41. À cette fin, les autorités compétentes devraient examiner la méthodologie et les processus …

À cette fin, les autorités compétentes devraient examiner la méthodologie et les processus appliqués par l’établissement pour identifier les systèmes et les services de TIC qui sont essentiels, en tenant compte du fait que certains systèmes et services peuvent être considérés par l’établissement comme essentiels du point de vue de la continuité et de la disponibilité de l’activité, de la sécurité (par exemple la prévention de la fraude) et/ou de la confidentialité (par exemple les données confidentielles). Lors de l’examen, les autorités compétentes devraient le mener en prenant en compte le fait que les systèmes et services de TIC essentiels devraient remplir au moins une des conditions suivantes:

• a. ils soutiennent le cœur de métier de l’établissement (opérations et canaux de distribution, par exemple les guichets automatiques, les services bancaires en ligne et mobiles);
• b. ils soutiennent des processus de gouvernance et des fonctions d’entreprise essentiels, notamment la gestion du risque (par exemple les systèmes de gestion du risque et de gestion de la trésorerie);
• c. ils sont soumis à des exigences juridiques ou réglementaires spéciales (le cas échéant) qui imposent des conditions plus strictes en matière de disponibilité, de résilience, de confidentialité ou de sécurité [par exemple la législation sur la protection des données, éventuellement un «temps de reprise admissible» (RTO, Recovery Time Objective , soit le délai maximal de redémarrage d’un système ou d’un processus après un incident) et une «perte de données maximale admissible» (RPO, Recovery Point Objective , soit la durée maximale pendant laquelle des données peuvent être perdues en cas d’incident)] pour certains services d’importance systémique (le cas échéant);
• d. ils traitent ou stockent des données confidentielles ou sensibles pour lesquelles un accès non autorisé pourrait avoir une incidence significative sur la réputation, les résultats financiers ou la solidité et la continuité des activités de l’établissement (par exemple les bases de données contenant des données confidentielles sur les clients); et
• e. ils fournissent des fonctionnalités de base qui sont vitales pour le bon fonctionnement de l’établissement (par exemple les services de télécommunications et de connectivité, des services de TIC et de cybersécurité).

3.2.3 Détection des risques significatifs liés aux TIC relatifs aux systèmes et services de TIC essentiels

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/