3.2 A lényeges IKT- kockázatok azonosítása

Az illetékes hatóságoknak az alábbi lépéseket követ ve kell azonosítaniuk azokat a lényeges IKT - kockázatokat, amelyeknek az intézmény ki van téve vagy ki lehet téve. 3.2.1 Az intézmény IKT-kockázati profiljának felülvizsgálata

Az intézmény IKT-kockázati profiljának felülvizsgálatakor az illetékes hatóságoknak az intézmény IKT-kockázati kitettségeire vonatkozó összes releváns információt figyelembe kell venniük, ideértve a 37. bekezdés szerinti információkat és az ezen iránymutatások 2. címe szerinti IKT szervezeti és intézményi kontrollintézkedésekben azonosított lényeges hiányosságokat és gyengeségeket, és ezeket az információkat adott esetben arányosan felül kell vizsgálniuk. E felülvizsgálat részeként az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. az intézmény IKT- rendszerének jelentős zavar a által gyakorolt lehetséges hatás a pénzügyi rendszerre, belföldi és nemzetközi szinten egyaránt;
• b. az intézmény ki lehet-e téve IKT biztonsági kockázatoknak vagy IKT rendelkezésre állási és folytonossági kockázatoknak internetes függőségek, innovatív IKT -megoldások vagy egyéb üzleti forgalmazási csatornák nagymértékű bevezetése miatt, amelyek az intézményt nagyobb valószínűséggel tehetik kibertámadások céltáblájává;
• c. az intézmény jobban ki lehet- e téve IKT biztonsági kockázatoknak, IKT rendelkezésre állási és folytonossági kockázatoknak, IKT adatintegritási kockázatoknak vagy IKT -változásokkal kapcsolatos kockázatoknak IKT- rendszereinek (pl. fúziók és felvásárlások következményeként adódó) összetettsége vagy elavult jellege miatt;
• d. az intézmény végrehajt-e olyan lényeges változtatásokat IKT-rendszereiben és/vagy IKT-működésében (pl. fúziók és felvásárlások, elidegenítések vagy az alapvető IKT -rendszerek cseréjének következményeként), amelyek hátrányosan érinthetik az IKT -rendszerek stabilitását vagy szabálysz erű működését, és lényeges IKT rendelkezésre állási és folytonossági kockázatokat, IKT biztonsági kockázatokat, IKT -változásokkal kapcsolatos kockázatokat vagy IKT adatintegritási kockázatokat eredményezhetnek;
• e. az intézmény kiszervezett-e a csoporton belül vagy kívül IKT -szolgáltatásokat vagy IKT-rendszereket, ami lényeges IKT kiszervezési kockázatnak teheti ki az intézményt;
• f. az intézmény agresszív IKT -költség-csökkentési intézkedéseket hajt- e végre, amelyek a szükséges IKT- beruházások, erőforrások és info rmatikai szakértelem csökkenéséhez vezethetnek, és növelhetik a kockázati osztályozási rendszerben szereplő valamennyi IKT - kockázati típusnak való kitettséget;
• g. egyes fontos IKT- tevékenységek/adatközpontok helye (pl. régiók, országok) növelheti -e az intézmé ny természeti katasztrófáknak (pl. árvíz, földrengés), politikai instabilitásnak vagy munkajogi konfliktusoknak és közrendi problémáknak való kitettségét, amelyek az IKT rendelkezésre állási és folytonossági kockázatok és az IKT biztonsági kockázatok lényeges növekedéséhez vezethetnek.

3.2.2 A kritikus IKT-rendszerek és szolgáltatások felülvizsgálata

Az intézményre potenciálisan jelentős prudenciális hatást gyakorló IKT - kockázatok azonosítására irányuló folyamat részeként az illetékes hatóságoknak felül kell vi zsgálniuk az intézménytől származó dokumentumokat, és véleményt kell kialakítaniuk arról, hogy mely IKT -rendszerek és szolgáltatások kritikusak az intézmény alapvető tevékenységeinek megfelelő működése, rendelkezésre állása, folytonossága és biztonságossága szempontjából.

