3.2 Identificering af væsentlige IKT-risici

De kompetente myndigheder bør identificere de væsentlige IKT-risici, som instituttet er eller kan blive eksponeret for, ved hjælp af følgende trin:

3.2.1 Gennemgang af instituttets IKT-risikoprofil

I forbindelse med gennemgangen af instituttets IKT-risikoprofil bør de kompetente myndigheder undersøge alle relevante oplysninger om instituttets IKT-risikoeksponering, herunder oplysningerne i pkt. 37 og de identificerede væsentlige mangler eller svagheder i IKT-organisationens og instituttets kontroller under afsnit 2 i disse retningslinjer og, hvor det er relevant, gennemgå disse oplysninger. Som led i denne gennemgang bør de kompetente myndigheder overveje:

• a. den potentielle konsekvens, som en større afbrydelse af instituttets IKT-systemer kan få for det finansielle system, enten på nationalt eller internationalt niveau
• b. om instituttet har forhøjede IKT-sikkerhedsrisici eller IKT-tilgængeligheds- og - kontinuitetsrisici som følge af internetbrug, omfattende anvendelse af innovative IKT-løsninger eller andre forretningsmæssige distributionskanaler, som kan gøre det til et mere sandsynligt mål for cyberangreb
• c. om instituttet kan være mere eksponeret for IKT-sikkerhedsrisici, IKT-tilgængeligheds- og - kontinuitetsrisici, IKT-dataintegritetsrisici eller IKT-ændringer som følge af kompleksiteten (f.eks. som følge af opkøb eller fusioner) eller forældede IKT-systemer
• d. om instituttet gennemfører væsentlige ændringer i sit IKT-system og/eller sin IKT-funktion (f.eks. som følge af fusioner, opkøb, frasalg eller udskiftning af det centrale IKT-system), som kan påvirke IKT-systemets stabilitet eller funktion negativt og kan medføre væsentlige IKT-tilgængeligheds- og -kontinuitetsrisici, IKT-sikkerhedsrisici, IKT-ændringsrisici eller IKT-dataintegritetsrisici
• e. om instituttet har udliciteret IKT-tjenester eller IKT-systemer i eller uden for koncernen, som kan udgøre væsentlige IKT-outsourcingrisici
• f. om instituttet gennemfører aggressive IKT-omkostningsbesparelser, som kan føre til en reduktion i de nødvendige IKT-investeringer, ressourcer og IT-ekspertise, og som kan øge eksponeringen for alle IKT-risikotyperne i klassificeringen
• g. om placeringen af vigtige IKT-drifts-/datacentre (f.eks. regioner, lande) kan eksponere instituttet for naturkatastrofer (f.eks. oversvømmelser, jordskælv), politisk ustabilitet eller arbejdsmarkedskonflikter og civile uroligheder, som kan føre til en væsentlig forøgelse af IKT-tilgængeligheds- og -kontinuitetsrisici og IKT-sikkerhedsrisici.

3.2.2 Gennemgang af de kritiske IKT-systemer og -tjenester

Som led i processen med at identificere IKT-risici med potentielt væsentlig tilsynsmæssig påvirkning af instituttet bør de kompetente myndigheder gennemgå dokumentationen fra instituttet og danne sig en mening om de IKT-systemer og -tjenester, som er væsentlige for, at instituttets væsentlige aktiviteter kan fungere korrekt og er tilgængelige, kontinuerlige og sikre.

