41. Para ello, las autoridades competentes revisarán la metodología y los procesos aplicados por la …

Para ello, las autoridades competentes revisarán la metodología y los procesos aplicados por la entidad para identificar los sistemas y servicios de TIC que son críticos, teniendo en cuenta que algunos sistemas y servicios de TIC pueden ser considerados críticos por la entidad desde una perspectiva de continuidad y disponibilidad de la actividad, o desde una perspectiva de seguridad (por ejemplo, prevención del fraude) o de confidencialidad (por ejemplo, datos confidenciales). Al realizar la revisión, las autoridades competentes tendrán en cuenta que los sistemas y servicios críticos de TIC deben cumplir al menos una de las siguientes condiciones:

• a. dan soporte a las principales operaciones de negocio y canales de distribución (por ejemplo, cajeros automáticos, banca por internet y banca móvil) de la entidad;
• b. prestan apoyo a los procesos de gobierno y las funciones corporativas esenciales, incluida la gestión de riesgos (por ejemplo, los sistemas de gestión de riesgos y sistemas de gestión de tesorería);
• c. están sujetos a requisitos jurídicos o regulatorios especiales (en su caso) que imponen mayores exigencias de disponibilidad, resiliencia, confidencialidad o seguridad (por ejemplo, legislación sobre protección de datos o posibles «objetivos de tiempo de recuperación» [RTO, el tiempo máximo dentro del cual un sistema o proceso debe ser restaurado después de un incidente] y «Objetivo de punto de recuperación» [RPO, el periodo máximo de datos que puede perderse en caso de que se produzca un incidente]) para algunos servicios importantes desde un punto de vista sistémico (en su caso);
• d. procesan o almacenan datos confidenciales o sensibles, cuyo acceso no autorizado podría afectar significativamente a la reputación de la entidad, los resultados financieros o la solidez y la continuidad de su negocio (por ejemplo, bases de datos con datos sensibles de los clientes); o
• e. proporcionan funcionalidades básicas que son vitales para el adecuado funcionamiento de la entidad (por ejemplo, servicios de telecomunicaciones y de conectividad, servicios de TIC y de ciberseguridad).

3.2.3 Identificación de riesgos de TIC materiales para los sistemas y servicios de TIC críticos

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/