230. Le autorità competenti dovrebbero acquisire una conoscenza approfondita del quadro di gestione …

Le autorità competenti dovrebbero acquisire una conoscenza approfondita del quadro di gestione dei rischi ICT dell’ente e valutare se quest’ultimo disponga di strategie, politiche, procedure, protocolli e strumenti ICT sufficienti e adeguati, compresi i livelli di tolleranza, per affrontare in modo efficace, efficiente ed esaustivo i rischi ICT rilevanti, in linea con il DORA. A tal fine, le autorità competenti dovrebbero prendere in considerazione, ove applicabile:

• a. l’adeguatezza e l’efficacia delle politiche (³⁶ ), dei processi e delle procedure di gestione dei rischi ICT dell’ente, che comprendono, tra l’altro, la gestione dei servizi ICT forniti da terzi,

(³⁶ ) In conformità del DORA, tali politiche dovrebbero includere almeno la politica sulla sicurezza delle informazioni, le politiche di backup, la politica di gestione delle risorse ICT, la politica in materia di crittografia e cifratura, la politica di gestione delle chiavi crittografiche, la politica di gestione dei progetti ICT, la politica relativa all’acquisizione, allo sviluppo e alla manutenzione dei sistemi ICT, la politica sulle risorse umane, la politica sulla sicurezza fisica e ambientale, la politica di gestione degli incidenti relativi alle ICT e la politica sull’uso dei servizi ICT a supporto di funzioni essenziali o importanti forniti da fornitori terzi di servizi ICT. l’individuazione e la risposta agli incidenti relativi alle ICT, la gestione delle valutazioni dei rischi ICT, la cifratura e la crittografia, la sicurezza delle operazioni ICT, la sicurezza della rete, il controllo degli accessi, nonché la verifica che tali elementi siano stati approvati dall’organo di amministrazione e comunicati a tutte le parti interessate (ai sensi dell’articolo 14 del DORA);

• b. l’adeguatezza del livello di tolleranza per i rischi ICT dell’ente e la tolleranza d’impatto per le interruzioni ICT (ai sensi dell’articolo 6, paragrafo 8, lettera b), DORA);
• c. l’adeguatezza e l’attuazione della strategia di resilienza operativa digitale dell’ente, compreso il suo allineamento con la strategia aziendale;
• d. la coerenza della strategia relativa ai rischi ICT di terze parti, compresa, ove disponibile, la strategia basata su una varietà di fornitori in materia di ICT, con la strategia aziendale complessiva e il quadro di gestione dei rischi ICT;
• e. rischio residuo derivante dai rischi individuati dall’ente in relazione agli accordi contrattuali relativi all’utilizzo dei servizi ICT a supporto di funzioni essenziali o importanti;
• f. il rischio residuo derivante dai rischi individuati dell’ente in relazione ai progetti ICT che incidono su funzioni essenziali o importanti, segnalati all’organo di amministrazione, nonché in relazione all’acquisizione, allo sviluppo e alla manutenzione dei sistemi ICT e alle modifiche apportate agli stessi;
• g. validità e completezza del programma di test di resilienza operativa digitale;
• h. l’andamento e l’entità dei principali incidenti e risultanze relativi alle ICT segnalati all’organo di amministrazione a norma dell’articolo 17, paragrafo 3, lettera e), e dell’articolo 13, paragrafo 5, del DORA;
• i. controlli sui rischi ICT, specifici per i rischi ICT rilevanti identificati;
• j. segnalazione tempestiva degli aspetti di gestione dei rischi ICT all’organo di amministrazione e all’alta dirigenza;
• k. copertura dell’audit interno e relative risultanze.

1. Panoramica

1.1 Riferimenti

• Articolo 14 Comunicazione
• Articolo 13 5

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.