+41. Zu diesem Zweck sollten die zuständigen Behörden die vom Institut angewandten Methoden und …

41. Zu diesem Zweck sollten die zuständigen Behörden die vom Institut angewandten Methoden und …

Zu diesem Zweck sollten die zuständigen Behörden die vom Institut angewandten Methoden und Prozesse überprüfen, um die kritischen IKT-Systeme und -Dienste zu ermitteln, wobei zu berücksichtigen ist, dass einige IKT-Systeme und -Dienste vom Institut im Hinblick auf die Geschäftskontinuität und die Verfügbarkeit, im Hinblick auf die Sicherheit (z. B. Betrugsverhütung) und/oder im Hinblick auf die Vertraulichkeit (z. B. vertrauliche Daten) als kritisch betrachtet werden können. Bei der Durchführung der Überprüfung sollten die zuständigen Behörden berücksichtigen, dass kritische IKT-Systeme und -Dienste mindestens eine der folgenden Bedingungen erfüllen sollten:

  • a. sie unterstützen das Kerngeschäft und die Vertriebskanäle (z. B. Geldautomaten, Online- und Mobile Banking) des Instituts;
  • b. sie unterstützen wesentliche Governance-Prozesse und Unternehmensfunktionen, einschließlich des Risikomanagements (z. B. Risikomanagementsysteme sowie Systeme zur Verwaltung der Finanzmittel);
  • c. sie unterliegen besonderen gesetzlichen oder aufsichtlichen Anforderungen (falls vorhanden), die für einige systemrelevante Dienste (falls und wo zutreffend) erhöhte Verfügbarkeits-, Ausfallsicherheits-, Vertraulichkeits- oder Sicherheitsanforderungen erforderlich machen (z. B. Datenschutzgesetze oder mögliche „Recovery Time Objectives“ (RTO, d. h. die maximale Zeitspanne, innerhalb derer ein System oder ein Prozess nach einem Ereignis wiederhergestellt werden muss) und „Recovery Point Objective“ (RPO, d. h. die maximale Zeitspanne, innerhalb derer Daten im Falle eines Ereignisses verloren gehen können);
  • d. sie verarbeiten oder speichern vertrauliche oder sensible Daten, bei denen sich ein unberechtigter Zugriff in erheblichem Maße auf den Ruf des Instituts, das Finanzergebnis oder die Solidität und Kontinuität seines Geschäfts (z. B. Datenbanken mit sensiblen Kundendaten) auswirken könnte; und/oder
  • e. sie bieten Basisfunktionen, die für das angemessene Funktionieren des Instituts (z. B. Telekommunikations- und Konnektivitätsdienste, IKT- und Cybersicherheitsdienste) von entscheidender Bedeutung sind.

3.2.3 Ermittlung erheblicher IKT-Risiken für kritische IKT-Systeme und -Dienste

1. Übersicht

,

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Standards

Standards
  • EBA - Published by the European Banking Authority at https://www.eba.europa.eu/