230. Die zuständigen Behörden sollten ein tiefgreifendes Verständnis des …

Die zuständigen Behörden sollten ein tiefgreifendes Verständnis des IKT-Risikomanagementrahmens des Instituts erlangen und bewerten, ob das Institut über ausreichende und angemessene Strategien, Leit- und Richtlinien, Verfahren, IKT-Protokolle und -Tools – einschließlich Toleranzschwellen – verfügt, um in Einklang mit der DORA-Verordnung den wesentlichen IKT-Risiken wirksam, effizient und umfassend zu begegnen. Zu diesem Zweck sollten die zuständigen Behörden gegebenenfalls Folgendes berücksichtigen:

• a. Angemessenheit und Wirksamkeit der Richtlinien, Prozesse und Verfahren des Instituts für das IKT-Risikomanagement 35F³⁶ , die unter anderem das IKT-Drittparteienmanagement, die Erkennung IKT-bezogener Vorfälle und die Reaktion darauf, das Management von IKT-Assets, die Verschlüsselung und Kryptografie, die IKT-Betriebssicherheit, die Netzwerksicherheit und die Zugangskontrolle umfassen, sowie die Frage, ob diese vom Leitungsorgan genehmigt und allen relevanten Interessenträgern mitgeteilt wurden (gemäß Artikel 14 der DORA-Verordnung);
• b. Angemessenheit der vom Institut festgelegten Risikotoleranzschwelle für IKT-Risiken und der Auswirkungstoleranz mit Blick auf IKT-Störungen (gemäß Artikel 6 Absatz 8 Buchstabe b der DORA-Verordnung);
• c. Angemessenheit und Umsetzung der Strategie des Instituts für die digitale operationale Resilienz, einschließlich ihrer Abstimmung auf die Geschäftsstrategie;
• d. Übereinstimmung der Strategie für das IKT-Drittparteienrisiko, einschließlich der Strategie zur Nutzung mehrerer IKT-Anbieter, sofern verfügbar, mit der allgemeinen Geschäftsstrategie und dem IKT-Risikomanagementrahmen;
• e. Restrisiko aus den ermittelten Risiken des Instituts in Bezug auf vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen;
• f. Restrisiko aus den vom Institut ermittelten Risiken bei IKT-Projekten, die sich auf kritische oder wichtige Funktionen auswirken und dem Leitungsorgan gemeldet wurden, sowie bei der Beschaffung, der Entwicklung und der Wartung von IKT-Systemen und bei IKT-Änderungen;
• g. Solidität und Vollständigkeit des Programms für Tests der digitalen operationalen Resilienz;
• h. Trend und Ausmaß schwerwiegender IKT-bezogener Vorfälle und Feststellungen, über die dem Leitungsorgan gemäß Artikel 17 Absatz 3 Buchstabe e und Artikel 13 Absatz 5 der DORA-Verordnung Bericht erstattet wird;
• i. IKT-Risikokontrollen, die für das ermittelte wesentliche IKT-Risiko spezifisch sind;
• j. zeitnahe Berichterstattung über Aspekte des IKT-Risikomanagements an das Leitungsorgan und die Geschäftsleitung;
• k. interner Prüfungsumfang und -feststellungen.

³⁶ Gemäß der DORA-Verordnung sollten diese mindestens die Informationssicherheitsleitlinie, die Datensicherungsrichtlinie, die Richtlinie für das Management von IKT-Assets, die Richtlinie für Verschlüsselung und kryptografische Kontrollen, die Richtlinie für das Management kryptografischer Schlüssel, die Richtlinie für das IKT-Projektmanagement, die Richtlinie für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen, die Richtlinie für Personalpolitik, die Richtlinie für die physische Sicherheit und Sicherheit vor Umweltereignissen sowie die Richtlinien für die Behandlung IKT-bezogener Vorfälle und die Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden.

1. Übersicht

1.1 Referenzen

• Artikel 14 Kommunikation
• Artikel 13 (5)

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.