39. I forbindelse med gennemgangen af instituttets IKT-risikoprofil bør de kompetente myndigheder …

I forbindelse med gennemgangen af instituttets IKT-risikoprofil bør de kompetente myndigheder undersøge alle relevante oplysninger om instituttets IKT-risikoeksponering, herunder oplysningerne i pkt. 37 og de identificerede væsentlige mangler eller svagheder i IKT-organisationens og instituttets kontroller under afsnit 2 i disse retningslinjer og, hvor det er relevant, gennemgå disse oplysninger. Som led i denne gennemgang bør de kompetente myndigheder overveje:

• a. den potentielle konsekvens, som en større afbrydelse af instituttets IKT-systemer kan få for det finansielle system, enten på nationalt eller internationalt niveau
• b. om instituttet har forhøjede IKT-sikkerhedsrisici eller IKT-tilgængeligheds- og - kontinuitetsrisici som følge af internetbrug, omfattende anvendelse af innovative IKT-løsninger eller andre forretningsmæssige distributionskanaler, som kan gøre det til et mere sandsynligt mål for cyberangreb
• c. om instituttet kan være mere eksponeret for IKT-sikkerhedsrisici, IKT-tilgængeligheds- og - kontinuitetsrisici, IKT-dataintegritetsrisici eller IKT-ændringer som følge af kompleksiteten (f.eks. som følge af opkøb eller fusioner) eller forældede IKT-systemer
• d. om instituttet gennemfører væsentlige ændringer i sit IKT-system og/eller sin IKT-funktion (f.eks. som følge af fusioner, opkøb, frasalg eller udskiftning af det centrale IKT-system), som kan påvirke IKT-systemets stabilitet eller funktion negativt og kan medføre væsentlige IKT-tilgængeligheds- og -kontinuitetsrisici, IKT-sikkerhedsrisici, IKT-ændringsrisici eller IKT-dataintegritetsrisici
• e. om instituttet har udliciteret IKT-tjenester eller IKT-systemer i eller uden for koncernen, som kan udgøre væsentlige IKT-outsourcingrisici
• f. om instituttet gennemfører aggressive IKT-omkostningsbesparelser, som kan føre til en reduktion i de nødvendige IKT-investeringer, ressourcer og IT-ekspertise, og som kan øge eksponeringen for alle IKT-risikotyperne i klassificeringen
• g. om placeringen af vigtige IKT-drifts-/datacentre (f.eks. regioner, lande) kan eksponere instituttet for naturkatastrofer (f.eks. oversvømmelser, jordskælv), politisk ustabilitet eller arbejdsmarkedskonflikter og civile uroligheder, som kan føre til en væsentlig forøgelse af IKT-tilgængeligheds- og -kontinuitetsrisici og IKT-sikkerhedsrisici.

3.2.2 Gennemgang af de kritiske IKT-systemer og -tjenester

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/