3.2 Būtisku IKT risku apzināšana

Kompetentajām iestādēm jāapzina būtiskie IKT riski, kuriem iestāde ir vai var būt pakļauta, veicot turpmāk minētos pasākumus.

3.2.1 Iestādes IKT riska profila pārskatīšana

Pārskatot iestādes IKT riska profilu, kompetentajām iestādēm jāizskata visa būtiskā informācija par iestādes IKT riska iedarbību, tostarp informācija saskaņā ar 37. punktu un apzinātās būtiskās nepilnības vai trūkumi IKT organizācijā un iestādes līmeņa kontroles pasākumos saskaņā ar šo pamatnostādņu 2. sadaļu, un attiecīgā gadījumā jāpārskata šī informācija proporcionālā veidā. Pārskatīšanas ietvaros kompetentajām iestādēm jāizvērtē:

• a. potenciālā ietekme, ko radītu ievērojami iestādes IKT sistēmu traucējumi uz finanšu sistēmu iekšzemes vai starptautiskā līmenī;
• b. vai iestādei var rasties IKT drošības riski vai IKT pieejamības un darbības nepārtrauktības riski, ko nosaka atkarība no interneta, lielais daudzums novatorisko IKT risinājumu vai citu uzņēmējdarbības izplatīšanas kanālu, kas var palielināt kiberuzbrukumu iespējamību;
• c. vai iestādei var palielināties IKT drošības riski, IKT pieejamības un darbības nepārtrauktības riski, IKT datu integritātes riski vai IKT izmaiņu riski, ko nosaka tās IKT sistēmu sarežģītība (piemēram, uzņēmumu apvienošanās vai iegādes rezultātā) vai novecojušais raksturs;
• d. vai iestāde ievieš būtiskas izmaiņas savās IKT sistēmās un/vai IKT vienībā (piemēram, uzņēmumu apvienošanās, iegādes, atdalīšanās vai IKT pamatsistēmu nomaiņas rezultātā), kas var nelabvēlīgi ietekmēt IKT sistēmu stabilitāti vai pareizu darbību un var izraisīt būtiskus IKT pieejamības un darbības nepārtrauktības riskus, IKT drošības riskus, IKT izmaiņu riskus vai IKT datu integritātes riskus;
• e. vai iestāde izmanto IKT vai IKT sistēmu ārpakalpojumus grupas ietvaros vai ārpus tās, un vai tas var radīt būtiskus IKT ārpakalpojumu riskus;
• f. vai iestāde īsteno agresīvus IKT izmaksu samazināšanas pasākumus, kas var izraisīt nepieciešamo IKT ieguldījumu, resursu un IT ekspertīzes samazināšanos un palielināt visu to IKT risku veidu iedarbību, kuri norādīti taksonomijā;
• g. vai svarīgu IKT darbību/datu centru atrašanās vieta (piemēram, reģioni vai valstis) var pakļaut iestādi dabas katastrofām (piemēram, plūdiem vai zemestrīcēm), politiskai nestabilitātei vai darba konfliktiem un pilsoņu nemieriem, kas var būtiski palielināt IKT pieejamības un darbības nepārtrauktības riskus un IKT drošības riskus.

3.2.2 Kritisko IKT sistēmu un pakalpojumu pārskatīšana

To IKT risku apzināšanas procesa ietvaros, kuri var radīt nozīmīgu prudenciālo ietekmi uz iestādi, kompetentajām iestādēm jāpārskata iestādes dokumentācija un jāsagatavo atzinums par to, kuras IKT sistēmas un pakalpojumi ir kritiski nepieciešami, lai varētu nodrošināt iestādes pamatdarbības atbilstošu norisi, pieejamību, nepārtrauktību un drošību.

