41. Tätä varten toimivaltaisten viranomaisten tulisi arvioida yhtiön käyttämiä menetelmiä ja …

Tätä varten toimivaltaisten viranomaisten tulisi arvioida yhtiön käyttämiä menetelmiä ja prosesseja, joilla määritetään kriittiset ICT-järjestelmät ja -palvelut, ja ottaa huomioon, että yhtiö voi pitää joitakin ICT-järjestelmiä ja -palveluja kriittisinä liiketoiminnan jatkuvuuden ja valmiuden sekä turvallisuuden (esim. petosten ennaltaehkäisemisen) ja/tai luottamuksellisuuden (esim. luottamuksellisten tietojen) näkökulmasta. Arviointia suorittaessaan toimivaltaisten viranomaisten tulisi ottaa huomioon, että kriittisten ICT-järjestelmien ja -palvelujen tulisi täyttää ainakin yksi seuraavista edellytyksistä:

• a. ne tukevat yhtiön keskeisiä liiketoimintoja ja jakelukanavia (esim. pankkiautomaatteja sekä internet- ja mobiilipankkitoimintoja);
• b. ne tukevat olennaisia hallintoprosesseja ja yhtiön tukitoimintoja, kuten riskienhallintaa (esim. riskienhallinnan ja kassanhallinnan järjestelmiä);
• c. niihin sovelletaan (mahdollisia) erityisiä lakisääteisiä tai sääntelyvaatimuksia, joilla joillekin järjestelmän kannalta tärkeille palveluille asetetaan saatavuutta, häiriönsietokykyä, luottamuksellisuutta tai turvallisuutta koskevia tiukennettuja vaatimuksia (esim. tietosuojalainsäädäntö tai mahdolliset palautusaikatavoitteet eli enimmäisaika, jossa järjestelmän tai prosessin tulisi palautua häiriötilanteesta, ja palautuspistetavoite eli enimmäisaika, jolta tietojen katoaminen häiriötilanteessa on siedettävissä) (jos tällaisia vaatimuksia on ja mikäli niitä on sovellettava);
• d. niillä käsitellään tai tallennetaan luottamuksellisia tai arkaluonteisia tietoja, joiden luvaton käyttö voisi vaikuttaa huomattavasti yhtiön maineeseen, taloudellisiin tuloksiin tai liiketoiminnan vakauteen ja jatkuvuuteen (esim. arkaluonteisia asiakastietoja sisältävät tietokannat); ja/tai
• e. ne tarjoavat perustason toimintoja, jotka ovat välttämättömiä yhtiön asianmukaiselle toiminnalle (esim. tietoliikenne- ja liitettävyyspalvelut, ICT- ja kyberturvallisuuspalvelut).

3.2.3 Kriittisiin ICT-järjestelmiin ja -palveluihin kohdistuvien olennaisten ICT-riskien tunnistaminen

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/