214. Tal como se estipula en el Reglamento DORA, las autoridades competentes analizarán la …

Tal como se estipula en el Reglamento DORA, las autoridades competentes analizarán la identificación, clasificación y documentación por parte de la entidad de todas las funciones de negocio, cometidos y responsabilidades sustentados por las TIC, los activos de información³⁴ y los activos de TIC³⁵ que dan soporte a dichas funciones y sus cometidos y dependencias en relación con el riesgo de TIC. Este análisis ayudará a las autoridades competentes a adquirir un conocimiento exhaustivo de la exposición de la entidad a los riesgos de TIC inherentes (perfil de riesgo de las TIC), identificar sus riesgos de TIC inherentes materiales y formarse una opinión sobre su impacto prudencial. A tal fin, las autoridades competentes tendrán en cuenta, como mínimo, los siguientes aspectos, cuando proceda y sea aplicable:

• a. el informe sobre el análisis del marco de gestión del riesgo relacionado con las TIC (de conformidad con el artículo 6, apartado 5, del Reglamento DORA);
• b. las fuentes de riesgo relacionado con las TIC, en particular la exposición al riesgo para con otras entidades financieras que identifique la entidad o derivada de ellas, según estipula el artículo 8, apartado 2, del Reglamento DORA;
• c. los incidentes graves relacionados con las TIC que se notifiquen (con arreglo al artículo 19, apartado 1, del Reglamento DORA), incluida la evolución de los costes y pérdidas anuales agregados causados por incidentes graves relacionados con las TIC (según estipula el artículo 11, apartado 10, del Reglamento DORA);
• d. los resultados de las pruebas previstas en el programa de pruebas de resiliencia operativa digital (de conformidad con el artículo 24 del Reglamento DORA), incluido un resumen de las deficiencias detectadas en la prueba de penetración basada en amenazas y los planes correctores pertinentes (con arreglo al artículo 26, apartado 6, del Reglamento DORA);
• e. un registro de información (de conformidad con el artículo 28, apartado 3, del Reglamento DORA), incluido el grado de concentración en proveedores terceros de servicios de TIC, también los proveedores intragrupo de servicios de TIC, por tipo de servicios de TIC o sistemas de TIC;
• f. las recomendaciones y dictámenes de los supervisores principales (de conformidad con el artículo 40, apartado 3, y el artículo 42, apartado 7, del Reglamento DORA) y las respuestas, informes e información relacionados de proveedores terceros esenciales de servicios de TIC [con arreglo al artículo 35, apartado 1, letra c), al artículo 42, apartado 1, y al artículo 48, apartado 2, del Reglamento DORA];
• g. el nivel de complejidad de los sistemas de TIC y los resultados de la evaluación del riesgo relacionado con las TIC en todos los sistemas de TIC heredados (de conformidad con el artículo 8, apartado 7, del Reglamento DORA);
• h. la evaluación del riesgo de cambios importantes (de conformidad con el artículo 8, apartado 3, del Reglamento DORA);
• i. el grado de adopción e integración de soluciones innovadoras de TIC;
• j. las ubicaciones, esto es, las regiones o países, de los centros de datos y las zonas sensibles designadas, incluidas aquellas en las que los servicios de TIC son prestados por terceros proveedores de servicios de TIC, abarcando también la ubicación del tratamiento y el almacenamiento de datos;
• k. las deficiencias o debilidades importantes relacionadas detectadas en el título 5;
• l. las autoevaluaciones del riesgo de TIC y de controles (si se proporciona en la información del ICAAP);
• m. la información de la gestión de los riesgos de TIC que se presente al órgano de administración de la entidad;
• n. los resultados de las auditorías internas y externas relacionadas con las TIC;
• o. el entorno de amenazas externas, incluida la información sobre amenazas y vulnerabilidades.

Evaluación de los sistemas de TIC y los servicios de TIC

³⁴ Artículo 3, apartado 6, del Reglamento (UE) 2022/2554

³⁵ Artículo 3, apartado 7, del Reglamento (UE) 2022/2554

1. Resumen

1.1 Referencias

• Artículo 6 5
• Artículo 8 2
• Artículo 19 1
• Artículo 11 10
• Artículo 24 Requisitos generales para la realización de pruebas de resiliencia operativa digital
• Artículo 26 6
• Artículo 28 3
• Artículo 42 7
• Artículo 48 2
• Artículo 8 7
• Artículo 8 3

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.