230. Les autorités compétentes devraient développer une compréhension approfondie du cadre de …

Les autorités compétentes devraient développer une compréhension approfondie du cadre de gestion des risques liés aux TIC de l’établissement et évaluer si l’établissement a mis en place des stratégies, des politiques, des procédures, des protocoles de TIC et des outils de TIC suffisants et appropriés, y compris des niveaux de tolérance, pour traiter de manière efficace, efficiente et exhaustive le risque significatif lié aux TIC, conformément au règlement DORA. À cette fin, les autorités compétentes devraient tenir compte des éléments suivants, le cas échéant:

• a. le caractère approprié et l’efficacité des politiques³⁶ , processus et procédures de l’établissement en matière de gestion des risques liés aux TIC, couvrant notamment la gestion des tiers liés en matière de TIC, la détection et la réponse aux incidents liés aux TIC, l’évaluation de la gestion des TIC, le chiffrement et la cryptographie, la sécurité des opérations liées aux TIC, la sécurité du réseau, le contrôle de l’accès, et si ces politiques et procédures ont été approuvées par l’organe de direction et communiquées à toutes les parties prenantes concernées (conformément à l’article 14 du règlement DORA);
• b. le caractère approprié du niveau de tolérance de l’établissement au risque lié aux TIC et de la tolérance à l’incidence des dysfonctionnements des TIC [conformément à l’article 6, paragraphe 8, point b), du règlement DORA];
• c. l’adéquation et la mise en œuvre de la stratégie de résilience opérationnelle numérique de l’établissement, y compris son alignement sur la stratégie économique;
• d. la cohérence de la stratégie en matière de risque lié aux prestataires tiers de services TIC, y compris la stratégie multi-fournisseurs en matière de TIC, lorsqu’elle est disponible, avec la stratégie commerciale globale et le cadre de gestion des risques liés aux TIC;
• e. le risque résiduel découlant des risques recensés par l’établissement en ce qui concerne les dispositions contractuelles relatives à l’utilisation de services TIC à l’appui de fonctions critiques ou importantes;
• f. le risque résiduel découlant des risques recensés par l’établissement sur les projets de TIC ayant une incidence sur les fonctions critiques ou importantes signalés à l’organe de direction, ainsi que sur l’acquisition, le développement et la maintenance des systèmes de TIC et les changements dans les TIC;
• g. la solidité et l’exhaustivité du programme de tests de résilience opérationnelle numérique;
• h. la tendance et l’ampleur des incidents et constatations majeurs liés aux TIC signalés à l’organe de direction conformément à l’article 17, paragraphe 3, point e), et à l’article 13, paragraphe 5, du règlement DORA;
• i. les mécanismes de maîtrise des risques liés au TIC spécifiques au risque lié au TIC significatif identifié;
• j. la déclaration en temps utile des aspects liés à la gestion des risques liés aux TIC à l’organe de direction et à la direction générale;
• k. l’étendue et les constatations des audits internes.

³⁶ Conformément au règlement DORA, celles-ci devraient inclure au moins la politique de sécurité de l’information, les politiques de sauvegarde, la politique de gestion des actifs de TIC, la politique de chiffrement et de contrôles cryptographiques, la politique de gestion des clés de chiffrement, la politique de gestion des projets de TIC, l’acquisition, le développement et la maintenance de la politique relative aux systèmes de TIC, la politique en matière de ressources humaines, la politique de sécurité physique et environnementale, la politique de gestion des incidents liés aux TIC, la politique relative à l’utilisation des services TIC soutenant des fonctions critiques ou importantes fournies par des prestataires tiers de services TIC.

1. Vue d’ensemble

1.1 Références

• Article 14 Communication
• Article 13 5

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.