230. De kompetente myndigheder bør tilegne sig en indgående forståelse af instituttets IKT - …

De kompetente myndigheder bør tilegne sig en indgående forståelse af instituttets IKT - risikostyringsramme og vurdere, om instituttet har indført tilstrækkelige og passende strategier, politikker, procedurer, IKT - protokoller og værktøjer – herunder toleranc eniveauer

• – til effektivt, produktivt og omfattende at håndtere væsentlige IKT -risici i overensstemmelse med forordningen om digital operationel modstandsdygtighed. Til dette formål bør de kompetente myndigheder, hvor det er relevant, overveje:
• a. hensigtsmæssigheden og effektiviteten af instituttets politikker³⁶ , processer og procedurer for IKT- risikostyring, herunder bl.a. styring af tredjeparter inden for IKT, påvisning af og reaktion på IKT - relaterede hændelser, styring af IKT - aktiver, kryptering og kryptografi, IKT - driftssikkerhed, netsikkerhed og adgangskontrol, samt om disse er blevet godkendt af ledelsesorganet og formidlet til alle relevante interessenter (jf. artikel 14 i forordningen om digital operationel modstandsdygtighed)
• b. hvorvidt instituttets risikotoleranceniveau for IKT - risici og modstandsdygtigheden over for forstyrrelser i IKT- systemerne er passende (jf. artikel 6, stk. 8, litra b), i forordningen om digital operationel modstandsdygtighed)
• c. hensigtsmæssigheden og gennemførelsen af instituttets strategi for digital operationel modstandsdygtighed, herunder dens tilpasning til forretningsstrategien
• d. sammenhængen mellem IKT -tredjepartsrisici – herunder en eventuel strategi med flere IKT-udbydere – og den overordnede forretningsstrategi samt IKT-risikostyringsrammen
• e. restrisiko fra instituttets identificerede risici i forbindelse med kontraktlige ordninger om brug af IKT- tjenester, der understøtter kritiske eller vigtige funktioner
• f. restrisiko fra instituttets identificerede risici i forbindelse med IKT - projekter, der har indvirkning på kritiske eller vigtige funktioner, som er indberettet til ledelsesorganet, samt i forbindelse med anskaffelse, udvikling og vedligeholdelse af IKT -systemer og ændringer af IKT-systemer
• g. om programmet for test af digital operationel modstandsdygtighed er solidt og omfattende
• h. tendenser og omfanget af væsentlige IKT- relaterede hændelser og resultater, der er indberettet til ledelsesorganet jf. artikel 17, stk. 3, litra e), og artikel 13, stk. 5, i forordningen om digital operationel modstandsdygtighed
• i. IKT- risikokontrol, som er specifik for den identificerede væsentlige IKT -risiko
• j. rettidig indberetning af forhold vedrørende IKT - risikostyring til instituttets ledelsesorgan og øverste ledelse
• k. omfanget af den interne revision og resultaterne heraf.

³⁶ I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør disse som minimum omfatte informationssikkerhedspolitikken, politikker for sikkerhedskopiering, politikken for forvaltning af IKT - aktiver, politikken for kryptering og krypt ografiske kontrolforanstaltninger, politikken for forvaltning af kryptografiske nøgler, politikken for IKT- projektledelse, politikken for anskaffelse, udvikling og vedligeholdelse af IKT - systemer, personalepolitikken, politikken for fysisk og miljømæssig sikkerhed, politikken for håndtering af IKT - relaterede hændelser samt politikken for anvendelse af IKT- tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester.

1. Oversigt

1.1 Referencer

• Artikel 14 Kommunikation
• Artikel 13 5

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.