile uroligheder, som kan føre til en væsentlig forøgelse af IKT-tilgængeligheds- og -kontinuitetsrisici og IKT-sikkerhedsrisici.

3.2.2 Gennemgang af de kritiske IKT-systemer og -tjenester

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.