41. Para ello, las autoridades competentes revisarán la metodología y los procesos aplicados por la …

Para ello, las autoridades competentes revisarán la metodología y los procesos aplicados por la entidad para identificar los sistemas y servicios de TIC que son críticos, teniendo en cuenta que algunos sistemas y servicios de TIC pueden ser considerados críticos por la entidad desde una perspectiva de continuidad y disponibilidad de la actividad, o desde una perspectiva de seguridad (por ejemplo, prevención del fraude) o de confidencialidad (por ejemplo, datos confidenciales). Al realizar la revisión, las autoridades competentes tendrán en cuenta que los sistemas y servicios críticos de TIC deben cumplir al menos una de las siguientes condiciones:

• a. dan soporte a las principales operaciones de negocio y canales de distribución (por ejemplo, cajeros automáticos, banca por internet y banca móvil) de la entidad;
• b. prestan apoyo a los procesos de gobierno y las funciones corporativas esenciales, incluida la gestión de riesgos (por ejemplo, los sistemas de gestión de riesgos y sistemas de gestión de tesorería);
• c. están sujetos a requisitos jurídicos o regulatorios especiales (en su caso) que imponen mayores exigencias de disponibilidad, resiliencia, confidencialidad o seguridad (por ejemplo, legislación sobre protección de datos o posibles «objetivos de tiempo de recuperación» [RTO, el tiempo máximo dentro del cual un sistema o proceso debe ser restaurado después de un incidente] y «Objetivo de punto de recuperación» [RPO, el periodo máximo de datos que puede perderse en caso de que se produzca un incidente]) para algunos servicios importantes desde un punto de vista sistémico (en su caso);
• d. procesan o almacenan datos confidenciales o sensibles, cuyo acceso no autorizado podría afectar significativamente a la reputación de la entidad, los resultados financieros o la solidez y la continuidad de su negocio (por ejemplo, bases de datos con datos sensibles de los clientes); o
• e. proporcionan funcionalidades básicas que son vitales para el adecuado funcionamiento de la entidad (por ejemplo, servicios de telecomunicaciones y de conectividad, servicios de TIC y de ciberseguridad).

3.2.3 Identificación de riesgos de TIC materiales para los sistemas y servicios de TIC críticos

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.