184. Per quanto concerne i rischi ICT e di sicurezza ( ), le autorità competenti dovrebbero …

Per quanto concerne i rischi ICT e di sicurezza (⁵⁴ ), le autorità competenti dovrebbero accertarsi che il quadro di gestione garantirà il funzionamento robusto, affidabile e sicuro dei sistemi di informazione e comunicazione a sostegno delle attività degli enti creditizi, nonché una prevenzione, un monitoraggio e un’attenuazione adeguati dei rischi ICT in condizioni normali e durante periodi di stress. Le autorità competenti dovrebbero valutare, in particolare:

• a) se l’organo di gestione sia investito di una assunzione di responsabilità generale per quanto riguarda la definizione, l’approvazione e la supervisione dell’attuazione della strategia ICT degli enti finanziari, che dovrebbe essere allineata alla strategia aziendale complessiva di tali enti;
• b) la definizione e l’attribuzione in maniera chiara di ruoli e responsabilità principali, nonché le linee di segnalazione pertinenti, affinché il quadro di gestione dei rischi ICT e di sicurezza sia efficace, compresa l’assegnazione di un bilancio adeguato per sostenere adeguatamente le esigenze operative in materia di ICT e la gestione dei rischi ICT e di sicurezza;
• c) se la gestione e la sorveglianza dei rischi ICT e di sicurezza siano attribuite a una funzione di controllo indipendente e obiettiva, adeguatamente separata dai processi operativi ICT e non responsabile di alcun audit interno, nonché a una funzione di audit interno indipendente;
• d) i dispositivi destinati ad assicurare l’individuazione, l’istituzione e la gestione della mappatura aggiornata delle funzioni aziendali, dei ruoli e dei processi di sostegno per determinare l’importanza e le interdipendenze di ciascuno di essi in relazione ai rischi ICT e di sicurezza;
• e) nella misura in cui le informazioni sono detenute su sistemi ICT, se saranno in vigore i requisiti in materia di sicurezza delle informazioni;
• f) la portata, la complessità e l’importanza delle dipendenze connesse alle ICT, se si prevede l’esternalizzazione di funzioni operative di servizi ICT e di qualsiasi attività dei sistemi ICT, anche a entità di gruppo, o il ricorso a terzi in relazione a tali funzioni e attività.

(⁵⁴ ) Secondo la definizione di cui agli orientamenti dell’ABE sulla gestione dei rischi ICT e di sicurezza , per «rischio ICT e di sicurezza» si intende: «[i]l rischio di perdita dovuta alla violazione della riservatezza, la carente integrità dei sistemi e dei dati, l’inadeguatezza o l’indisponibilità dei sistemi e dei dati o l’incapacità di sostituire la tecnologia dell’informazione (IT) entro ragionevoli limiti di tempo e costi nel caso di modifica dei requisiti del contesto esterno o dell’attività (ossia l’agilità). Questo comprende i rischi di sicurezza derivanti da processi interni inadeguati o errati o da eventi esterni, compresi gli attacchi informatici o una sicurezza fisica inadeguata».

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/