3.2 Identificación de riesgos de TIC materiales

Las autoridades competentes identificarán los riesgos de TIC materiales a los que la entidad está o podría estar expuesta y, para ello, seguirán las etapas que se indican a continuación. 3.2.1 Revisión del perfil de riesgo de TIC de la entidad

Al examinar el perfil de riesgo de TIC de la entidad, las autoridades competentes considerarán toda la información pertinente sobre sus exposiciones al riesgo de TIC, incluida la información a la que se refiere el apartado 37, y las deficiencias o debilidades significativas identificadas en la organización de las TIC y en los controles globales de la entidad llevados a cabo de conformidad con el título 2 de las presentes Directrices y, en su caso, revisarán esta información de manera proporcionada. Como parte de esta revisión, las autoridades competentes considerarán:

• a. El impacto potencial de una interrupción significativa en los sistemas de TIC de la entidad sobre el sistema financiero, ya sea a nivel nacional o internacional;
• b. si la entidad puede estar sujeta a riesgos de seguridad de TIC o a riesgos de disponibilidad y continuidad de las TIC debido a dependencias de internet, a la adopción de múltiples soluciones de TIC innovadoras u otros canales de distribución de negocio que pueden aumentar su vulnerabilidad frente a los ciberataques;
• c. si la entidad puede estar más expuesta a riesgos de seguridad de TIC, riesgos de disponibilidad y continuidad de las TIC, riesgos de integridad de datos TIC o riesgos de cambio de las TIC debido a la complejidad (por ejemplo, como resultado de fusiones o adquisiciones) o a la naturaleza obsoleta de sus sistemas de TIC;
• d. si la entidad está llevando a cabo cambios importantes en sus sistemas o en su función de TIC (por ejemplo, como resultado de fusiones, adquisiciones, desinversiones o la sustitución de sus sistemas básicos de TIC) que pueden afectar negativamente a la estabilidad o al funcionamiento ordenado de los sistemas de TIC y pueden dar lugar a riesgos materiales de disponibilidad y continuidad de las TIC, riesgos de seguridad de las TIC, riesgos de cambio de las TIC o riesgos de integridad de datos TIC;
• e. si la entidad ha subcontratado servicios de TIC o sistemas de TIC dentro o fuera del grupo que pueden exponerla a riesgos de externalización de las TIC materiales;
• f. si la entidad está aplicando medidas agresivas de reducción de costes de TIC que pueden dar lugar a una reducción de las inversiones y recursos de TIC y del conocimiento sobre TIC necesarios y pueden aumentar la exposición a todos los tipos de riesgos de TIC de la taxonomía;
• g. Si la localización de centros de operaciones/de datos de TIC importantes (por ejemplo, regiones, países) puede exponer a la entidad a desastres naturales (por ejemplo, inundaciones, terremotos), inestabilidad política o conflictos laborales y disturbios civiles que pueden dar lugar a un aumento sustancial de los riesgos de disponibilidad y continuidad de las TIC y de los riesgos de seguridad de las TIC.

3.2.2 Revisión de los sistemas y servicios de TIC críticos

Como parte del proceso para identificar los riesgos de TIC que podrían tener un impacto prudencial significativo en la entidad, las autoridades competentes deberán revisar la documentación de la entidad y formarse una opinión sobre qué sistemas y servicios de TIC son críticos para el adecuado funcionamiento, disponibilidad, continuidad y seguridad de las actividades esenciales de la entidad.

