184. Med hensyn til IKT og sikkerhedsrisiko bør de kompetente myndigheder finde det godtgjort, at …

Med hensyn til IKT og sikkerhedsrisiko⁵⁵ bør de kompetente myndigheder finde det godtgjort, at forvaltningsrammen vil sikre en sund, pålidelig og sikker funktion af informations- og kommunikationssystemer, der understøtter kreditinstitutternes aktiviteter, samt passende forebyggelse, overvågning og afbødning af IKT-risici i normale perioder og i perioder med stress. De kompetente myndigheder bør især vurdere:

• a) om ledelsesorganet har det overordnede ansvar for fastlæggelse, godkendelse og tilsyn med gennemførelsen af finansielle institutters IKT-strategi, som bør være i overensstemmelse med finansielle institutters overordnede forretningsstrategi
• b) den klare definition og tildeling af nøgleroller og -ansvar og relevante rapporteringslinjer for at rammen for IKT-risici og sikkerhedsrisikostyring kan være effektiv, herunder allokering af passende budget til tilstrækkeligt at understøtte IKT-driftsbehovene og IKT-risici og sikkerhedsrisikostyringen
• c) om styringen og tilsynet med IKT-risici og sikkerhedsrisici er overdraget til en uafhængig og objektiv kontrolfunktion, passende adskilt fra IKT-driftsprocesser og ikke ansvarlig for nogen intern revision, og en uafhængig intern revisionsfunktion
• d) ordningerne til at sikre identifikation, oprettelse og vedligeholdelse af opdateret kortlægning af forretningsfunktioner, roller og understøttende processer med henblik på at identificere betydningen af de enkelte elementer og deres indbyrdes afhængighed i forhold til IKT-risici og sikkerhedsrisici
• e) i det omfang oplysningerne opbevares på IKT-systemer, om kravene til informationssikkerhed vil være på plads
• f) omfanget, kompleksiteten og vigtigheden af IKT-relateret afhængighed, hvis der påtænkes outsourcing af IKT-tjenesternes operationelle funktioner og alle IKT-systemer — herunder til koncernenheder — eller brug af tredjeparter i relation til sådanne funktioner og aktiviteter.

⁵⁵ Som defineret i EBA's retningslinjer vedrørende styring af IKT-sikkerhedsrisici betyder "IKT-risiko og sikkerhedsrisiko": "Tabsrisiko som følge af brud på fortroligheden, manglende integritet af systemer og data, deres utilstrækkelighed eller utilgængelighed eller manglende evne til at ændre informationsteknologi (IT) inden for en rimelig tids- og omkostningsramme, når kravene fra omgivelserne eller de forretningsmæssige krav ændrer sig (dvs. fleksibilitet). Dette omfatter sikkerhedsrisici som følge af utilstrækkelige interne processer, interne processer, som ikke har virket efter hensigten/som er fejlet, eller eksterne hændelser, herunder cyberangreb eller utilstrækkelig fysisk sikkerhed".

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/