39. Arvioidessaan yhtiön ICT-riskiprofiilia toimivaltaisten viranomaisten tulisi tarkastella …

Arvioidessaan yhtiön ICT-riskiprofiilia toimivaltaisten viranomaisten tulisi tarkastella kaikkia tietoja yhtiön ICT-riskeistä, kuten 37 kohdassa esitettyjä tietoja ja näiden ohjeiden 2 osastossa käsiteltyjä olennaisia puutteita tai heikkouksia, joita on havaittu ICT-organisaatiossa ja yhtiön laajuisissa kontrolleissa. Viranomaisten tulisi tarkastella tällaisia tietoja tarvittaessa oikeasuhteisella tavalla. Osana arviointia toimivaltaisten viranomaisten tulisi lisäksi tutkia

• a. voiko yhtiön ICT-järjestelmien merkittävä häiriö vaikuttaa rahoitusjärjestelmään joko kansallisella tai kansainvälisellä tasolla;
• b. voiko laitokseen kohdistua ICT:n turvallisuusriskejä tai ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, jotka johtuvat internetin riippuvuuksista, innovatiivisten ICT-ratkaisujen laajasta käyttöönotosta tai liiketoimintojen muista jakelukanavista ja saattavat lisätä todennäköisyyttä yhtiön joutumisesta kyberhyökkäysten kohteeksi;
• c. voiko yhtiö altistua enemmän ICT:n turvallisuusriskeille, ICT:n saatavuutta ja jatkuvuutta koskeville riskeille, ICT-tiedon eheysriskeille tai ICT:n muutosriskeille tieto- ja viestintäteknisten järjestelmiensä (esim. yritysfuusioiden tai -ostojen jälkeisen) monimutkaisuuden tai vanhanaikaisuuden vuoksi;
• d. tehdäänkö laitoksessa merkittäviä muutoksia ICT-järjestelmiin ja/tai ICT-toimintoon (esim. yritysfuusioiden, yritysostojen, divestointien tai yhtiön keskeisten ICT-järjestelmien korvaamisen vuoksi), mikä voi horjuttaa ICT-järjestelmien vakautta tai moitteetonta toimintaa ja aiheuttaa olennaisia ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, ICT:n turvallisuusriskejä, ICT:n muutosriskejä tai ICT-tiedon eheysriskejä;
• e. onko yhtiö ulkoistanut ryhmän muille yksiköille tai sen ulkopuolelle ICT-palveluja tai ICT-järjestelmiä, jotka saattavat altistaa yhtiön olennaisille ICT:n ulkoistamista koskeville riskeille;
• f. toteutetaanko laitoksessa voimakkaita ICT-kustannusten leikkaustoimenpiteitä, jotka voivat johtaa tarpeellisten ICT-investointien ja -resurssien sekä tietoteknisen osaamisen vähenemiseen ja saattavat lisätä altistumista luokitukseen sisältyville kaikentyyppisille ICT-riskeille;
• g. voiko tärkeiden ICT-toimintojen tai -datakeskusten sijainti (esim. eri alueilla tai maissa) altistaa yhtiön luonnonkatastrofeille (esim. tulville tai maanjäristyksille), poliittiselle epävakaudelle tai työmarkkinariidoille ja kansalaislevottomuuksille, jotka voivat olennaisesti lisätä ICT:n saatavuutta ja jatkuvuutta koskevia riskejä ja ICT:n turvallisuusriskejä.

3.2.2 Kriittisten ICT-järjestelmien ja -palvelujen arviointi

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.