41. A tal fine, le autorità competenti dovrebbero esaminare la metodologia e i processi applicati …

A tal fine, le autorità competenti dovrebbero esaminare la metodologia e i processi applicati dall’ente per identificare sistemi e servizi ICT critici, considerando che alcuni di questi possono essere considerati critici da parte dell’ente dal punto di vista della continuità e della disponibilità operativa, della sicurezza (ad es. la prevenzione delle frodi) e/o della riservatezza (ad es. dati riservati). Durante la revisione, le autorità competenti dovrebbero considerare che i sistemi e servizi ICT critici devono soddisfare almeno una delle seguenti condizioni:

• a. supportare le principali operazioni di business e i principali canali di distribuzione (ad es. bancomat, Internet e mobile banking) dell’ente;
• b. supportare i processi fondamentali di governance e le funzioni aziendali, compresa la gestione dei rischi (ad es. sistemi di gestione dei rischi e della tesoreria);
• c. rispondere a requisiti legali o regolamentari specifici (se del caso) che impongono maggiori requisiti di disponibilità, resilienza, riservatezza o sicurezza (ad es. legislazione in materia di protezione dei dati o eventuali obiettivi in materia di tempi di ripristino (Recovery Time Objectives - RTO - tempo massimo entro il quale deve essere ripristinato un sistema o un processo dopo un incidente) e obiettivi in materia di punti di ripristino (Recovery Point Objective - RPO - periodo di tempo massimo durante il quale i dati possono essere persi in caso di incidente) per alcuni servizi di importanza sistemica (laddove applicabili);
• d. elaborare o conservare dati riservati o sensibili per i quali l’accesso non autorizzato potrebbe avere un impatto significativo sulla reputazione dell’ente, sui risultati finanziari o sulla solidità e continuità della propria attività (ad es. database contenente dati sensibili del cliente);
• e. fornire funzionalità di base fondamentali per il corretto funzionamento dell’ente (ad es. servizi di telecomunicazione e connettività, sicurezza ICT e cyber).

3.2.3 Identificazione dei rischi rilevanti relativi ai sistemi e ai servizi ICT critici

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.