230. Nadležna tijela trebaju steći temeljito razumijevanje okvira institucije za upravljanje IKT …

Nadležna tijela trebaju steći temeljito razumijevanje okvira institucije za upravljanje IKT rizicima i procijeniti je li institucija uspostavila dovoljne i prikladne strategije, politike, procedure, IKT protokole i alate, uključujući razine tolerancije, kako bi značajne IKT rizike učinkovito, efikasno i sveobuhvatno riješila u skladu s Uredbom DORA-a. U tu svrhu nadležna tijela trebaju razmotriti, ako je to primjenjivo:

• a. primjerenost i učinkovitost politika, procesa i postupaka za upravljanje IKT rizicima³⁶ , koji, među ostalim, obuhvaćaju upravljanje trećim stranama u području IKT-a, otkrivanje i odgovor incidenata povezanih s IKT-om, upravljanje procjenom IKT-a, šifriranje i kriptografiju, sigurnost operacija IKT-a, sigurnost mreže, kontrolu pristupa te je li ih odobrilo upravljačko tijelo i jesu li o njima obaviješteni svi relevantni dionici (u skladu s člankom 14. Uredbe DORA);
• b. primjerenost razine tolerancije rizika institucije u pogledu IKT rizika i tolerancije utjecaja za poremećaje u području IKT-a (u skladu s člankom 6. stavkom 8. točkom (b) Uredbe DORA);
• c. primjerenost i provedbu strategije digitalne operativne otpornosti institucije, uključujući njezinu usklađenost s poslovnom strategijom;
• d. usklađenost strategije upravljanja IKT rizikom trećih strana, uključujući, gdje je dostupna, strategiju nabave od više IKT dobavljača, s cjelokupnom poslovnom strategijom i okvirom upravljanja IKT rizicima;
• e. preostali rizik od utvrđenih rizika institucije u vezi s ugovornim aranžmanima o korištenju IKT usluga koje podržavaju kritične ili važne funkcije;
• f. preostali rizik od utvrđenih rizika institucije u pogledu IKT projekata koji utječu na ključne ili važne funkcije o kojima je obaviješteno upravljačko tijelo, kao i u pogledu nabave, razvoja i održavanja IKT sustava i promjena u IKT-u;
• g. pouzdanost i sveobuhvatnost programa testiranja digitalne operativne otpornosti;
• h. trend i razmjer značajnih IKT incidenata i nalaza prijavljenih upravljačkom tijelu u skladu s člankom 17. stavkom 3. točkom (e) i člankom 13. stavkom 5. Uredbe DORA;
• i. kontrole rizika IKT-a koje su specifične za utvrđeni značajni rizik IKT-a;
• j. pravodobno izvještavanje upravljačkog tijela i višeg rukovodstva o aspektima upravljanja IKT rizikom;
• k. obuhvat i nalaze unutarnje revizije.

³⁶ U skladu s Uredbom DORA, to bi trebalo uključivati barem politiku sigurnosti informacija, politike sigurnosnog kopiranja, politiku upravljanja IKT imovinom, politiku šifriranja i kriptografskih kontrola, politiku upravljanja kriptografskim ključevima, politiku upravljanja IKT projektima, politiku nabave, razvoja i održavanja IKT sustava, politiku ljudskih resursa, politiku fizičke i okolišne sigurnosti, politiku upravljanja incidentima vezanim uz IKT te politiku korištenja IKT usluga koje podržavaju kritične ili važne funkcije, a koje pružaju treći pružatelji IKT usluga.

1. Pregled

1.1 Reference

• Članak 14. Komunikacija
• Article 13 5

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.