+214. In Einklang mit der DORA-Verordnung sollten die zuständigen Behörden die Ermittlung …

214. In Einklang mit der DORA-Verordnung sollten die zuständigen Behörden die Ermittlung …

In Einklang mit der DORA-Verordnung sollten die zuständigen Behörden die Ermittlung, Klassifizierung und Dokumentation des Instituts in Bezug auf alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- 33F³⁴ und IKT-Assets 34F³⁵ , die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten in Bezug auf IKT-Risiken überprüfen. Diese Überprüfung sollte den zuständigen Behörden dabei helfen, ein tiefgreifendes Verständnis der inhärenten IKT-Risiken (IKT-Risikoprofil) des Instituts zu erlangen, die wesentlichen inhärenten IKT-Risiken zu ermitteln und sich ein Urteil über deren aufsichtliche Auswirkungen zu bilden. Zu diesem Zweck sollten die zuständigen Behörden, sofern relevant und anwendbar, mindestens Folgendes berücksichtigen:

a. Bericht über die Überprüfung des IKT-Risikomanagementrahmens (gemäß Artikel 6 Absatz 5 der DORA-Verordnung);
b. Quellen für IKT-Risiken, insbesondere das Risiko gegenüber und von anderen Finanzunternehmen, die das Institut gemäß Artikel 8 Absatz 2 der DORA-Verordnung ermittelt hat;
c. gemeldete schwerwiegende IKT-bezogene Vorfälle (gemäß Artikel 19 Absatz 1 der DORA-Verordnung), einschließlich der Entwicklung der aggregierten jährlichen Kosten und Verluste, die durch schwerwiegende IKT-bezogene Vorfälle verursacht wurden (gemäß Artikel 11 Absatz 10 der DORA-Verordnung);
d. Ergebnisse der im Programm für Tests der digitalen operationalen Resilienz (gemäß Artikel 24 DORA-Verordnung) vorgesehenen Tests, einschließlich einer Zusammenfassung der Feststellungen in Bezug auf bedrohungsorientierte Penetrationstests (TLPT – Threat-Led Penetration Testing) und der entsprechenden Pläne mit Abhilfemaßnahmen (gemäß Artikel 26 Absatz 6 der DORA-Verordnung);
e. Informationsregister (gemäß Artikel 28 Absatz 3 der DORA-Verordnung), einschließlich der Konzentration von IKT-Drittdienstleistern, darunter gruppeninterne IKT-Dienstleister, nach Art der IKT-Dienstleistungen und/oder IKT-Systeme;
f. Empfehlungen und Stellungnahmen der federführenden Überwachungsbehörden (gemäß Artikel 40 Absatz 3 bzw. Artikel 42 Absatz 7 der DORA-Verordnung) sowie entsprechende Reaktionen, Berichte und Informationen von kritischen IKT-Drittdienstleistern (gemäß Artikel 35 Absatz 1 Buchstabe c, Artikel 42 Absatz 1 und Artikel 48 Absatz 2 der DORA-Verordnung);
g. Komplexität von IKT-Systemen und Ergebnisse der Bewertung des IKT-Risikos für IKT-Altsysteme (gemäß Artikel 8 Absatz 7 der DORA-Verordnung);
h. Risikobewertung bei wesentlichen Änderungen (gemäß Artikel 8 Absatz 3 der DORA-Verordnung);
i. Grad der Einführung und Integration innovativer IKT-Lösungen;
j. Standorte, d. h. Regionen oder Länder, in denen sich Rechenzentren und ausgewiesene sensible Bereiche befinden, einschließlich der Orte, an denen vertraglich vereinbarte IKT-Dienstleistungen von IKT-Drittdienstleistern erbracht werden, wobei auch der Ort der Datenverarbeitung und Speicherort erfasst wird;
k. alle diesbezüglichen, im Rahmen von Titel 5 festgestellten wesentlichen Mängel oder Schwachstellen;
l. Selbstbewertungen von IKT-Risiko und Kontrollen (falls in den ICAAP-Informationen enthalten);
m. mit dem IKT-Risiko verbundene Managementinformationen (MI), die dem Leitungsorgan des Instituts vorgelegt werden;
n. IKT-bezogene interne und externe Prüfungsfeststellungen;
o. externes Bedrohungsumfeld, einschließlich Informationen über Bedrohungen und Schwachstellen.

Überprüfung von IKT-Systemen und IKT-Dienstleistungen

³⁴ Artikel 3 Nummer 6 der Verordnung (EU) 2022/2554.

³⁵ Artikel 3 Nummer 7 der Verordnung (EU) 2022/2554.

1. Übersicht

Bezeichnung	Regulierung

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

Anforderungen
Quelle	Anforderung

3. Zugehörige Standards

Standards
Quelle	Anforderung

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.