214. Conformément au règlement DORA, les autorités compétentes devraient examiner l’identification …

Conformément au règlement DORA, les autorités compétentes devraient examiner l’identification, la classification et la documentation par l’établissement de l’ensemble des fonctions, rôles et responsabilités de l’entreprise soutenus par les TIC, les actifs informationnels³⁴ et les actifs de TIC³⁵ soutenant ces fonctions, ainsi que leurs rôles et dépendances eu égard au risque lié aux TIC. Cet examen devrait aider les autorités compétentes à développer une compréhension approfondie des expositions de l’établissement au risque lié aux TIC (profil de risque lié aux TIC), à identifier le risque inhérent lié aux TIC significatif et à se forger un avis sur son incidence prudentielle. À cette fin, les autorités compétentes devraient tenir compte au moins des éléments suivants, le cas échéant et s’il y a lieu:

• a. le rapport sur l’examen du cadre de gestion du risque lié aux TIC (conformément à l’article 6, paragraphe 5, du règlement DORA);
• b. les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, identifiées par l’établissement en vertu de l’article 8, paragraphe 2, du règlement DORA;
• c. les incidents majeurs liés aux TIC déclarés (conformément à l’article 19, paragraphe 1, du règlement DORA), y compris l’évolution des coûts et pertes annuels agrégés occasionnés par des incidents majeurs liés aux TIC (conformément à l’article 11, paragraphe 10, du règlement DORA);
• d. les résultats des tests envisagés dans le programme de tests de résilience opérationnelle numérique (conformément à l’article 24 du règlement DORA), y compris un résumé des constatations des tests de pénétration fondés sur la menace et des plans de remédiation correspondants (conformément à l’article 26, paragraphe 6, du règlement DORA);
• e. le registre d’informations (conformément à l’article 28, paragraphe 3, du règlement DORA), y compris le degré de concentration sur les prestataires tiers de services TIC, y compris les prestataires intragroupe de services TIC, par type de services TIC et/ou de systèmes de TIC;
• f. les recommandations et avis des superviseurs principaux (conformément à l’article 40, paragraphe 3, et à l’article 42, paragraphe 7, du règlement DORA) et les réponses, rapports et informations connexes provenant de prestataires tiers critiques de services TIC [conformément à l’article 35, paragraphe 1, point c), à l’article 42, paragraphe 1, et à l’article 48, paragraphe 2, du règlement DORA];
• g. le niveau de complexité des systèmes de TIC et les résultats de l’évaluation des risques liés aux TIC sur les systèmes de TIC existants (conformément à l’article 8, paragraphe 7, du règlement DORA);
• h. l’évaluation des risques liés à des modifications importantes (conformément à l’article 8, paragraphe 3, du règlement DORA);
• i. le niveau d’adoption et d’intégration de solutions innovantes en matière de TIC;
• j. l’emplacement (notamment les régions ou les pays) des centres de données et des zones désignées sensibles, y compris lorsque des services TIC contractuels sont fournis par des prestataires tiers de services TIC, couvrant également le lieu de traitement et de stockage des données;
• k. toute insuffisance ou faiblesse significative en rapport avec le projet identifiée au titre 5;
• l. les auto-évaluations du risque lié aux TIC et des mécanismes de maîtrise (si elles sont fournies dans les informations de l’ICAAP);
• m. les informations sur la gestion des risques liés aux TIC transmises à l’organe de direction de l’établissement;
• n. les conclusions des audits internes et externes liés aux TIC;
• o. m’environnement des menaces externes, y compris les renseignements sur les menaces et les vulnérabilités.

Examen des systèmes de TIC et des services TIC

³⁴ Article 3, paragraphe 6, du règlement (UE) 2022/2554.

³⁵ Article 3, paragraphe 7, du règlement (UE) 2022/2554.

1. Vue d’ensemble

1.1 Références

• Article 6 5
• Article 8 2
• Article 19 1
• Article 11 10
• Article 24 Exigences générales applicables à la réalisation de tests de résilience opérationnelle numérique
• Article 26 6
• Article 28 3
• Article 42 7
• Article 48 2
• Article 8 7
• Article 8 3

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.