230. Kompetentingos institucijos turėtų išsamiai susipažinti su įstaigos IRT rizikos valdymo …

Kompetentingos institucijos turėtų išsamiai susipažinti su įstaigos IRT rizikos valdymo sistema ir įvertinti, ar įstaiga yra parengusi pakankamas ir tinkamas strategijas, politiką, procedūras, IRT protokolus ir priemones, įskaitant tolerancijos lygius, kad galėtų veiksmingai, efektyviai ir visapusiškai valdyti reikšmingą IRT riziką pagal SVAA reikalavimus. Šiuo tikslu kompetentingos institucijos, jei taikytina, turėtų atsižvelgti į:

• a. įstaigos IRT rizikos valdymo politikos³⁶ , procesų ir procedūrų, apimančių, be kita ko, IRT trečiųjų šalių valdymą, su IRT susijusių incidentų nustatymą ir reagavimą, IRT vertinimą, valdymą, šifravimą ir kriptografiją, IRT operacijų saugumą, tinklo saugumą, prieigos kontrolę, tinkamumą ir veiksmingumą, taip pat tai, ar juos patvirtino valdymo organas ir ar apie juos pranešta visiems atitinkamiems suinteresuotiesiems subjektams (pagal SVAA 14 straipsnį);
• b. tai, ar įstaigos nustatytas IRT rizikos tolerancijos lygis ir IRT sutrikimų poveikio tolerancija yra tinkami (kaip numatyta SVAA 6 straipsnio 8 dalies b punkte);
• c. įstaigos skaitmeninės veiklos atsparumo strategijos tinkamumą ir įgyvendinimą, įskaitant jos derėjimą su verslo strategija;
• d. IRT trečiųjų šalių rizikos strategijos, įskaitant, jei tokia yra, IRT kelių tiekėjų strategiją, suderinamumą su bendrąja verslo strategija ir IRT rizikos valdymo sistema;
• e. likutinę riziką, susijusią su įstaigos nustatytomis rizikomis, susijusiomis su sutartiniais susitarimais dėl IRT paslaugų, užtikrinančių ypatingos svarbos ar svarbių funkcijų veikimą, naudojimo;
• f. likutinę riziką, susijusią su įstaigos nustatytomis rizikomis, susijusiomis su IRT projektais, turinčiais įtakos ypatingos svarbos ar svarbioms funkcijoms, apie kurias pranešama valdymo organui, taip pat su IRT sistemų įsigijimu, kūrimu ir priežiūra bei IRT pokyčiais;
• g. skaitmeninės veiklos atsparumo testavimo programos patikimumą ir išsamumą;
• h. pagrindinių su IRT susijusių incidentų ir išvadų, apie kuriuos pranešta valdymo organui pagal SVAA 17 straipsnio 3 dalies e punktą ir 13 straipsnio 5 dalį, tendencijas ir mastą;
• i. nustatytai reikšmingai IRT rizikai taikomas specialias IRT rizikos kontrolės priemones;
• j. savalaikes ataskaitas valdymo organui ir vyresniajai vadovybei apie IRT rizikos valdymo aspektus;
• k. vidaus audito apimtį ir nustatytus faktus.

³⁶ Pagal SVAA reikalavimus, šios politikos turėtų apimti bent jau informacijos saugumo politiką, atsarginių kopijų kūrimo politiką, IRT turto valdymo politiką, šifravimo ir kriptografinių kontrolės priemonių politiką, kriptografinių raktų valdymo politiką, IRT projektų valdymo politiką, IRT sistemų įsigijimo, kūrimo ir priežiūros politiką, žmogiškųjų išteklių politiką, fizinio ir aplinkos saugumo politiką, su IRT susijusių incidentų valdymo politiką, taip pat politiką dėl trečiųjų šalių IRT paslaugų teikėjų teikiamų paslaugų, skirtų ypatingos svarbos ar svarbioms funkcijoms užtikrinti, naudojimo.

1. Apžvalga

1.1 Nuorodos

• 14 straipsnis Komunikacija
• 13 straipsnis 5

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

3. Susiję standartai

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.