215. Die zuständigen Behörden sollten die relevanten Unterlagen, Methoden und Prozesse des …

Die zuständigen Behörden sollten die relevanten Unterlagen, Methoden und Prozesse des Instituts überprüfen und sich ein Urteil darüber bilden, ob das Institut die IKT-Systeme und IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, angemessen ermittelt hat. Zu diesem Zweck sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sowie die vom Institut ermittelten kritischen Informations- und IKT-Assets (gemäß Artikel 8 der DORA-Verordnung);
• b. Schlüsselprozesse, die von IKT-Drittdienstleistern abhängen, einschließlich Vernetzungen mit IKT-Drittdienstleistern, die vom Institut ermittelte kritische oder wichtige Funktionen unterstützen (gemäß Artikel 8 Absatz 5 der DORA-Verordnung).

Ermittlung und Zuordnung wesentlicher IKT-Risiken zu IKT-Systemen und - Dienstleistungen, die kritische oder wichtige Funktionen unterstützen

216.Nach der Überprüfung der Abhängigkeit des Instituts von Informations- und IKT-Assets, seines IKT-Risikoprofils sowie seiner IKT-Systeme und -Dienstleistungen sollten sich die zuständigen Behörden ein Urteil zu den wesentlichen IKT-Risiken bilden, die erhebliche aufsichtliche Auswirkungen auf die IKT-Systeme und -Dienstleistungen des Instituts haben können, welche kritische oder wichtige Funktionen unterstützen, sowie erhebliche Auswirkungen auf die Betriebsfähigkeit des Instituts im Falle einer Störung. Zu diesem Zweck sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. finanzielle Auswirkungen, einschließlich potenzieller Kundenentschädigungen, Gerichts- und Behebungskosten, vertraglichen Schadenersatz, Einnahmeausfälle;
• b. das Potenzial für Betriebsstörungen, unter Berücksichtigung (unter anderem) der Kritikalität der betroffenen Dienstleistungen, einschließlich der Transaktionen und Vorgänge des Instituts (darunter Abhängigkeiten gegenüber Dritten), die Anzahl der potenziell betroffenen Kunden und/oder Gegenparteien im Finanzbereich und/oder Zweigstellen und Mitarbeiter;
• c. potenzielle Datenverluste;
• d. potenzielle Auswirkungen auf die Reputation;
• e. potenzielle regulatorische Auswirkungen, einschließlich potenzieller öffentlicher Kritik, Geldstrafen oder sogar eine Änderung von Erlaubnissen;
• f. potenzielle strategische Auswirkungen auf das Institut;
• g. potenzielle geografische Ausbreitung.

1. Übersicht

1.1 Referenzen

• Artikel 8 Identifizierung

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.