Para ello, las autoridades competentes revisarán la metodología y los procesos aplicados por la entidad para identificar los sistemas y servicios de TIC que son críticos, teniendo en cuenta que algunos sistemas y servicios de TIC pueden ser considerados críticos por la entidad desde una perspectiva de continuidad y disponibilidad de la actividad, o desde una perspectiva de seguridad (por ejemplo, prevención del fraude) o de confidencialidad (por ejemplo, datos confidenciales). Al realizar la revisión, las autoridades competentes tendrán en cuenta que los sistemas y servicios críticos de TIC deben cumplir al menos una de las siguientes condiciones:

• a. dan soporte a las principales operaciones de negocio y canales de distribución (por ejemplo, cajeros automáticos, banca por internet y banca móvil) de la entidad;
• b. prestan apoyo a los procesos de gobierno y las funciones corporativas esenciales, incluida la gestión de riesgos (por ejemplo, los sistemas de gestión de riesgos y sistemas de gestión de tesorería);
• c. están sujetos a requisitos jurídicos o regulatorios especiales (en su caso) que imponen mayores exigencias de disponibilidad, resiliencia, confidencialidad o seguridad (por ejemplo, legislación sobre protección de datos o posibles «objetivos de tiempo de recuperación» [RTO, el tiempo máximo dentro del cual un sistema o proceso debe ser restaurado después de un incidente] y «Objetivo de punto de recuperación» [RPO, el periodo máximo de datos que puede perderse en caso de que se produzca un incidente]) para algunos servicios importantes desde un punto de vista sistémico (en su caso);
• d. procesan o almacenan datos confidenciales o sensibles, cuyo acceso no autorizado podría afectar significativamente a la reputación de la entidad, los resultados financieros o la solidez y la continuidad de su negocio (por ejemplo, bases de datos con datos sensibles de los clientes); o
• e. proporcionan funcionalidades básicas que son vitales para el adecuado funcionamiento de la entidad (por ejemplo, servicios de telecomunicaciones y de conectividad, servicios de TIC y de ciberseguridad).

3.2.3 Identificación de riesgos de TIC materiales para los sistemas y servicios de TIC críticos

Teniendo en cuenta las revisiones del perfil de riesgo de TIC y de los sistemas y servicios de TIC críticos de la entidad arriba mencionadas, las autoridades competentes deberán formarse una opinión sobre los riesgos de TIC materiales que, a su juicio, pueden tener un impacto prudencial significativo en los sistemas y servicios de TIC críticos de la entidad.

Al evaluar el impacto potencial de los riesgos de TIC en los sistemas y servicios de TIC críticos de la entidad, las autoridades competentes tendrán en cuenta:

• a. El impacto financiero, incluyendo (entre otros) la pérdida de fondos o activos, las posibles compensaciones a clientes, los costes legales y de reparación, los daños y perjuicios contractuales, la pérdida de ingresos;
• b. La probabilidad de interrupción del negocio, considerando (entre otros aspectos) la criticidad de los servicios financieros afectados; el número de clientes o sucursales y de empleados potencialmente afectados;
• c. El impacto potencial sobre la reputación de la entidad en función de la criticidad del servicio bancario o de la actividad operativa afectada (por ejemplo, el robo de datos de clientes); el perfil/visibilidad externa de los sistemas y servicios de TIC afectados (por ejemplo, sistemas bancarios móviles o por internet, puntos de venta, cajeros automáticos o sistemas de pago);
• d. El impacto regulatorio, incluida la probabilidad de censura pública por parte del regulador, multas o incluso la modificación de los permisos.
• e. El impacto estratégico en la entidad, por ejemplo, si se comprometen o roban los planes estratégicos de producto o de negocio.

Posteriormente, las autoridades competentes asignarán los riesgos de TIC identificados que se consideran materiales a las siguientes categorías de riesgo de TIC, para las cuales se proporcionan descripciones y ejemplos adicionales en el anexo. Las autoridades competentes deberán considerar los riesgos de TIC descritos en el anexo como parte de la evaluación del título 3:

• a. Riesgo de disponibilidad y de continuidad de las TIC
• b. Riesgo de seguridad de las TIC
• c. Riesgo de cambio de las TIC
• d. Riesgo de integridad de datos TIC
• e. Riesgo de externalización de las TIC

La asignación tiene como fin ayudar a las autoridades competentes a determinar qué riesgos son materiales (en su caso) y, por lo tanto, deben someterse a una revisión más profunda o pormenorizada en las etapas siguientes de evaluación.