+214. I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør de …

214. I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør de …

I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør de kompetente myndigheder gennemgå instituttets identifikation, klassificering og dokumentation af alle IKT - understøttede forretningsfunktioner, roller og ansvarsområder, de informationsaktiver³⁴ og IKT- aktiver³⁵ , der understøtter disse funktioner, samt deres roller og afhængigheder i forhold til IKT - risiko. Denne gennemgang giver de kompetente myndigheder mulighed for at opnå en grundig forståelse af instituttets iboende IKT -risikoeksponeringer (IKT-risikoprofil), identificere dets væsentlige iboende IKT - risici og få et indtryk af deres tilsynsmæssige indvirkning. I den forbindelse bør de kompetente myndigheder, hvor det er relevant og finder anvendelse, som minimum tage hensyn til følgende:

a. rapport om gennemgangen af IKT- risikostyringsrammen (jf. artikel 6, stk. 5, i forordningen om digital operationel modstandsdygtighed)
b. kilder til IKT - risiko, navnlig risikoeksponeringen for og fra andre finansielle enheder, som instituttet har identificeret i henhold til artikel 8, stk. 2, i forordningen om digital operationel modstandsdygtighed
c. større indberettede IKT - relaterede hændelser (jf. artikel 19, stk. 1, i forordningen om digital operationel modstandsdygtighed), herunder udviklingen med hensyn til de samlede årlige omkostninger og tab forårsaget af større IKT - relaterede hændelser (jf. sa mme forordnings artikel 11, stk. 10)
d. resultater af de test, der er planlagt i programmet for test af digital operationel modstandsdygtighed (jf. artikel 24 i forordningen om digital operationel modstandsdygtighed), herunder resumé af resultaterne af de trusselsbaserede penetrationstest (TLPT) og relaterede udbedringsplaner (jf. samme forordnings artikel 26, stk. 6)
e. register over oplysninger (jf. artikel 28, stk. 3, i forordningen om digital operationel modstandsdygtighed), herunder graden af afhængighed af tredjepartsudbydere af IKT - tjenester, herunder koncerninterne IKT - udbydere, opdelt efter type IKT -tjenester og/eller IKT-systemer
f. henstillinger og udtalelser fra de ledende tilsynsførende (jf. artikel 40, stk. 3, og artikel 42, stk. 7, i forordningen om digital operationel modstandsdygtighed) og relaterede svar, rapporter og oplysninger fra kritiske tredjepartsudbydere af IKT -tjenester (jf. samme forordnings artikel 35, stk. 1, litra c), artikel 42, stk. 1, og artikel 48, stk. 2)
g. graden af kompleksitet af IKT-systemer og resultaterne af IKT-risikovurderingen af legacy-IKT- systemer (jf. artikel 8, stk. 7, i forordningen om digital operationel modstandsdygtighed)
h. risikovurdering af større ændringer (jf. artikel 8, stk. 3, i forordningen om digital operationel modstandsdygtighed)
i. grad af indførelse og integration af innovative IKT - løsninger
j. placeringer, dvs. regioner eller lande, hvor datacentre og udpegede følsomme områder befinder sig, herunder hvor kontraktmæssige IKT -tjenester leveres af tredjepartsudbydere af IKT- tjenester, hvilket også omfatter placeringen af databehandling og -opbevaring
k. eventuelle væsentlige mangler eller svagheder i forbindelse hermed, som er identificeret i afsnit 5
l. egenvurderinger af IKT- risiko og kontrol (hvis dette fremgår af ICAAP -oplysningerne)
m. IKT- risikorelaterede ledelsesoplysninger indsendt til instituttets ledelsesorgan
n. interne og eksterne IKT-relaterede revisionsresultater
o. det eksterne trusselsbillede, herunder trussels - og sårbarhedsefterretninger.

Gennemgang af IKT-systemer og IKT-tjenester

³⁴ Artikel 3, stk. 6, i forordning (EU) 2022/2554.

³⁵ Artikel 3, stk. 7, i forordning (EU) 2022/2554.

1. Oversigt

Titel	Regulering

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

Krav
Kilde	Krav

3. Relaterede standarder

Standarder
Kilde	Krav

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.