Til dette formål bør de kompetente myndigheder gennemgå de metoder og processer, som instituttet anvender til at identificere de IKT-systemer og tjenester, som er vigtige, under hensyntagen til, at visse IKT-systemer og -tjenester kan blive anset for at være kritiske for instituttet med hensyn til forretningskontinuitet og tilgængelighed samt sikkerhed (f.eks. forebyggelse af svig) og/eller fortrolighed. I forbindelse med gennemgangen bør de kompetente myndigheder tage højde for, at kritiske IKT-systemer og -tjenester bør opfylde mindst en af følgende betingelser:

• a. De supporter instituttets centrale daglige drift og distributionskanaler (f.eks. betalingsautomater, internet- og mobilbank).
• b. De støtter vigtige ledelsesprocesser og virksomhedsfunktioner, herunder risikostyring (f.eks. risikostyrings- og likviditetsstyringssystemer).
• c. De hører ind under særlige (eventuelle) retlige eller reguleringsmæssige krav, der medfører øget tilgængelighed, modstandsdygtighed, fortrolighed eller sikkerhed (f.eks. databeskyttelseslovgivning eller eventuelle mål for genoprettelsestid (Recovery Time Objectives, RTO, som er den maksimale tid, det må tage at genoprette systemet eller processen efter en hændelse) og mål for genoprettelsestidspunkt (Recovery Point Objective, RPO, som er den maksimale tid, hvor data kan mistes i tilfælde af en hændelse)) for visse systemisk vigtige tjenester (hvis sådanne er tilgængelige).
• d. De behandler eller lagrer fortrolige eller følsomme data, hvor uautoriseret adgang i høj grad kan påvirke instituttets omdømme, finansielle resultater eller forretningens sundhed og kontinuitet (f.eks. databaser med følsomme kundeoplysninger) og/eller
• e. De indeholder grundlæggende funktioner, som er vigtige for, at instituttet kan fungere korrekt (f.eks. telekommunikations- og netværkstjenester og IKT- og cybersikkerhedstjenester).

3.2.3 Identificering af væsentlige IKT-risici for vigtige IKT-systemer og -tjenester

Under hensyntagen til gennemgangen af instituttets IKT-risikoprofil og ovennævnte kritiske IKT-systemer og -tjenester bør de kompetente myndigheder danne sig en mening om de væsentlige IKT-risici, som efter deres vurdering kan have en væsentlig tilsynsmæssig påvirkning af instituttets kritiske IKT-systemer og -tjenester.

I forbindelse med vurderingen af den potentielle påvirkning, som IKT-risici kan have for et instituts kritiske IKT-systemer og -tjenester, bør de kompetente myndigheder overveje følgende:

• a. den finansielle påvirkning, herunder (men ikke begrænset til) tab af midler eller aktiver, potentiel kundekompensation, rets- og afhjælpningsomkostninger, erstatning under kontrakt, mistede indtægter
• b. muligheden for forretningsafbrydelser under hensyntagen (men ikke begrænset) til betydningen af de påvirkede finansielle tjenesteydelser, antallet af kunder og/eller afdelinger og potentielt berørte medarbejdere
• c. den potentielle indvirkning på instituttets omdømme baseret på betydningen af banktjenesten eller driftsaktiviteten (f.eks. tyveri af kundedata), den eksterne profil/synlighed af de berørte IKT-systemer og -tjenester (f.eks. mobil- eller onlinebanksystemer, salgssteder, hæveautomater eller betalingssystemer)
• d. den reguleringsmæssige indvirkning, herunder muligheden for offentlig censur fra regulatorens side, bøder eller endda ændring af tilladelser
• e. den strategiske indvirkning på instituttet, f.eks. hvis det strategiske produkt eller forretningsplaner kompromitteres eller stjæles.

De kompetente myndigheder bør derefter kortlægge de identificerede IKT-risici, som anses for at være væsentlige, i følgende IKT-risikokategorier, som er beskrevet yderligere med eksempler i bilaget. De kompetente myndigheder bør reflektere over IKT-risiciene i bilaget som led i vurderingen i afsnit 3:

• a. IKT-tilgængeligheds- og -kontinuitetsrisiko
• b. IKT-sikkerhedsrisiko
• c. IKT-ændringsrisiko
• d. IKT-dataintegritetsrisiko
• e. IKT-outsourcingrisiko.

Kortlægningen skal hjælpe de kompetente myndigheder med at bestemme, hvilke (eventuelle) risici som er væsentlige og derfor bør underkastes en nøjere og/eller dybere gennemgang i følgende vurderingstrin.