184. En lo que respecta a los riesgos de TIC y de la seguridad , las autoridades competentes deben …

En lo que respecta a los riesgos de TIC y de la seguridad⁵⁵ , las autoridades competentes deben estar convencidas de que el marco de gestión garantizará el funcionamiento sólido, fiable y seguro de los sistemas de información y comunicación que soportan las actividades de las entidades de crédito, así como la adecuada prevención, supervisión y mitigación de los riesgos de las TIC en momentos normales y de tensión. Las autoridades competentes evaluarán, en particular:

• (a) si el órgano de dirección tiene la responsabilidad general de establecer, aprobar y supervisar la aplicación de la estrategia de TIC de las entidades financieras, que debe estar alineada con la estrategia general de negocio de dichas entidades;
• (b) la definición y atribución claras de las funciones y responsabilidades clave, así como de los canales de información pertinentes, para que el marco de gestión de riesgos en materia de TIC y de seguridad sea eficaz, incluida la asignación de un presupuesto apropiado para apoyar adecuadamente las necesidades operativas de las TIC y la gestión de riesgos en materia de TIC y de seguridad;
• (c) si la gestión y la supervisión de los riesgos de TIC y de seguridad se confían a una función de control independiente y objetiva, debidamente segregada de los procesos operativos de TIC y no responsable de ninguna auditoría interna, y a una función de auditoría interna independiente;
• (d) los mecanismos para garantizar la identificación, el establecimiento y el mantenimiento de relaciones actualizadas entre las funciones de negocio, las responsabilidades y los procesos de apoyo para determinar la importancia de cada uno y sus interdependencias en relación con los riesgos en materia de TIC y de seguridad;
• (e) en la medida en que la información se conserve en sistemas de TIC, si se cumplirán los requisitos de seguridad de la información;
• (f) la escala, la complejidad y la importancia de las dependencias relacionadas con las TIC, si se prevé la externalización de las funciones operativas de los servicios de TIC y de cualquier actividad de los sistemas de TIC —incluido a entidades del grupo— o el uso de terceros en relación con dichas funciones y actividad.

⁵⁵ Tal y como se define en las Directrices de la ABE sobre gestión de riesgos de TIC y de seguridad , se entiende por «Riesgo de TIC y de seguridad»: «Riesgo de pérdida debido a la violación de la confidencialidad, al fallo de la integridad de los sistemas y los datos, a la inadecuación o indisponibilidad de los sistemas y los datos o a la imposibilidad de cambiar las tecnologías de la información (TI) en unos plazos y con unos costes razonables cuando cambian las necesidades del entorno o del negocio (es decir, la agilidad). Este riesgo incluye riesgos de seguridad resultantes de la inadecuación o el fallo de procesos internos o de sucesos externos, incluido el riesgo de ciberataques o el riesgo derivado de una seguridad física inadecuada».

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.