39. Al examinar el perfil de riesgo de TIC de la entidad, las autoridades competentes considerarán …

Al examinar el perfil de riesgo de TIC de la entidad, las autoridades competentes considerarán toda la información pertinente sobre sus exposiciones al riesgo de TIC, incluida la información a la que se refiere el apartado 37, y las deficiencias o debilidades significativas identificadas en la organización de las TIC y en los controles globales de la entidad llevados a cabo de conformidad con el título 2 de las presentes Directrices y, en su caso, revisarán esta información de manera proporcionada. Como parte de esta revisión, las autoridades competentes considerarán:

• a. El impacto potencial de una interrupción significativa en los sistemas de TIC de la entidad sobre el sistema financiero, ya sea a nivel nacional o internacional;
• b. si la entidad puede estar sujeta a riesgos de seguridad de TIC o a riesgos de disponibilidad y continuidad de las TIC debido a dependencias de internet, a la adopción de múltiples soluciones de TIC innovadoras u otros canales de distribución de negocio que pueden aumentar su vulnerabilidad frente a los ciberataques;
• c. si la entidad puede estar más expuesta a riesgos de seguridad de TIC, riesgos de disponibilidad y continuidad de las TIC, riesgos de integridad de datos TIC o riesgos de cambio de las TIC debido a la complejidad (por ejemplo, como resultado de fusiones o adquisiciones) o a la naturaleza obsoleta de sus sistemas de TIC;
• d. si la entidad está llevando a cabo cambios importantes en sus sistemas o en su función de TIC (por ejemplo, como resultado de fusiones, adquisiciones, desinversiones o la sustitución de sus sistemas básicos de TIC) que pueden afectar negativamente a la estabilidad o al funcionamiento ordenado de los sistemas de TIC y pueden dar lugar a riesgos materiales de disponibilidad y continuidad de las TIC, riesgos de seguridad de las TIC, riesgos de cambio de las TIC o riesgos de integridad de datos TIC;
• e. si la entidad ha subcontratado servicios de TIC o sistemas de TIC dentro o fuera del grupo que pueden exponerla a riesgos de externalización de las TIC materiales;
• f. si la entidad está aplicando medidas agresivas de reducción de costes de TIC que pueden dar lugar a una reducción de las inversiones y recursos de TIC y del conocimiento sobre TIC necesarios y pueden aumentar la exposición a todos los tipos de riesgos de TIC de la taxonomía;
• g. Si la localización de centros de operaciones/de datos de TIC importantes (por ejemplo, regiones, países) puede exponer a la entidad a desastres naturales (por ejemplo, inundaciones, terremotos), inestabilidad política o conflictos laborales y disturbios civiles que pueden dar lugar a un aumento sustancial de los riesgos de disponibilidad y continuidad de las TIC y de los riesgos de seguridad de las TIC.

3.2.2 Revisión de los sistemas y servicios de TIC críticos

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.