214. U skladu s DORA-om, nadležna tijela trebaju pregledati identifikaciju, klasifikaciju i …

U skladu s DORA-om, nadležna tijela trebaju pregledati identifikaciju, klasifikaciju i dokumentaciju svih poslovnih funkcija, uloga i odgovornosti koje podržava IKT, informacijske imovine³⁴ i IKT imovine³⁵ koje podržavaju te funkcije, te njihove uloge i ovisnosti u odnosu na rizik IKT-a. Taj bi pregled trebao pomoći nadležnim tijelima da steknu temeljito razumijevanje inherentnih izloženosti institucije riziku IKT-a (profil rizičnosti u pogledu IKT-a), utvrde njezine značajne inherentne rizike IKT-a i donesu mišljenje o njihovom bonitetnom učinku. U tu svrhu nadležna tijela trebaju, gdje je to relevantno i primjenjivo, uzeti u obzir barem sljedeće:

• a. izvješće o preispitivanju okvira za upravljanje rizikom IKT-a (u skladu s člankom 6. stavkom 5. Uredbe DORA);
• b. izvore rizika IKT-a, posebno izloženost riziku drugih financijskih subjekata i od drugih financijskih subjekata, koje je institucija utvrdila u skladu s člankom 8. stavkom 2. Uredbe DORA;
• c. prijavljene značajne incidente povezane s IKT-om (u skladu s člankom 19. stavkom 1. Uredbe DORA), uključujući trend agregiranih godišnjih troškova i gubitaka uzrokovanih značajnim IKT incidentima (u skladu s člankom 11. stavkom 10. Uredbe DORA);
• d. rezultate testiranja predviđenih programom testiranja digitalne operativne otpornosti (u skladu s člankom 24. DORA-e), uključujući sažetak nalaza penetracijskog testiranja vođenog prijetnjama (TLPT) i povezane planove za ispravljanje nedostataka (u skladu s člankom 26. stavkom 6. DORA-e);
• e. registar informacija (u skladu s člankom 28. stavkom 3. Uredbe DORA), uključujući stupanj koncentracije trećih strana pružatelja IKT usluga, uključujući pružatelje IKT usluga unutar grupe, prema vrsti usluga IKT-a i/ili sustava IKT-a;
• f. preporuke i mišljenja glavnih nadzornih tijela (u skladu s člankom 40. stavkom 3. i člankom 42. stavkom 7. Uredbe DORA) i povezane odgovore, izvješća i informacije ključnih trećih strana pružatelja usluga IKT-a (u skladu s člankom 35. stavkom 1. točkom (c), člankom 42. stavkom 1. i člankom 48. stavkom 2. Uredbe DORA);
• g. razinu složenosti sustava IKT-a i rezultate procjene rizika IKT-a u pogledu postojećih sustava IKT-a (u skladu s člankom 8. stavkom 7. Uredbe DORA):
• h. procjenu rizika u pogledu značajnih promjena (u skladu s člankom 8. stavkom 3. Uredbe DORA);
• i. razinu usvajanja i integracije inovativnih IKT rješenja;
• j. lokacije, odnosno regije ili zemlje, podatkovnih centara i osjetljivih određenih područja, uključujući područja u kojima ugovorne usluge IKT-a pružaju treći pružatelji usluga IKT-a, što obuhvaća i lokaciju obrade i pohrane podataka;
• k. sve povezane značajne nedostatke ili slabosti utvrđene u glavi 5.;
• l. samoprocjene rizika IKT-a i kontrola (ako se navode u informacijama o ICAAP-u);
• m. upravljačke informacije povezane s IKT rizikom dostavljene upravljačkom tijelu institucije;
• n. nalaze unutarnjih i vanjskih revizija povezanih s IKT-om;
• o. vanjsko okruženje prijetnji, uključujući obavještajne podatke o prijetnjama i ranjivostima.

Pregled IKT sustava i IKT usluga

³⁴ Članak 3. stavak 6. Uredbe (EU) 2022/2554

³⁵ Članak 3. stavak 7. Uredbe (EU) 2022/2554

1. Pregled

1.1 Reference

• Article 6 5
• Article 8 2
• Article 19 1
• Article 11 10
• Članak 24. Opći zahtjevi za provedbu testiranja digitalne operativne otpornosti
• Article 26 6
• Article 28 3
• Article 42 7
• Article 48 2
• Article 8 7
• Article 8 3

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.