4.6 Styring af IKT-risici og sikkerhedsrisici

Kredit- og finansieringsinstitutterne bør identificere og styre deres IKT-risici og sikkerhedsrisici i forbindelse med anvendelsen af fjernidentificering af kunder, herunder hvis kredit- og finansieringsinstitutterne er afhængige af tredjeparter, eller hvis tjenesten er outsourcet, herunder til koncernenheder.

Ud over at opfylde kravene i EBA's retningslinjer for styring af IKT-risici og sikkerhedsrisici¹⁰ , hvor det er relevant, bør kredit- og finansieringsinstitutterne anvende sikre kommunikationskanaler til at interagere med kunden under processen vedrørende fjernidentificering. Løsningen med fjernidentificering af kunder bør anvende sikre protokoller og kryptografiske algoritmer i overensstemmelse med branchens bedste praksis for at sikre fortroligheden, ægtheden og integriteten af de udvekslede data, hvor det er relevant.

¹⁰ EBA/GL/2019/04.

Kredit- og finansieringsinstitutterne bør stille et sikkert adgangspunkt til rådighed for start af fjernidentificeringsprocessen baseret på kvalificerede certifikater for elektroniske segl som omhandlet i artikel 3, stk. 30, i forordning (EU) nr. 910/2014 eller for webstedsautentifikation som omhandlet i artikel 3, stk. 39, i nævnte forordning. Kunden bør også informeres om de gældende sikkerhedsforanstaltninger, der bør træffes for at opnå en sikker anvendelse af systemet.

Hvis der anvendes en multifunktionel anordning til at udføre fjernidentificeringsprocessen, bør der anvendes et sikkert miljø til udstedelse af softwarekoden på kundens side, hvor det er relevant. Der bør gennemføres yderligere sikkerhedsforanstaltninger for at sikre softwarekodens og de indsamlede datas sikkerhed og pålidelighed i overensstemmelse med den sikkerhedsrisikovurdering, der er fastsat i EBA's retningslinjer for styring af IKT-risici og sikkerhedsrisici.