3.2 Utvrđivanje značajnih rizika IKT -a

Nadležna tijela trebala bi utvrditi značajne rizike IKT - a kojima je institucija izložena ili bi mogla biti izložena slijedeći korake opisane u nastavku.

3.2.1 Preispitivanje profila rizičnosti institucije povezanog s IKT -om

Pri preispitivanju profila rizičnosti institucije povezanog s IKT - om nadležna tijela trebala bi uzeti u obzir sve relevantne informacije o izloženostima institucije riziku IKT - a, uključujući informacije iz stavka 37., uočene značajne nedostatke ili manjkavosti u organizaciji IKT -a te kontrole na razini institucije iz glave 2. ovih Smjernica i, u slučajevima u kojima je to relevantno, razmjerno preispitati te informacije. Nadležna bi tijela u sklopu tog preispitivanja trebala razmotriti sljedeće:

• a. potencijalni učinak značajnog narušavanja sustava IKT - a institucije na financijski sustav na domaćoj ili međunarodnoj razini;
• b. je li institucija možda izložena sigurnosnim rizicima IKT -a ili rizicima povezanima s dostupnošću i kontinuitetom IKT -a zbog prekomjernog oslanjanja na internet, visokog stupnja usvajanja inovativnih rješenja IKT -a ili drugih poslovnih distribucijskih kanala koji je mogu učiniti vjerojatnijom metom kibernetičkih napada;
• c. je li institucija možda izloženija sigurnosnim rizicima IKT -a, rizicima povezanima s dostupnošću i kontinuitetom IKT -a, rizicima IKT-a povezanim s integritetom podataka ili rizicima promjene IKT- a zbog složenosti (npr. prouzročene spajanjem ili preuzimanjem) il i zastarjelosti svojih sustava IKT-a;
• d. provodi li institucija značajne promjene na svojim sustavima IKT - a i/ili svojoj funkciji IKT -a (npr. zbog spajanja, preuzimanja, prodaja ili zbog zamjene svojih ključnih sustava IKT -a), koje bi mogle nepovoljno utjecat i na stabilnost ili ispravno funkcioniranje sustava IKT -a i prouzročiti značajne rizike povezane s dostupnošću i kontinuitetom IKT -a, sigurnosne rizike IKT-a, rizike promjene IKT-a ili rizike IKT-a povezane s integritetom podataka;
• e. je li institucija eksternalizirala svoje usluge IKT-a ili sustave IKT- a unutar grupe ili izvan nje, što bi je moglo izložiti značajnim rizicima povezanima s eksternalizacijom IKT -a;
• f. provodi li institucija agresivne mjere smanjenja troškova IKT - a koje bi mogle prouzročiti smanjen je potrebnih ulaganja u IKT, resursa i stručnog znanja u području informacijskih tehnologija i povećati izloženost svim vrstama rizika IKT - a iz klasifikacije rizika;
• g. može li lokacija važnih operativnih i podatkovnih centara povezanih s IKT -om (npr. regije, države) izložiti instituciju prirodnim nepogodama (npr. potresima, poplavama), političkoj nestabilnosti ili radničkim i građanskim nemirima, što bi moglo izazvati značajan porast rizika povezanih s dostupnošću i kontinuitetom IKT -a te sigurnosnih rizika IKT-a.

3.2.2 Preispitivanje ključnih sustava i usluga IKT -a

U sklopu postupka utvrđivanja rizika IKT - a s potencijalnim značajnim bonitetnim utjecajem na instituciju nadležna bi tijela trebala preispitati dokumente institucije i donijeti mišljenje o sustavima i uslugama IKT- a koji su ključni za pravilno funkcioniranje, dostupnost, kontinuitet i sigurnost osnovnih aktivnosti institucije.

