54. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om …

De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne:

• a. identificerer de kritiske IKT-processer og de relevante understøttende IKT-systemer, som bør være en del af de driftsmæssige genopretning- og beredskabsplaner med:
• i. en omfattende analyse af afhængigheden mellem kritiske forretningsprocesser og støttesystemer
• ii. bestemmelse af genopretningsmål for de understøttende IKT-systemer (som f.eks. typisk bestemmes af virksomheden og/eller lovgivningen med hensyn til RTO og RPO)
• iii. passende beredskabsplaner, der sikrer tilgængelighed, kontinuitet og genopretning af kritiske IKT-systemer og -tjenester for at minimere afbrydelser i instituttets drift inden for en acceptabel grænse
• b. har politikker, standarder og operationelle kontroller for genopretning og beredskab, som inkluderer:
• i. sikringsforanstaltninger til at undgå, at et enkelt scenario, en enkelt hændelse eller en katastrofe kan påvirke både IKT-produktionen og -genoprettelsessystemerne
• ii. IKT-systembackup og -genopretningsprocedurer for kritisk software og data, der sikrer, at disse backups lagres på en sikker og tilstrækkelig fjern placering, så en hændelse eller en katastrofe ikke kan ødelægge disse kritiske data
• iii. overvågning af løsninger til rettidig sporing af IKT-tilgængeligheds- eller -kontinuitetshændelser
• iv. en dokumenteret incident- og eskaleringsproces, der også indeholder vejledning om de forskellige incident- og eskaleringsroller og -ansvarsområder, medlemmerne af kriseudvalget eller -udvalgene og kommandokæden i hastetilfælde
• v. fysiske sikringsforanstaltninger, der både beskytter instituttets kritiske IKT-infrastruktur (f.eks. datacentre) mod miljømæssige risici (f.eks. oversvømmelser og andre naturkatastrofer) og sikrer et stabilt driftsmiljø for IKT-systemer (f.eks. ventilation)
• vi. processer, roller og ansvar, der sikrer, at også outsourcede IKT-systemer og -tjenester er omfattet af passende driftsmæssige genopretnings- og beredskabsløsninger og -planer
• vii. IKT-performance- og -kapacitetsplanlægnings- og -overvågningsløsninger for kritiske IKT-systemer og -tjenester med definerede tilgængelighedskrav, der sporer vigtige performance- og kapacitetsbegrænsninger rettidigt
• viii. løsninger, der skal beskytte kritiske internetvendte aktiviteter og tjenester (f.eks. netbanktjenester), mod ”denial of service” og andre cyberangreb fra internettet, og som derved har til formål beskytte og styre adgangen til disse aktiviteter og tjenester.
• c. teste IKT-tilgængeligheds- og -beredskabsløsninger mod en række realistiske scenarier, herunder cyberangreb, fail-over-test og test af backup til kritisk software og data, som:
• i. planlægges, formaliseres og dokumenteres, og hvor testresultaterne anvendes til at styrke effektiviteten af IKT-tilgængelighed og beredskabsløsninger
• ii. omfatter interessenter og funktioner i organisationen såsom styring af forretningslinjer, herunder forretningsberedskab, incident-- og krisehåndteringsteams samt relevante eksterne interessenter i økosystemet
• iii. ledelsesorganet og den daglige ledelse er involveret i (f.eks. som en del af krisehåndteringsteams) og underrettes om testresultater.
• b) Kontrol til styring af væsentlige IKT-sikkerhedsrisici

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/