184. Per quanto concerne i rischi ICT e di sicurezza ( ), le autorità competenti dovrebbero …

Per quanto concerne i rischi ICT e di sicurezza (⁵⁴ ), le autorità competenti dovrebbero accertarsi che il quadro di gestione garantirà il funzionamento robusto, affidabile e sicuro dei sistemi di informazione e comunicazione a sostegno delle attività degli enti creditizi, nonché una prevenzione, un monitoraggio e un’attenuazione adeguati dei rischi ICT in condizioni normali e durante periodi di stress. Le autorità competenti dovrebbero valutare, in particolare:

• a) se l’organo di gestione sia investito di una assunzione di responsabilità generale per quanto riguarda la definizione, l’approvazione e la supervisione dell’attuazione della strategia ICT degli enti finanziari, che dovrebbe essere allineata alla strategia aziendale complessiva di tali enti;
• b) la definizione e l’attribuzione in maniera chiara di ruoli e responsabilità principali, nonché le linee di segnalazione pertinenti, affinché il quadro di gestione dei rischi ICT e di sicurezza sia efficace, compresa l’assegnazione di un bilancio adeguato per sostenere adeguatamente le esigenze operative in materia di ICT e la gestione dei rischi ICT e di sicurezza;
• c) se la gestione e la sorveglianza dei rischi ICT e di sicurezza siano attribuite a una funzione di controllo indipendente e obiettiva, adeguatamente separata dai processi operativi ICT e non responsabile di alcun audit interno, nonché a una funzione di audit interno indipendente;
• d) i dispositivi destinati ad assicurare l’individuazione, l’istituzione e la gestione della mappatura aggiornata delle funzioni aziendali, dei ruoli e dei processi di sostegno per determinare l’importanza e le interdipendenze di ciascuno di essi in relazione ai rischi ICT e di sicurezza;
• e) nella misura in cui le informazioni sono detenute su sistemi ICT, se saranno in vigore i requisiti in materia di sicurezza delle informazioni;
• f) la portata, la complessità e l’importanza delle dipendenze connesse alle ICT, se si prevede l’esternalizzazione di funzioni operative di servizi ICT e di qualsiasi attività dei sistemi ICT, anche a entità di gruppo, o il ricorso a terzi in relazione a tali funzioni e attività.

(⁵⁴ ) Secondo la definizione di cui agli orientamenti dell’ABE sulla gestione dei rischi ICT e di sicurezza , per «rischio ICT e di sicurezza» si intende: «[i]l rischio di perdita dovuta alla violazione della riservatezza, la carente integrità dei sistemi e dei dati, l’inadeguatezza o l’indisponibilità dei sistemi e dei dati o l’incapacità di sostituire la tecnologia dell’informazione (IT) entro ragionevoli limiti di tempo e costi nel caso di modifica dei requisiti del contesto esterno o dell’attività (ossia l’agilità). Questo comprende i rischi di sicurezza derivanti da processi interni inadeguati o errati o da eventi esterni, compresi gli attacchi informatici o una sicurezza fisica inadeguata».

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.