230. Toimivaltaisten viranomaisten tulisi hankkia perusteellinen käsitys laitoksen …

Toimivaltaisten viranomaisten tulisi hankkia perusteellinen käsitys laitoksen TVT-riskienhallintajärjestelmästä ja arvioida, onko laitoksella käytössä riittävät ja asianmukaiset strategiat, toimintaperiaatteet, menettelytavat, TVT-protokollat ja -työkalut, myös riskinsietorajat, jotta se voi puuttua olennaisiin TVT-riskeihin tehokkaasti, tuloksellisesti ja kattavasti DORA-asetuksen mukaisesti. Tätä varten toimivaltaisten viranomaisten tulisi tarvittaessa arvioida

• a. laitoksen TVT-riskienhallinnan periaatteiden³⁶ , prosessien ja menettelytapojen asianmukaisuutta ja tehokkuutta, muun muassa kolmansien osapuolten TVT-palveluiden hallintaa, TVT:hen liittyvien poikkeamien havaitsemista ja niihin reagoimista, TVT-arviointien hallintaa, salausta ja kryptografiaa, TVT-toiminnan turvallisuutta, verkkoturvallisuutta sekä pääsynvalvontaa, sekä sitä, onko ylin hallintoelin hyväksynyt nämä ja onko niistä tiedotettu kaikille asiaankuuluville sidosryhmille (DORA-asetuksen 14 artiklan mukaisesti);
• b. laitoksen TVT-riskin riskitason ja TVT-keskeytymisten vaikutusten sietokyvyn asianmukaisuutta (DORA-asetuksen 6 artiklan 8 kohdan b alakohdan mukaisesti)
• c. laitoksen digitaalisen häiriönsietokyvyn strategian asianmukaisuutta ja täytäntöönpanoa, myös sen mukauttamista liiketoimintastrategiaan
• d. kolmannen osapuolen TVT-riskejä koskevan strategian, myös usean toimittajan tarjoamien TVT-toimitusten strategian, jos sellainen on olemassa, yhdenmukaisuutta yleisen liiketoimintastrategian ja TVT-riskienhallintakehyksen kanssa
• e. jäännösriskiä, joka liittyy laitoksen tunnistamiin riskeihin ja koskee kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevia sopimusjärjestelyjä
• f. jäännösriskiä, joka johtuu laitoksen tunnistamista, ylimmälle hallintoelimelle raportoiduista, kriittisiin tai tärkeisiin toimintoihin vaikuttavista TVT-hankkeista sekä TVT-järjestelmien hankinnoista, kehittämisestä ja ylläpidosta sekä TVT-muutoksista
• g. digitaalisen häiriönsietokyvyn testausohjelman luotettavuutta ja kattavuutta
• h. ylimmälle hallintoelimelle DORA-asetuksen 17 artiklan 3 kohdan e alakohdan ja 13 artiklan 5 kohdan mukaisesti ilmoitettujen laajavaikutteisten TVT:hen liittyvien poikkeamien ja havaintojen suuntausta ja kokoa
• i. tunnistettua olennaista TVT-riskiä koskevia TVT-riskin erityisiä valvontajärjestelyjä
• j. TVT-riskien hallintaa koskevien näkökohtien oikea-aikaista raportointia ylimmälle hallintoelimelle ja toimivalle johdolle
• k. sisäisen tarkastuksen kattavuutta ja havaintoja.

³⁶ DORA-asetuksen mukaisesti näihin tulisi kuulua vähintään tietoturvakäytäntö, varmuuskopiointikäytännöt, TVT-omaisuuden hallintakäytäntö, salaus- ja kryptografisten suojausmenetelmien käytäntö, salausavainten hallintakäytäntö, TVT-projektinhallintakäytäntö, TVT-järjestelmien hankinta-, kehitys- ja ylläpitokäytäntö, henkilöstökäytäntö, fyysisen ja ympäristöturvallisuuden käytäntö ja TVT:hen liittyvien poikkeamien hallintakäytäntö sekä käytäntö, joka koskee kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palveluiden käyttöä.

1. Yleiskatsaus

1.1 Viittaukset

• 14 artikla Viestintä
• 13 artikla 5

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.