39. Κατά την επανεξέταση του προφίλ κινδύνων ΤΠΕ του ιδρύματος, οι αρμόδιες αρχές θα πρέπει να …

Κατά την επανεξέταση του προφίλ κινδύνων ΤΠΕ του ιδρύματος, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη όλες τις σχετικές πληροφορίες για την έκθεση του ιδρύματος σε κινδύνους ΤΠΕ, συμπεριλαμβανομένων των πληροφοριών της παραγράφου 37 και των ουσιωδών ανεπαρκειών ή αδυναμιών που έχουν εντοπιστεί στην οργάνωση ΤΠΕ και στους ελέγχους σε επίπεδο ιδρύματος, δυνάμει του τίτλου 2 των παρόντων κατευθυντήριων γραμμών και, εφόσον ενδείκνυται, να επανεξετάζουν τις πληροφορίες αυτές κατά αναλογικό τρόπο. Στο πλαίσιο αυτής της επανεξέτασης, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη:

• α. τον ενδεχόμενο αντίκτυπο μιας σημαντικής διατάραξης των συστημάτων ΤΠΕ του ιδρύματος στο χρηματοπιστωτικό σύστημα είτε σε εγχώριο είτε σε διεθνές επίπεδο·
• β. εάν το ίδρυμα ενδέχεται να υπόκειται σε κινδύνους που αφορούν την ασφάλεια των ΤΠΕ ή σε κινδύνους που αφορούν τη διαθεσιμότητα και τη συνέχεια των ΤΠΕ λόγω εξάρτησης από το διαδίκτυο, εφαρμογής καινοτόμων λύσεων ΤΠΕ σε μεγάλη έκταση ή άλλων επιχειρηματικών διαύλων διανομής που ενδέχεται να το καθιστούν πιθανότερο στόχο επιθέσεων από τον κυβερνοχώρο·
• γ. εάν το ίδρυμα μπορεί να είναι περισσότερο εκτεθειμένο σε κινδύνους ασφάλειας ΤΠΕ, κινδύνους διαθεσιμότητας και συνέχειας των ΤΠΕ, κινδύνους ακεραιότητας δεδομένων ΤΠΕ ή κινδύνους αλλαγών των ΤΠΕ λόγω της πολυπλοκότητας (π.χ. ως αποτέλεσμα συγχωνεύσεων ή εξαγορών) ή του παρωχημένου χαρακτήρα των συστημάτων ΤΠΕ που διαθέτει·
• δ. εάν το ίδρυμα πραγματοποιεί ουσιώδεις αλλαγές στα συστήματα ΤΠΕ που διαθέτει και/ή στο τμήμα ΤΠΕ (π.χ. ως αποτέλεσμα συγχωνεύσεων, εξαγορών, εκποιήσεων ή της αντικατάστασης των βασικών συστημάτων ΤΠΕ που διαθέτει), οι οποίες δύνανται να επηρεάσουν αρνητικά τη σταθερότητα ή την ορθή λειτουργία των συστημάτων ΤΠΕ και να προκαλέσουν ουσιώδεις κινδύνους διαθεσιμότητας και συνέχειας των ΤΠΕ, κινδύνους ασφάλειας των ΤΠΕ, κινδύνους αλλαγών των ΤΠΕ ή κινδύνους ακεραιότητας δεδομένων ΤΠΕ·
• ε. εάν το ίδρυμα έχει αναθέσει εξωτερικά υπηρεσίες ΤΠΕ ή συστήματα ΤΠΕ εντός ή εκτός του ομίλου και, λόγω αυτής της ενέργειας, μπορεί να εκτίθεται σε ουσιώδεις κινδύνους εξωτερικής ανάθεσης ΤΠΕ· στ. εάν το ίδρυμα εφαρμόζει επιθετικά μέτρα μείωσης του κόστους των ΤΠΕ τα οποία δύνανται να επιφέρουν μείωση των απαιτούμενων επενδύσεων σε ΤΠΕ, πόρων ΤΠΕ και τεχνογνωσίας στον τομέα της πληροφορικής και να αυξήσουν την έκθεση σε όλους τους τύπους κινδύνων ΤΠΕ στην ταξινόμηση·
• ζ. εάν η τοποθεσία σημαντικών δραστηριοτήτων/ μηχανογραφικών κέντρων ΤΠΕ (π.χ. περιφέρειες, χώρες) δύναται να εκθέτει το ίδρυμα σε φυσικές καταστροφές (π.χ. πλημμύρες, σεισμούς), πολιτική αστάθεια ή εργασιακές διαμάχες και πολιτικές αναταραχές οι οποίες μπορεί να επιφέρουν ουσιαστική αύξηση των κινδύνων διαθεσιμότητας και συνέχειας των ΤΠΕ και των κινδύνων ασφάλειας των ΤΠΕ.

3.2.2 Επανεξέταση των κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/