214. DORA-asetuksen mukaisesti toimivaltaisten viranomaisten tulisi tarkistaa, miten laitos on …

DORA-asetuksen mukaisesti toimivaltaisten viranomaisten tulisi tarkistaa, miten laitos on tunnistanut, luokitellut ja dokumentoinut kaikki tieto- ja viestintätekniikan (TVT) tukemat liiketoiminnan toiminnot, roolit ja vastuut, näitä toimintoja tukevan tieto-omaisuuden³⁴ ja TVT-omaisuuden³⁵ sekä niiden roolit ja riippuvuussuhteet TVT-riskien kannalta. Arvioinnin tarkoituksena on auttaa toimivaltaisia viranomaisia saamaan kattava käsitys laitoksen TVT-riskien tasosta (TVT-riskiprofiili), tunnistamaan sen olennainen luontainen TVT-riski ja muodostamaan käsitys niiden vaikutuksista vakavaraisuuteen. Tätä varten toimivaltaisten viranomaisten tulisi ottaa huomioon ainakin seuraavat seikat, sikäli kuin ne ovat merkityksellisiä ja sovellettavissa:

• a. raportti TVT-riskinhallintajärjestelmän tarkastelusta (DORA-asetuksen 6 artiklan 5 kohdan mukaisesti)
• b. TVT-riskien lähteet, erityisesti laitoksen DORA-asetuksen 8 artiklan 2 kohdan mukaisesti yksilöimät muihin finanssiyhteisöihin kohdistuvat ja niistä aiheutuvat riskit
• c. ilmoitetut merkittävät TVT:hen liittyvät poikkeamat (DORA-asetuksen 19 artiklan 1 kohdan mukaisesti), muun muassa laajavaikutteisten TVT:hen liittyvien poikkeamien aiheuttamien vuotuisten kokonaiskustannusten ja -tappioiden kehityssuuntaus (DORA-asetuksen 11 artiklan 10 kohdan mukaisesti)
• d. digitaalisen häiriönsietokyvyn testausohjelmassa (DORA-asetuksen 24 artiklan mukaisesti) suunniteltujen testien tulokset, muun muassa yhteenveto uhkaperusteisen tunkeutumistestauksen tuloksista ja niihin liittyvistä korjaussuunnitelmista (DORA-asetuksen 26 artiklan 6 kohdan mukaisesti)
• e. tietorekisteri (DORA-asetuksen 28 artiklan 3 kohdan mukaisesti), muun muassa TVT-palveluntarjoajana olevien kolmansien osapuolten, myös konsernin sisäisten TVT-palveluntarjoajien keskittymisaste TVT-palvelujen ja/tai -järjestelmien tyypin mukaan jaoteltuna
• f. päävalvojien suositukset ja lausunnot (DORA-asetuksen 40 artiklan 3 kohdan ja 42 artiklan 7 kohdan mukaisesti) ja niihin liittyvät vastaukset, raportit ja tiedot kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta (DORA-asetuksen 35 artiklan 1 kohdan c alakohdan, 42 artiklan 1 kohdan ja 48 artiklan 2 kohdan mukaisesti)
• g. TVT-järjestelmien monimutkaisuuden taso ja aiemman sukupolven TVT-järjestelmien TVT-riskien arvioinnin tulokset (DORA-asetuksen 8 artiklan 7 kohdan mukaisesti)
• h. merkittävien muutosten riskinarviointi (DORA-asetuksen 8 artiklan 3 kohdan mukaisesti)
• i. innovatiivisten TVT-ratkaisujen käyttöönoton ja integroinnin taso
• j. tietokeskusten ja nimettyjen herkkien alueiden sijaintipaikat eli alueet tai maat, myös silloin, kun TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat sopimusperusteisia TVT-palveluja, mukaan lukien tietojen käsittely- ja tallennuspaikat
• k. kaikki asiaan liittyvät osastossa 5 havaitut olennaiset puutteet tai heikkoudet
• l. TVT-riskin ja sen valvontajärjestelyjen itsearvioinnit (jos tällainen tieto sisältyy ICAAP-tietoihin)
• m. TVT-riskeihin liittyvät hallintatiedot, jotka toimitetaan laitoksen ylimmälle hallintoelimelle
• n. TVT:hen liittyvät sisäisen ja ulkoisen tarkastuksen havainnot
• o. ulkoinen uhkaympäristö, myös uhkia ja haavoittuvuutta koskevat tiedustelutiedot.

Tieto- ja viestintätekniikan järjestelmien ja palveluiden arviointi

³⁴ Asetuksen 2022/2554 3 artiklan 6 kohta.

³⁵ Asetuksen 2022/2554 3 artiklan 7 kohta.

1. Yleiskatsaus

1.1 Viittaukset

• 6 artikla 5
• 8 artikla 2
• 19 artikla 1
• 11 artikla 10
• 24 artikla Digitaalisen häiriönsietokyvyn testausta koskevat yleiset vaatimukset
• 26 artikla 6
• 28 artikla 3
• 42 artikla 7
• 48 artikla 2
• 8 artikla 7
• 8 artikla 3

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.