41. Tätä varten toimivaltaisten viranomaisten tulisi arvioida yhtiön käyttämiä menetelmiä ja …

Tätä varten toimivaltaisten viranomaisten tulisi arvioida yhtiön käyttämiä menetelmiä ja prosesseja, joilla määritetään kriittiset ICT-järjestelmät ja -palvelut, ja ottaa huomioon, että yhtiö voi pitää joitakin ICT-järjestelmiä ja -palveluja kriittisinä liiketoiminnan jatkuvuuden ja valmiuden sekä turvallisuuden (esim. petosten ennaltaehkäisemisen) ja/tai luottamuksellisuuden (esim. luottamuksellisten tietojen) näkökulmasta. Arviointia suorittaessaan toimivaltaisten viranomaisten tulisi ottaa huomioon, että kriittisten ICT-järjestelmien ja -palvelujen tulisi täyttää ainakin yksi seuraavista edellytyksistä:

• a. ne tukevat yhtiön keskeisiä liiketoimintoja ja jakelukanavia (esim. pankkiautomaatteja sekä internet- ja mobiilipankkitoimintoja);
• b. ne tukevat olennaisia hallintoprosesseja ja yhtiön tukitoimintoja, kuten riskienhallintaa (esim. riskienhallinnan ja kassanhallinnan järjestelmiä);
• c. niihin sovelletaan (mahdollisia) erityisiä lakisääteisiä tai sääntelyvaatimuksia, joilla joillekin järjestelmän kannalta tärkeille palveluille asetetaan saatavuutta, häiriönsietokykyä, luottamuksellisuutta tai turvallisuutta koskevia tiukennettuja vaatimuksia (esim. tietosuojalainsäädäntö tai mahdolliset palautusaikatavoitteet eli enimmäisaika, jossa järjestelmän tai prosessin tulisi palautua häiriötilanteesta, ja palautuspistetavoite eli enimmäisaika, jolta tietojen katoaminen häiriötilanteessa on siedettävissä) (jos tällaisia vaatimuksia on ja mikäli niitä on sovellettava);
• d. niillä käsitellään tai tallennetaan luottamuksellisia tai arkaluonteisia tietoja, joiden luvaton käyttö voisi vaikuttaa huomattavasti yhtiön maineeseen, taloudellisiin tuloksiin tai liiketoiminnan vakauteen ja jatkuvuuteen (esim. arkaluonteisia asiakastietoja sisältävät tietokannat); ja/tai
• e. ne tarjoavat perustason toimintoja, jotka ovat välttämättömiä yhtiön asianmukaiselle toiminnalle (esim. tietoliikenne- ja liitettävyyspalvelut, ICT- ja kyberturvallisuuspalvelut).

3.2.3 Kriittisiin ICT-järjestelmiin ja -palveluihin kohdistuvien olennaisten ICT-riskien tunnistaminen

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.