3.2 Oluliste IKT-riskide tuvastamine

Pädevad asutused peaksid tuvastama krediidiasutusele või investeerimisühingule avalduvaid või avalduda võivaid olulisi IKT-riske allpool kirjeldatud tegevuste kaudu. 3.2.1 Krediidiasutuse või investeerimisühingu IKT-riskiprofiili läbivaatamine

Krediidiasutuse või investeerimisühingu IKT-riskiprofiili läbi vaadates peaksid pädevad asutused kaaluma kogu asjakohast teavet krediidiasutuse või investeerimisühingu IKT-riskile avatuse kohta, sealhulgas punkti 37 kohast teavet ning tuvastatud olulisi puudujääke või lünki käesolevate suuniste jaotises 2 käsitletud IKT-korralduses ja kogu krediidiasutust või investeerimisühingut hõlmavates kontrollimeetmetes, ning vaatama vajadusel selle teabe proportsionaalselt läbi. Kõnealuse läbivaatamise käigus peaksid pädevad asutused arvestama järgmist:

• a. krediidiasutuse või investeerimisühingu IKT-süsteemide olulise häire võimalik mõju riigisisesele või rahvusvahelisele finantssüsteemile;
• b. kas krediidiasutust või investeerimisühingut võivad mõjutada IKT-turvariskid või IKT käideldavuse ja talitluspidevusega seotud riskid, mis tulenevad sõltuvusest internetist või uuenduslike IKT-lahenduste või teiste selliste turustuskanalite laialdasest kasutuselevõtust, mis võivad muuta krediidiasutuse või investeerimisühingu tõenäolisemaks küberründe sihtmärgiks;
• c. kas krediidiasutus või investeerimisühing võib olla IKT-turvariskide, IKT käideldavuse ja talitluspidevusega seotud riskide, IKT andmetervikluse riskide või IKT-muutustega seotud riskide suhtes avatum oma IKT-süsteemide keeruka (näiteks ühinemiste ja ülevõtmiste tulemusel) või vananenud olemuse tõttu;
• d. kas krediidiasutus või investeerimisühing rakendab oma IKT-süsteemides ja/või IKT-funktsioonis olulisi muudatusi (näiteks ühinemiste, ülevõtmiste, loovutamiste või IKT-põhisüsteemide väljavahetamise tulemusel), mis võivad mõjutada negatiivselt IKT-süsteemide stabiilsust või korrapärast toimimist ning võivad tekitada olulisi IKT käideldavuse ja talitluspidevusega seotud riske, IKT-turvariske, IKT-muutustega seotud riske või IKT andmetervikluse riske;
• e. kas krediidiasutus või investeerimisühing on kontsernisiseselt või -väliselt edasi andnud IKT-teenuseid või -süsteeme, mis võivad muuta ta avatuks olulistele IKTga seotud tegevuse edasiandmise riskidele;
• f. kas krediidiasutus või investeerimisühing rakendab jõuliselt IKT-kulude kokkuhoiumeetmeid, mis võivad põhjustada vajalike IKT-investeeringute, ressursside ja oskusteabe vähenemist ja suurendada avatust kõigile klassifikatsioonis esindatud IKT-riski liikidele;
• g. kas oluliste IKT-toimingute/andmekeskuste asukoht (näiteks piirkonnad või riigid) võib muuta krediidiasutuse või investeerimisühingu avatuks loodusõnnetuste (näiteks üleujutuste või maavärinate), poliitilise ebastabiilsuse või tööjõukonfliktide ja rahvarahutuste suhtes, põhjustades olulisi IKT käideldavuse ja talitluspidevusega seotud riske ning IKT-turvariske.

3.2.2 Oluliste IKT-süsteemide ja -teenuste läbivaatamine

Krediidiasutuse või investeerimisühingu usaldatavusele potentsiaalselt olulist mõju avaldavate IKT-riskide tuvastamise protsessi käigus peaksid pädevad asutused vaatama läbi krediidiasutuse või investeerimisühingu esitatud dokumendid ning kujundama arvamuse selle kohta, mis IKT-süsteemid ja -teenused on põhitegevuste korraliku toimimise, käideldavuse, talitluspidevuse ja turvalisuse seisukohast olulised.

