230. Pädevad asutused peaksid kujundama põhjaliku arusaama finantsinstitutsiooni IKT-riski …

Pädevad asutused peaksid kujundama põhjaliku arusaama finantsinstitutsiooni IKT-riski juhtimise raamistikust ning hindama, kas finantsinstitutsioonil on olemas piisavad ja asjakohased strateegiad, põhimõtted, menetlused, IKT-protokollid ja -vahendid, sealhulgas taluvuspiirid, et tõhusalt, tulemuslikult ja põhjalikult käsitleda olulist IKT-riski kooskõlas digitaalse tegevuskerksuse määrusega. Selleks peaksid pädevad asutused vajaduse korral arvestama järgmist:

• a. asutuse IKT-riskijuhtimise põhimõtete³⁶ , protsesside ja menetluste asjakohasus ja tõhusus, mis hõlmavad muu hulgas IKT-alast kolmandate osapoolte haldamist, IKT-ga seotud intsidentide avastamist ja nendele reageerimist, IKT-varade haldamist, krüpteerimist ja krüptograafiat, IKT-operatsioonide turvalisust, võrguturvalisust, juurdepääsukontrolli ning seda, kas need on juhtorgani poolt heaks kiidetud ja kõigile asjaomastele sidusrühmadele teatavaks tehtud (vastavalt digitaalse tegevuskerksuse määruse artiklile 14);
• b. finantsinstitutsiooni IKT-riski riskitaluvuse taseme ja IKT-häirete mõju taluvuse asjakohasus (digitaalse tegevuskerksuse määruse artikli 6 lõike 8 punkti b kohaselt);
• c. finantsinstitutsiooni digitaalse tegevuskerksuse strateegia asjakohasus ja rakendamine, sealhulgas selle kooskõla äristrateegiaga;
• d. IKT-alaste kolmandate osapooltega seotud riskide strateegia, sealhulgas IKT-alase mitme tarnija strateegia (kui see on olemas), kooskõla üldise äristrateegia ja IKT-riskijuhtimise raamistikuga;
• e. kriitilisi või olulisi funktsioone toetavate IKT-teenuste kasutamist käsitlevate lepinguliste kokkulepete puhul finantsinstitutsiooni kindlaksmääratud riskidest tulenev jääkrisk;
• f. jääkrisk, mis tuleneb finantsinstitutsiooni tuvastatud riskidest, mis on seotud juhtorganile teatatud kriitilise tähtsusega või olulisi funktsioone mõjutavate IKT-projektidega, samuti IKT-süsteemide soetamise, arendamise ja hoolduse ning IKT-muudatustega;
• g. digitaalse tegevuskerksuse testimise programmi usaldusväärsus ja terviklikkus;
• h. digitaalse tegevuskerksuse määruse artikli 17 lõike 3 punkti e ja artikli 13 lõike 5 kohaselt juhtorganile teatatud oluliste IKTga seotud intsidentide ja leidude suundumus ning ulatus;
• i. kohaldatavad IKT-riskide kontrollimeetmed, mis on seotud tuvastatud oluliste IKT-riskidega;
• j. IKT-riski juhtimise aspektide õigeaegne aruandlus juhtorganile ja kõrgemale juhtkonnale;
• k. siseauditi hõlmavus ja järeldused.

³⁶ Digitaalse tegevuskerksuse määruse kohaselt peaksid need hõlmama vähemalt infoturbe poliitikat, varundamispõhimõtteid, IKT-varade haldamise poliitikat, krüpteerimise ja krüptograafiliste kontrollide poliitikat, krüptovõtmete haldamise poliitikat, IKT-projektide juhtimise poliitikat, IKT-süsteemide poliitika omandamist, arendamist ja haldamist, personalipoliitikat, füüsilise ja keskkonna turvalisuse poliitikat, IKT-intsidentide haldamise poliitikat, IKT-kolmandatest isikutest teenuseosutajate pakutavate kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise poliitikat.

1. Ülevaade

1.1 Viited

• Artikkel 14 Kommunikatsioon
• Article 13 5

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.