215. Les autorités compétentes devraient examiner la documentation, la méthodologie et les …

Les autorités compétentes devraient examiner la documentation, la méthodologie et les processus pertinents de l’établissement et se forger un avis quant à la question de savoir si l’établissement a correctement identifié les systèmes de TIC et les services TIC qui soutiennent des fonctions critiques ou importantes. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants:

• a. les systèmes de TIC soutenant des fonctions critiques ou importantes, ainsi que les actifs informationnels et les actifs de TIC critiques identifiés par l’établissement (conformément à l’article 8 du règlement DORA);
• b. les processus clés dépendant de prestataires tiers de services TIC, y compris les interconnexions avec des prestataires tiers de services TIC qui soutiennent des fonctions critiques ou importantes, identifiées par l’établissement (conformément à l’article 8, paragraphe 5, du règlement DORA). Identification et cartographie des risques significatifs liés aux TIC pour les systèmes de TIC et les services TIC qui soutiennent des fonctions critiques ou importantes

216.À la suite de l’examen de la dépendance de l’établissement à l’égard des actifs informationnels et des actifs de TIC, du profil de risque lié aux TIC, des systèmes de TIC et des services TIC, les autorités compétentes devraient se forger un avis sur les risques importants liés aux TIC qui peuvent avoir une incidence prudentielle significative sur les systèmes de TIC et les services TIC de l’établissement qui soutiennent des fonctions critiques ou importantes, et une incidence significative sur sa capacité à fonctionner en situation de perturbation. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants:

• a. les pertes financières, y compris la compensation éventuelle des clients, les frais juridiques et de réparation, les dommages et intérêts contractuels, les coûts et les pertes de revenus;
• b. le potentiel de perturbation des activités, compte tenu (mais sans s’y limiter) du caractère critique des services concernés, y compris les transactions et opérations de l’établissement (y compris les dépendances à l’égard de tiers), du nombre de clients et/ou de contreparties financières et/ou de succursales et d’employés potentiellement affectés;
• c. les pertes de données potentielles;
• d. l’incidence potentielle sur la réputation;
• e. l’incidence réglementaire potentielle, y compris la possibilité de censure publique, d’amendes ou même de variation des autorisations;
• f. l’incidence stratégique potentielle sur l’établissement;
• g. l’étendue géographique potentielle.

1. Vue d’ensemble

1.1 Références

• Article 8 Identification

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.