214. Σύμφωνα με τον DORA, οι αρμόδιες αρχές πρέπει να εξετάζουν τον προσδιορισμό, την ταξινόμηση …

Σύμφωνα με τον DORA, οι αρμόδιες αρχές πρέπει να εξετάζουν τον προσδιορισμό, την ταξινόμηση και την τεκμηρίωση από το ίδρυμα όλων των επιχειρηματικών λειτουργιών, ρόλων και αρμοδιοτήτων που υποστηρίζονται από ΤΠΕ, των πληροφοριακών πόρων³⁴ και των πόρων ΤΠΕ³⁵ που υποστηρίζουν τις εν λόγω λειτουργίες, καθώς και τους ρόλους και τις εξαρτήσεις τους σε σχέση με τον κίνδυνο ΤΠΕ. Η εξέταση αυτή πρέπει να βοηθά τις αρμόδιες αρχές να κατανοούν πλήρως τα εγγενή ανοίγματα του ιδρύματος σε κίνδυνο ΤΠΕ (προφίλ κινδύνου ΤΠΕ), να εντοπίζουν σημαντικούς εγγενείς κινδύνους ΤΠΕ και να διαμορφώνουν άποψη σχετικά με τις επιπτώσεις τους στην προληπτική εποπτεία. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τουλάχιστον τα ακόλουθα, κατά περίπτωση:

• α. την αναφορά σχετικά με την εξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ (σύμφωνα με το άρθρο 6 παράγραφος 5 του DORA)·
• β. τις πηγές κινδύνων ΤΠΕ, ιδίως την έκθεση σε κίνδυνο από και προς άλλες χρηματοοικονομικές οντότητες, η οποία προσδιορίζεται από το ίδρυμα σύμφωνα με το άρθρο 8 παράγραφος 2 του DORA·
• γ. τα αναφερόμενα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ (σύμφωνα με το άρθρο 19 παράγραφος 1 του DORA), συμπεριλαμβανομένης της τάσης των συγκεντρωτικών ετήσιων δαπανών και ζημιών, οι οποίες προκαλούνται από μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ (σύμφωνα με το άρθρο 11 παράγραφος 10 του DORA)·
• δ. τα αποτελέσματα των δοκιμών που προβλέπονται στο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας (σύμφωνα με το άρθρο 24 του DORA), συμπεριλαμβανομένης της σύνοψης των ευρημάτων των δοκιμών παρείσδυσης απειλών (Threat-led penetration testing - TLPT) και των σχετικών σχεδίων αποκατάστασης (σύμφωνα με το άρθρο 26 παράγραφος 6 του DORA)·
• ε. το μητρώο πληροφοριών (σύμφωνα με το άρθρο 28 παράγραφος 3 του DORA), μεταξύ άλλων του βαθμού συγκέντρωσης σε τρίτους παρόχους υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων των ενδοομιλικών παρόχων υπηρεσιών ΤΠΕ, του είδους υπηρεσιών ΤΠΕ ή/και των συστημάτων ΤΠΕ·

στ. τις συστάσεις και τις γνώμες των κύριων εποπτικών φορέων (σύμφωνα με το άρθρο 40 παράγραφος 3 και το άρθρο 42 παράγραφος 7 του DORA) και τις σχετικές απαντήσεις, εκθέσεις και πληροφορίες από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ (σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο γ), το άρθρο 42 παράγραφος 1 και το άρθρο 48 παράγραφος 2 του DORA)·

• ζ. το επίπεδο πολυπλοκότητας των συστημάτων ΤΠΕ και τα αποτελέσματα της αξιολόγησης κινδύνων ΤΠΕ στα παρωχημένα συστήματα ΤΠΕ (σύμφωνα με το άρθρο 8 παράγραφος 7 του DORA)·
• η. την αξιολόγηση κινδύνων έπειτα από σημαντικές αλλαγές (σύμφωνα με το άρθρο 8 παράγραφος 3 του DORA)·
• θ. το επίπεδο θέσπισης και ενσωμάτωσης καινοτόμων λύσεων ΤΠΕ·
• ι. τις τοποθεσίες, δηλαδή τις περιφέρειες ή τις χώρες όπου βρίσκονται κέντρα δεδομένων και ευαίσθητοι οριοθετημένοι χώροι, συμπεριλαμβανομένων εκείνων όπου παρέχονται υπηρεσίες ΤΠΕ από τρίτους παρόχους υπηρεσιών ΤΠΕ βάσει συμβατικών ρυθμίσεων, καθώς και την τοποθεσία επεξεργασίας και αποθήκευσης των δεδομένων·

ια. οποιεσδήποτε σχετικές σημαντικές ελλείψεις ή αδυναμίες που εντοπίζονται σύμφωνα με τον τίτλο 5·

ιβ. τις αυτοαξιολογήσεις κινδύνων ΤΠΕ και ελέγχων (εάν παρέχονται στις πληροφορίες ΔΑΕΕΚ)·

ιγ. τις πληροφορίες σχετικά με τη διαχείριση κινδύνων ΤΠΕ που υποβάλλονται στο διοικητικό όργανο του ιδρύματος·

ιδ. τα ευρήματα εσωτερικών και εξωτερικών ελέγχων που σχετίζονται με τις ΤΠΕ·

ιε. το περιβάλλον εξωτερικών απειλών, συμπεριλαμβανομένων των πληροφοριών σχετικά με τις απειλές και τις ευπάθειες.

Εξέταση συστημάτων ΤΠΕ και υπηρεσιών ΤΠΕ

³⁴ Άρθρο 3 παράγραφος 6 του Κανονισμού (ΕΕ) 2022/2554

³⁵ Άρθρο 3 παράγραφος 7 του Κανονισμού (ΕΕ) 2022/2554

1. Επισκόπηση

1.1 Παραπομπές

• Άρθρο 6 5
• Άρθρο 8 2
• Άρθρο 19 1
• Άρθρο 11 10
• Άρθρο 24 Γενικές απαιτήσεις για τη διενέργεια δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας
• Άρθρο 26 6
• Άρθρο 28 3
• Άρθρο 42 7
• Άρθρο 48 2
• Άρθρο 8 7
• Άρθρο 8 3

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.