230. Οι αρμόδιες αρχές πρέπει να κατανοούν πλήρως το πλαίσιο διαχείρισης κινδύνων ΤΠΕ του ιδρύματος …

Οι αρμόδιες αρχές πρέπει να κατανοούν πλήρως το πλαίσιο διαχείρισης κινδύνων ΤΠΕ του ιδρύματος και να αξιολογούν κατά πόσον το ίδρυμα εφαρμόζει επαρκείς και κατάλληλες στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ, συμπεριλαμβανομένων επιπέδων ανοχής κινδύνου, για την αποτελεσματική, αποδοτική και ολοκληρωμένη αντιμετώπιση σημαντικών κινδύνων ΤΠΕ σύμφωνα με τον DORA. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να εξετάζουν, κατά περίπτωση:

• α. την καταλληλότητα και την αποτελεσματικότητα των πολιτικών διαχείρισης κινδύνων ΤΠΕ του ιδρύματος³⁶ , των διεργασιών και των διαδικασιών, οι οποίες καλύπτουν, μεταξύ άλλων, τη διαχείριση των ΤΠΕ από τρίτους, τον εντοπισμό και την απόκριση σε συμβάντα που σχετίζονται με τις ΤΠΕ, τη διαχείριση της αξιολόγησης των ΤΠΕ, την κρυπτογράφηση και την κρυπτογραφία, την ασφάλεια λειτουργιών ΤΠΕ, την ασφάλεια δικτύου, τον έλεγχο πρόσβασης, καθώς και το κατά πόσον αυτά έχουν εγκριθεί από το διοικητικό όργανο και έχουν κοινοποιηθεί σε όλους τους σχετικούς εμπλεκόμενους φορείς (σύμφωνα με το άρθρο 14 του DORA)·
• β. την καταλληλότητα του επιπέδου ανοχής κινδύνου του ιδρύματος όσον αφορά τους κινδύνους ΤΠΕ και της ανοχής στις επιπτώσεις για τις διαταραχές των ΤΠΕ (σύμφωνα με το άρθρο 6 παράγραφος 8 στοιχείο β) του DORA)·
• γ. την καταλληλότητα και την εφαρμογή της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας του ιδρύματος, συμπεριλαμβανομένης της ευθυγράμμισής της με την επιχειρηματική στρατηγική·
• δ. τη συνέπεια της στρατηγικής για τους κινδύνους τρίτων παρόχων ΤΠΕ, συμπεριλαμβανομένης της στρατηγικής πολλαπλών προμηθευτών ΤΠΕ, κατά περίπτωση, με τη συνολική επιχειρηματική στρατηγική και το πλαίσιο διαχείρισης κινδύνων ΤΠΕ·
• ε. τον υπολειπόμενο κίνδυνο από τους κινδύνους που έχει εντοπίσει το ίδρυμα σε σχέση με τις συμβατικές ρυθμίσεις για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·

στ. τον υπολειπόμενο κίνδυνο από τους κινδύνους που έχει εντοπίσει το ίδρυμα σε σχέση με έργα ΤΠΕ τα οποία επηρεάζουν κρίσιμες ή σημαντικές λειτουργίες και για τα οποία έχει υποβληθεί αναφορά στο διοικητικό όργανο, καθώς και σε σχέση με την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ και τις αλλαγές στον τομέα των ΤΠΕ·

• ζ. την αρτιότητα και την πληρότητα του προγράμματος δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας·
• η. την τάση και το μέγεθος μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και τα ευρήματα που αναφέρονται στο διοικητικό όργανο σύμφωνα με το άρθρο 17 παράγραφος 3 στοιχείο ε) και το άρθρο 13 παράγραφος 5 του DORA·
• θ. τους ελέγχους κινδύνων ΤΠΕ που αφορούν συγκεκριμένα τον μείζονα κίνδυνο ΤΠΕ που προσδιορίστηκε·
• ι. την έγκαιρη υποβολή αναφορών στο διοικητικό όργανο και τα ανώτερα διοικητικά στελέχη σχετικά με πτυχές της διαχείρισης κινδύνων ΤΠΕ·

ια. την κάλυψη και τα ευρήματα του εσωτερικού ελέγχου.

³⁶ Σύμφωνα με τον DORA, οι πολιτικές αυτές πρέπει να περιλαμβάνουν τουλάχιστον την πολιτική ασφάλειας των πληροφοριών, τις πολιτικές δημιουργίας εφεδρικών συστημάτων, την πολιτική διαχείρισης πόρων ΤΠΕ, την πολιτική κρυπτογράφησης και κρυπτογραφικών ελέγχων, την πολιτική διαχείρισης κρυπτογραφικών κλειδιών, την πολιτική διαχείρισης έργων ΤΠΕ, την πολιτική απόκτησης, ανάπτυξης και συντήρησης συστημάτων ΤΠΕ, την πολιτική ανθρώπινων πόρων, την πολιτική φυσικής και περιβαλλοντικής ασφάλειας, την πολιτική διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και την πολιτική σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες και παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.

1. Επισκόπηση

1.1 Παραπομπές

• Άρθρο 14 Επικοινωνία
• Άρθρο 13 5

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.