Nadležna tijela radi toga bi trebala preispitati metodologiju i postupke koje je institucija primijenila kako bi odredila ključn e sustave i usluge IKT- a, imajući na umu da institucija neke sustave i usluge IKT - a može smatrati ključnima sa stajališta kontinuiteta poslovanja i dostupnosti, sigurnosti (npr. sprečavanje prijevara) i/ili sa stajališta povjerljivosti (npr. povjerljivi podatci). Nadležna tijela trebala bi provesti to preispitivanje imajući na umu da ključni sustavi i usluge IKT -a trebaju ispunjavati barem jedan od sljedećih uvjeta:

• a. podupiru osnovne poslovne operacije i distribucijske kanale institucije (npr. bankomate, internetsko i mobilno bankarstvo);
• b. podupiru osnovne postupke upravljanja i poslovne funkcije, uključujući upravljanje rizicima (npr. sustav za upravljanje rizicima i sustav za upravljanje riznicom);
• c. podliježu posebnim pravnim ili regulatornim zahtjevima (ako postoje) koji nalažu povećanu dostupnost, otpornost, povjerljivost ili sigurnost. Primjerice, zakonski propisi o zaštiti podataka ili moguća ciljana vremena oporavka - RTO (maksimalno vrijeme unutar kojeg se neki sustav ili postupak mora osposobiti nako n incidenta) i ciljane točke oporavka podataka - RPO (maksimalno vrijeme tijekom kojeg se podatci mogu izgubiti u slučaju incidenta) za neke sistemski važne usluge (ako je primjenjivo i u slučajevima u kojima je primjenjivo);
• d. obrađuju ili pohranjuju povjerljive ili osjetljive podatke, kojima bi neovlašten pristup mogao znatno utjecati na ugled institucije, njezine financijske rezultate ili na sigurnost i kontinuitet njezina poslovanja (npr. baze podataka s osjetljivim podatcima o klijentima); i/ili
• e. osigurav aju osnovne funkcionalnosti koje su nužne za pravilno funkcioniranje institucije (npr. telekomunikacijske usluge i usluge povezivanja, usluge povezane sa sigurnošću IKT -a i kibernetičkom sigurnošću).

3.2.3 Utvrđivanje značajnih rizika IKT - a za ključne sustave i usluge IKT -a

Uzimajući u obzir provedena preispitivanja profila rizičnosti institucije u pogledu IKT -a te preispitivanja ključnih sustava i usluga IKT - a, nadležna tijela trebala bi donijeti mišljenje o značajnim rizicima IKT -a koji, prema njihovom nadzorno m mišljenju, mogu imati značajan bonitetni utjecaj na ključne sustave i usluge IKT-a institucije.

Pri procjeni potencijalnog učinka rizika IKT - a na ključne sustave i usluge IKT - a institucije, nadležna tijela trebala bi razmotriti sljedeće:

• a. financijski učinak, uključujući (bez ograničenja) gubitak sredstava ili imovine, potencijalne naknade štete za klijente, pravne i sanacijske troškove, ugovorne odštete, izgubljene prihode;
• b. izglede za prekid poslovanja, pri čemu treba razmotriti (bez ograničenja) važnost pogođenih financijskih usluga te broj potencijalno pogođenih klijenata i/ili poslovnica i zaposlenika;
• c. potencijalni reputacijski učinak, koji treba razmotriti na temelju važnosti pogođenih bankovnih usluga ili operativnih radnji (npr. krađa podataka o klijentima) te vanjskog profila / vidljivosti pogođenih sustava i usluga IKT - a (npr. sustavi mobilnog ili internetskog bankarstva, POS uređaji, bankomati ili platni sustavi);
• d. regulatorni učinak, uključujući mogućnost javnog ukora regulatora, novčane kazne ili čak izmjenu odobrenja za rad;
• e. strateški učinak na instituciju, na primjer ako se ugroze ili ukradu strateški proizvodi ili poslovni planovi.

Nadležna tijela zatim trebaju mapirati utvrđene rizike IKT - a koji se smatraju značajnima u sljedeće kategorije rizika IKT- a, a dodatni opisi rizika i primjeri za njih nalaze se u Prilogu. Nadležna tijela trebaju razmotriti rizike IKT-a iz Priloga u sklopu procjene iz glave 3.:

• a. rizik povezan s kontinuitetom i dostupnošću IKT -a;
• b. sigurnosni rizik IKT-a;
• c. rizik promjena IKT-a;
• d. rizik IKT-a povezan s integritetom podataka;
• e. rizik povezan s eksternalizacijom IKT-a.

Mapiranje služi kao pomoć nadležnim tijelima pri određivanju značajnih rizika (ako postoje) te bi ga stoga trebalo pozornije i/ili temeljitije preispitati tijekom sljedećih koraka procjene.