39. Al examinar el perfil de riesgo de TIC de la entidad, las autoridades competentes considerarán …

Al examinar el perfil de riesgo de TIC de la entidad, las autoridades competentes considerarán toda la información pertinente sobre sus exposiciones al riesgo de TIC, incluida la información a la que se refiere el apartado 37, y las deficiencias o debilidades significativas identificadas en la organización de las TIC y en los controles globales de la entidad llevados a cabo de conformidad con el título 2 de las presentes Directrices y, en su caso, revisarán esta información de manera proporcionada. Como parte de esta revisión, las autoridades competentes considerarán:

• a. El impacto potencial de una interrupción significativa en los sistemas de TIC de la entidad sobre el sistema financiero, ya sea a nivel nacional o internacional;
• b. si la entidad puede estar sujeta a riesgos de seguridad de TIC o a riesgos de disponibilidad y continuidad de las TIC debido a dependencias de internet, a la adopción de múltiples soluciones de TIC innovadoras u otros canales de distribución de negocio que pueden aumentar su vulnerabilidad frente a los ciberataques;
• c. si la entidad puede estar más expuesta a riesgos de seguridad de TIC, riesgos de disponibilidad y continuidad de las TIC, riesgos de integridad de datos TIC o riesgos de cambio de las TIC debido a la complejidad (por ejemplo, como resultado de fusiones o adquisiciones) o a la naturaleza obsoleta de sus sistemas de TIC;
• d. si la entidad está llevando a cabo cambios importantes en sus sistemas o en su función de TIC (por ejemplo, como resultado de fusiones, adquisiciones, desinversiones o la sustitución de sus sistemas básicos de TIC) que pueden afectar negativamente a la estabilidad o al funcionamiento ordenado de los sistemas de TIC y pueden dar lugar a riesgos materiales de disponibilidad y continuidad de las TIC, riesgos de seguridad de las TIC, riesgos de cambio de las TIC o riesgos de integridad de datos TIC;
• e. si la entidad ha subcontratado servicios de TIC o sistemas de TIC dentro o fuera del grupo que pueden exponerla a riesgos de externalización de las TIC materiales;
• f. si la entidad está aplicando medidas agresivas de reducción de costes de TIC que pueden dar lugar a una reducción de las inversiones y recursos de TIC y del conocimiento sobre TIC necesarios y pueden aumentar la exposición a todos los tipos de riesgos de TIC de la taxonomía;
• g. Si la localización de centros de operaciones/de datos de TIC importantes (por ejemplo, regiones, países) puede exponer a la entidad a desastres naturales (por ejemplo, inundaciones, terremotos), inestabilidad política o conflictos laborales y disturbios civiles que pueden dar lugar a un aumento sustancial de los riesgos de disponibilidad y continuidad de las TIC y de los riesgos de seguridad de las TIC.

3.2.2 Revisión de los sistemas y servicios de TIC críticos

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/