230. Las autoridades competentes adquirirán un conocimiento profundo del marco de gestión del …

Las autoridades competentes adquirirán un conocimiento profundo del marco de gestión del riesgo de TIC de la entidad y evaluarán si esta cuenta con estrategias, políticas, procedimientos, protocolos y herramientas de TIC suficientes y adecuados, incluidos los niveles de tolerancia, para abordar de forma eficaz, eficiente y exhaustiva los riesgos de TIC materiales, de conformidad con el Reglamento DORA. A tal fin, las autoridades competentes considerarán, cuando proceda:

• a. la idoneidad y eficacia de las políticas³⁶ , los procesos y los procedimientos de gestión de riesgos de TIC de la entidad, que abarquen, entre otros aspectos, la gestión de terceros en materia de TIC, la detección y respuesta ante incidentes relacionados con las TIC, la gestión de activos de TIC, el cifrado y la criptografía, la seguridad de las operaciones de TIC, la seguridad de la red y el control de acceso, así como si estos han sido aprobados por el órgano de administración y comunicados a todas las partes interesadas pertinentes (de conformidad con el artículo 14 del Reglamento DORA);
• b. la idoneidad del nivel de tolerancia al riesgo relacionado con las TIC de la entidad y la tolerancia al impacto de las perturbaciones de las TIC (según el artículo 6, apartado 8, letra b), del Reglamento DORA);
• c. la idoneidad y la aplicación de la estrategia de resiliencia operativa digital de la entidad, incluida su coherencia con la estrategia de negocio;
• d. la coherencia de la estrategia sobre el riesgo relacionado con las TIC derivado de terceros, incluida la estrategia de múltiples proveedores de TIC, cuando exista, con la estrategia de negocio global y el marco de gestión del riesgo de TIC;
• e. el riesgo residual derivado de los riesgos identificados por la entidad en relación con los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales
• o importantes;
• f. el riesgo residual derivado de los riesgos identificados por la entidad en relación con los proyectos de TIC que afectan a funciones esenciales o importantes y que se han comunicado al órgano de administración, así como en relación con la adquisición, el desarrollo y el mantenimiento de los sistemas de TIC y los cambios en los mismos;
• g. la solidez y la exhaustividad del programa de pruebas de resiliencia operativa digital;
• h. la tendencia y magnitud de los incidentes graves relacionados con las TIC y las anomalías comunicadas al órgano de administración con arreglo al artículo 17, apartado 3, letra e), y al artículo 13, apartado 5, del Reglamento DORA;
• i. los controles de riesgos de TIC específicos para los riesgos de TIC materiales identificados;
• j. la rápida comunicación de los aspectos de la gestión del riesgo de TIC al órgano de administración y a la alta dirección;
• k. la cobertura de la auditoría interna y las conclusiones.

³⁶ De conformidad con el Reglamento DORA, estas deben incluir, como mínimo, la política de seguridad de la información, las políticas de copias de seguridad, la política de gestión de activos de TIC, la política de cifrado y de controles criptográficos, la política de gestión de claves criptográficas, la política de gestión de proyectos de TIC, la política de adquisición, desarrollo y mantenimiento de sistemas de TIC, la política de recursos humanos, la política de seguridad física y ambiental, la política de gestión de incidentes relacionados con las TIC y la política sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC.

1. Resumen

1.1 Referencias

• Artículo 14 Comunicación
• Artículo 13 5

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.