39. Bei der Überprüfung des IKT-Risikoprofils des Instituts sollten die zuständigen Behörden alle …

Bei der Überprüfung des IKT-Risikoprofils des Instituts sollten die zuständigen Behörden alle relevanten Informationen über die IKT-Risikopositionen des Instituts, einschließlich der Informationen gemäß Absatz 37 und der festgestellten erheblichen Mängel oder Schwachstellen in der IKT-Organisation und den institutsweiten Kontrollen unter Titel 2 dieser Leitlinien, berücksichtigen und diese Informationen gegebenenfalls in einer angemessenen Weise überprüfen. Im Rahmen dieser Überprüfung sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. die potenziellen Auswirkungen einer erheblichen Störung der IKT-Systeme des Instituts auf das Finanzsystem auf nationaler oder internationaler Ebene;
• b. ob das Institut aufgrund von Internet-Abhängigkeiten, einer hohen Akzeptanz innovativer IKT-Lösungen oder anderen geschäftlichen Vertriebskanälen, die es zu einem wahrscheinlichen Ziel für Cyber-Angriffe machen, womöglich IKT-Sicherheitsrisiken und IKT-Verfügbarkeits- und Kontinuitätsrisiken ausgesetzt ist;
• c. ob das Institut aufgrund seiner komplexen (z. B. infolge von Fusionen oder Akquisitionen) oder veralteten IKT-Systeme womöglich in verstärktem Maße IKT-Sicherheitsrisiken, IKT-Verfügbarkeits- und Kontinuitätsrisiken, IKT-Datenintegritätsrisiken oder IKT-Änderungsrisiken ausgesetzt ist;
• d. ob das Institut erhebliche Änderungen an seinen IKT-Systemen und/oder seiner IKT-Funktion vornimmt (z. B. durch Fusionen, Akquisitionen, Desinvestitionen oder den Austausch ihrer IKT-Kernsysteme), die die Stabilität oder das ordnungsgemäße Funktionieren der IKT-Systeme beeinträchtigen können und zu erheblichen IKT-Verfügbarkeits- und Kontinuitätsrisiken, IKT-Sicherheitsrisiken, IKT-Änderungsrisiken oder IKT-Datenintegritätsrisiken führen können;
• e. ob das Institut IKT-Dienstleistungen oder IKT-Systeme innerhalb oder außerhalb der Gruppe ausgelagert hat, wodurch es erheblichen IKT-Auslagerungsrisiken ausgesetzt sein kann;
• f. ob das Institut aggressive IKT-Kostensenkungsmaßnahmen durchführt, die eine Reduzierung der erforderlichen IKT-Investitionen, Ressourcen und IT-Kompetenzen bewirken können und die Exposition gegenüber allen IKT-Risikoarten in der Taxonomie erhöhen können;
• g. ob der Standort wichtiger IKT-Maßnahmen/Rechenzentren (z. B. Regionen, Länder) das Institut Naturkatastrophen (z. B. Überschwemmungen, Erdbeben), politischer Instabilität oder Arbeitskonflikten und zivilen Unruhen aussetzen kann, die zu einer erheblichen Zunahme der IKT-Verfügbarkeits- und Kontinuitätsrisiken und der IKT-Sicherheitsrisiken führen können.

3.2.2 Überprüfung der kritischen IKT-Systeme und -Dienste

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/