Az illetékes hatóságoknak e célból felül kell vizsgálniuk az intézmény által a kritikus IKT-rendszerek és - szolgáltatások azonosítása céljából alkalmazott módszereket és folyamatokat, figyelembe véve, hogy az intézmény egyes IKT-rendszereket üzletmenet- folytonossági és rendelkezésre állási, biztonsági (pl. a csalások megelőzése) és/vagy bizalmassági szempontból (pl. bizalmas adatok) minősíthet kritikusnak. A felülvizsgálat elvégzésekor az illetékes hatóságoknak figyelembe kell venniük, hogy a kritikus IKT-rendszereknek és - szolgáltatásoknak az alábbiak közül legalább egy feltételnek meg kell felelniük:

• a. az intézmény alapvető üzleti tevékenységeit és forgalmazási csatornáit (pl. ATM - ek, internet és mobilbanki szolgáltatások) támogatják;
• b. ala pvető irányítási folyamatokat és szervezeti funkciókat támogatnak, a kockázatkezelést is ide értve (pl. kockázatkezelési és pénzgazdálkodási rendszerek);
• c. külön jogi vagy szabályozási követelmények hatálya alá tartoznak (adott esetben), amelyek emelt követe lményeket szabnak meg a rendelkezésre állás, az ellenálló képesség, a bizalmasság vagy a biztonságosság tekintetében (pl. adatvédelmi jogszabályok vagy lehetséges „helyreállítási időre vonatkozó célkitűzések” (Recovery Time Objectives – RTO, az a maximális idő, amelyen belül valamely rendszert vagy folyamatot az incidenst követően helyre kell állítani) és „helyreállítási pontra vonatkozó célkitűzések” (Recovery Point Objective – RPO, az a maximális időtartam, amelyen át incidens bekövetkezése esetén adatok veszhetnek el)) egyes rendszerszinten fontos szolgáltatások vonatkozásában (adott esetben);
• d. olyan bizalmas vagy érzékeny adatokat dolgoznak fel vagy tárolnak, amelyekhez való jogosulatlan hozzáférés jelentősen kihatna az intézmény hírnevére, pénzügyi eredményeire vagy üzletmenetének megbízhatóságára és folytonosságára (pl. érzékeny ügyféladatokat tartalmazó adatbázisok); és/vagy
• e. alapvető funkciókat biztosítanak, amelyek létfontosságúak az intézmény megfelelő működéséhez (pl. távközlési és csatlakoztatási szolgáltatások, IKT - és kiberbiztonsági szolgáltatások).

3.2.3 A kritikus IKT-rendszereket és - szolgáltatásokat érintő lényeges IKT -kockázatok azonosítása

Az illetékes hatóságoknak – az intézmény IKT-kockázati profiljának és kritikus IKT-rendszereinek és - szolgáltatásainak az elvégzett felülvizsgálatait figyelembe véve – véleményt kell alkotniuk a lényeges IKT-kockázatokról, amelyek felügyeleti megítélésük alapján jelentős prudenciális hatást gyakorolhatnak az intézmény kritikus IKT-rendszereire és -szolgáltatásaira.

Az IKT-kockázatok által az intézmény kritikus IKT-rendszereire és -szolgáltatásaira gyakorolt potenciális hatás értékelésekor az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. pénzügyi hatás, ideértve (többek között) a források vagy eszközök elvesztését, az ügyfelek potenciális kártalanítását, a jogi és rendezési költségeket, a szerződéses kötbéreket, a kieső bevételt;
• b. az üzletmenet zavarának lehetősége, ideértve (többek között) az érintett pénzügyi szolgáltatások kritikus voltát; a potenciálisan érintett ügyfelek és/vagy fiókok és alkalmazottak számát;
• c. az intézményre gyakorolt, hírnévvel kapcsolatos potenciális hatás, az érintett banki szolgáltatás vagy operatív tevékenység kritikus volta alapján (pl. ügyféladatok ellopása); az érin tett IKT-rendszerek és - szolgáltatások külső profilja/láthatósága alapján (pl. mobil vagy online banki rendszerek, értékesítési helyi (POS) rendszerek, ATM -ek vagy pénzforgalmi rendszerek);
• d. szabályozási hatás, ideértve a szabályozó hatóság általi nyilvános bírálatot, bírságokat, sőt, akár az engedélyek módosítását;
• e. az intézményre gyakorolt stratégiai hatás, például ha stratégiai termék - vagy üzleti terveket tesznek tönkre vagy lopnak el.

Az illetékes hatóságoknak ezt követően be kell sorolniuk az azonosított és lényegesnek minősített IKT - kockázatokat a következő IKT - kockázati kategóriákba, amelyek tekintetében a melléklet további kockázati leírásokat és példákat ad meg. Az illetékes hatóságoknak a 3. cím szerinti értékelés részeként át kell gondolniuk a mel lékletben szereplő következő IKT - kockázatokat:

• a. IKT rendelkezésre állási és folytonossági kockázat
• b. IKT biztonsági kockázat
• c. IKT-változások kockázata
• d. IKT adatintegritási kockázat
• e. IKT kiszervezési kockázat

A besorolás célja az illetékes hatóságok annak eldöntésében való segítése, hogy mely kockázatok lényegesek (adott esetben), és így mely kockázatok tekintetében kell a következő értékelési lépések során közelebbi és/vagy mélyrehatóbb felülvizsgálatot végezni.