Selleks peaksid pädevad asutused vaatama läbi meetodid ja protsessid, mille alusel krediidiasutus või investeerimisühing määratleb olulisi IKT-süsteeme ja -teenuseid, võttes arvesse, et viimane võib pidada teatud IKT-süsteemi ja -teenust oluliseks äritegevuse talitluspidevuse ja käideldavuse, turvalisuse (näiteks pettuste vältimise) ja/või konfidentsiaalsuse (näiteks andmekonfidentsiaalsuse) seisukohast. Läbivaatamise käigus peaksid pädevad asutused arvestama, et olulised IKT-süsteemid ja -teenused peaksid vastama vähemalt ühele järgmistest tingimustest:

• a. need toetavad krediidiasutuse või investeerimisühingu peamisi äritoiminguid ja turustuskanaleid (näiteks sularahaautomaadid, interneti- ja mobiilipangandus);
• b. need toetavad olulisimaid juhtimisprotsesse ja korporatiivseid funktsioone, sealhulgas riskijuhtimist (näiteks riskijuhtimis- ja rahahaldussüsteemid);
• c. neile kehtivad õiguslikud või regulatiivsed erinõuded (olemasolu korral), millest tulenevad mõne süsteemselt olulise teenuse (kui kohaldatav) parema käideldavuse, vastupidavuse, konfidentsiaalsuse või turvalisuse nõuded (näiteks andmekaitse õigusaktid või võimalik taaste sihtkestus (RTO) ehk maksimaalne aeg, mille järel peab süsteem või protsess olema pärast intsidenti taastatud, ja taaste sihtseis (RPO) ehk maksimaalne aeg, mille vältel võivad andmed pärast intsidenti kadunud olla);
• d. need töötlevad või säilitavad konfidentsiaalseid või tundlikke andmeid, millele volitamata juurdepääs võib mõjutada oluliselt krediidiasutuse või investeerimisühingu mainet, finantstulemusi või tema tegevuse usaldatavust ja talitluspidevust (näiteks tundlike kliendiandmetega andmebaasid), ja/või
• e. need pakuvad baasfunktsioone, mis on krediidiasutuse või investeerimisühingu nõuetekohaseks toimimiseks hädavajalikud (näiteks telekommunikatsiooni- ja ühenduvusteenused, IKT- ja küberturbeteenused).

3.2.3 Olulistele IKT-süsteemidele ja -teenustele avalduvate oluliste IKT-riskide tuvastamine

Arvestades eelkirjeldatud krediidiasutuse või investeerimisühingu IKT-riskiprofiili ning oluliste IKT-süsteemide ja -teenuste läbivaatamist, peaksid pädevad asutused kujundama arvamuse olulistest IKT-riskidest, mis võivad nende järelevalvealase hinnangu kohaselt märkimisväärselt mõjutada krediidiasutuste või investeerimisühingu IKT-süsteemide ja -teenuste usaldusväärsust.

Hinnates IKT-riskide võimalikku mõju krediidiasutuse või investeerimisühingu olulistele IKT-süsteemidele ja -teenustele, peaksid pädevad asutused võtma arvesse järgmist:

• a. rahaline mõju, sealhulgas (kuid mitte ainult) rahaliste ja muude varade kaotus, võimalikud hüvitised klientidele, õiguskaitse- ja hüvituskulud, lepingutest tulenevad kahjud, kaotatud tulu;
• b. äritegevuse katkemise võimalus, võttes arvesse mõjutatava finantsteenuse olulisust (kuid mitte ainult); klientide ja/või filiaalide ja töötajate arv, keda see võib mõjutada;
• c. võimalik mõju krediidiasutuse või investeerimisühingu mainele, võttes arvesse mõjutatava pangateenuse või operatiivtegevuse olulisust (näiteks kliendiandmete vargus); mõjutatavate IKT-süsteemide ja -teenuste väline profiil / nähtavus (näiteks mobiili- ja internetipangasüsteemid, müügikoht, sularahaautomaadid või maksesüsteemid);
• d. regulatiivne mõju, sealhulgas võimalik avalik umbusaldus reguleerimisasutuse poolt, trahvid või isegi tegevuslubade muutmine;
• e. strateegiline mõju krediidiasutusele või investeerimisühingule, näiteks strateegilise tähtsusega toote või äriplaanide kahjustamise või varguse korral.

Seejärel peaksid pädevad asutused jaotama tuvastatud oluliseks peetavad IKT-riskid järgmistesse IKT-riskide kategooriatesse, mille täiendavad kirjeldused ja näited on toodud lisas. Pädevad asutused peaksid kaaluma lisas esitatud IKT-riske jaotise 3 kohase hindamise käigus:

• a. IKT käideldavuse ja talitluspidevusega seotud risk
• b. IKT-turvarisk
• c. IKT-muutustega seotud risk
• d. IKT andmetervikluse risk
• e. IKTga seotud tegevuse edasiandmise risk

Selle jaotuse eesmärk on aidata pädevatel asutusel kindlaks teha, mis riske (olemasolu korral) tuleks pidada oluliseks ning seetõttu järgmistes hindamisetappides hoolikamalt ja/või põhjalikumalt läbi vaadata.