214. In linea con il DORA, le autorità competenti dovrebbero esaminare l’identificazione, la …

In linea con il DORA, le autorità competenti dovrebbero esaminare l’identificazione, la classificazione e la documentazione dell’ente di tutte le funzioni commerciali supportate dalle ICT, i ruoli e le responsabilità, i patrimoni informativi (³⁴ ) e le risorse ICT (³⁵ ) a supporto delle

(³⁴ ) Articolo 3, paragrafo 6, del regolamento (UE) 2022/2554. (³⁵ ) Articolo 3, paragrafo 7, del regolamento (UE) 2022/2554. suddette funzioni, nonché i ruoli e le dipendenze rispettivi in materia di rischi ICT. Tale esame dovrebbe aiutare le autorità competenti a sviluppare una conoscenza approfondita dell’esposizione ai rischi ICT intrinseci (profilo di rischio ICT) dell’ente, a individuare il relativo rischio ICT intrinseco rilevante e a formulare un parere sul suo impatto prudenziale. A tal fine le autorità competenti dovrebbero prendere in considerazione almeno quanto segue, ove pertinente e applicabile:

• a. relazione sul riesame del quadro per la gestione dei rischi ICT (ai sensi dell’articolo 6, paragrafo 5, del DORA);
• b. fonti di rischio ICT, in particolare l’esposizione al rischio da e verso altre entità finanziarie, individuate dall’ente ai sensi dell’articolo 8, paragrafo 2, del DORA;
• c. i gravi incidenti connessi alle ICT segnalati (ai sensi dell’articolo 19, paragrafo 1, del regolamento DORA), compresa l’evoluzione dei costi e delle perdite annuali aggregati causati da gravi incidenti connessi alle ICT (ai sensi dell’articolo 11, paragrafo 10, del DORA);
• d. i risultati dei test previsti dal programma di test di resilienza operativa digitale (ai sensi dell’articolo 24 del DORA), compresa la sintesi dei risultati dei test di penetrazione guidati dalla minaccia ( threat-led penetration testing — TLPT), e i relativi piani correttivi (ai sensi dell’articolo 26, paragrafo 6, del DORA);
• e. registro delle informazioni (di cui all’articolo 28, paragrafo 3, del DORA), compreso il grado di concentrazione di fornitori terzi di servizi ICT, compresi i fornitori infragruppo di ICT, per tipo di servizi ICT e/o sistemi ICT;
• f. raccomandazioni e pareri delle autorità di sorveglianza capofila (ai sensi dell’articolo 40, paragrafo 3, e dell’articolo 42, paragrafo 7, del DORA) e relative risposte, relazioni e informazioni da fornitori terzi critici di servizi ICT (ai sensi dell’articolo 35, paragrafo 1, lettera c), dell’articolo 42, paragrafo 1, e dell’articolo 48, paragrafo 2, del DORA);
• g. il livello di complessità dei sistemi ICT e i risultati della valutazione del rischio specifica per tutti i sistemi ICT legacy (ai sensi dell’articolo 8, paragrafo 7, del DORA);
• h. la valutazione del rischio in caso di modifiche di rilievo (ai sensi dell’articolo 8, paragrafo 3, del DORA);
• i. livello di adozione e integrazione di soluzioni ICT innovative;
• j. le località, segnatamente le regioni o i paesi, dei centri di elaborazione dati e delle aree designate come sensibili, anche nel caso in cui i servizi ICT contrattuali siano forniti da fornitori terzi di servizi ICT, anche per quanto riguarda il luogo di elaborazione e conservazione dei dati;
• k. eventuali carenze o lacune rilevanti individuate ai sensi del titolo 5;
• l. le autovalutazioni dei rischi e dei controlli ICT (se incluse nelle informazioni ICAAP);
• m. informazioni sulla gestione dei rischi ICT trasmesse all’organo di amministrazione dell’ente;
• n. risultanze degli audit interni ed esterni relativi alle ICT;
• o. contesto delle minacce esterne, comprese le informazioni relative alle minacce e alle vulnerabilità. Revisione dei sistemi ICT e dei servizi ICT

1. Panoramica

1.1 Riferimenti

• Articolo 6 5
• Articolo 8 2
• Articolo 19 1
• Articolo 11 10
• Articolo 24 Requisiti generali per lo svolgimento dei test di resilienza operativa digitale
• Articolo 26 6
• Articolo 28 3
• Articolo 42 7
• Articolo 48 2
• Articolo 8 7
• Articolo 8 3

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.