Šajā nolūkā kompetentajām iestādēm jāpārskata metodika un procesi, ko iestāde piemēro, lai apzinātu IKT sistēmas un pakalpojumus, kas ir kritiski nepieciešami, ņemot vērā to, ka dažas IKT sistēmas un pakalpojumus iestāde var atzīt par kritiskiem uzņēmējdarbības nepārtrauktības un pieejamības aspektā, drošības aspektā (piemēram, krāpšanas novēršanai) un/vai konfidencialitātes aspektā (piemēram, datu konfidencialitāte). Veicot pārskatīšanu, kompetentajām iestādēm jāņem vērā tas, ka šīm kritiskajām IKT sistēmām un pakalpojumiem jāatbilst vismaz vienam no šādiem nosacījumiem:

• a. tie atbalsta iestādes pamatdarbību un izplatīšanas kanālus (piemēram, bankomātus, interneta un mobilās bankas);
• b. tie atbalsta būtiskos pārvaldības procesus un korporatīvās funkcijas, tostarp riska pārvaldību (piemēram, riska pārvaldības un kases pārvaldības sistēmas);
• c. uz tiem attiecas īpašas juridiskās vai reglamentējošās prasības (ja tādas ir), kas paredz plašākas pieejamības, augstākas stabilitātes, konfidencialitātes vai drošības prasības (piemēram, datu aizsardzības tiesību akti vai iespējamie "atjaunošanas laika mērķi" ( RTO , maksimālais laiks, kurā sistēma vai process jāatjauno pēc negadījuma) un "atjaunošanas punkta mērķis" ( RPO , maksimālais laikposms, kurā var zaudēt datus, iestājoties negadījumam)) attiecībā uz dažiem s istēmiski būtiskiem pakalpojumiem (ja un kad attiecināmi);
• d. tie apstrādā vai uzglabā konfidenciālus vai jutīgus datus; neatļauta piekļuve tiem varētu būtiski ietekmēt iestādes reputāciju, finanšu rezultātus vai uzņēmējdarbības stabilitāti un nepārtrauktību (piemēram, datubāzes ar jutīgiem klientu datiem); un/vai
• e. tie nodrošina pamatfunkcijas, kas ir būtiskas iestādes pareizai darbībai (piemēram, telekomunikāciju pakalpojumus, IKT un kiberdrošības pakalpojumus).

3.2.3 Būtisko IKT risku apzināšana kritiskajām IKT sistēmām un pakalpojumiem

Ņemot vērā pārskatīšanu, kas veikta iestādes IKT riska profilam un iepriekš minētajām kritiskajām IKT sistēmām un pakalpojumiem, kompetentajām iestādēm jāsagatavo atzinums par būtiskajiem IKT riskiem, kas saskaņā ar to uzraudzības lēmumu var būtiski ietekmēt iestādes kritisko IKT sistēmu un pakalpojumu uzraudzību.

Novērtējot IKT risku iespējamo ietekmi uz iestādes kritiskajām IKT sistēmām un pakalpojumiem, kompetentajām iestādēm jāņem vērā:

• a. finansiālā ietekme, tostarp (bet ne tikai) līdzekļu vai aktīvu zaudējumi, iespējamās kompensācijas klientiem, juridiskās un sanācijas izmaksas, līgumiskie zaudējumi un zaudētie ieņēmumi;
• b. uzņēmējdarbības traucējumu iespējamība, ņemot vērā (bet ne tikai) ietekmēto finanšu pakalpojumu kritiski svarīgo nozīmi; potenciāli skarto klientu un/vai filiāļu un darbinieku skaitu;
• c. iespējamā ietekme uz iestādes reputāciju saistībā ar ietekmēto banku pakalpojumu vai operacionālo darbību kritiski svarīgo nozīmi (piemēram, klientu datu zādzība); skarto IKT sistēmu un pakalpojumu ārējais profils/redzamība (piemēram, mobilās vai tiešsaistes banku sistēmas, tirdzniecības vieta, bankomāti vai norēķinu sistēmas);
• d. reglamentējošā ietekme, tostarp iespēja, ka regulators piemēros publisku cenzūru, naudas sodu vai pat mainīs atļaujas jomu;
• e. stratēģiskā ietekme uz iestādi, piemēram, ja tiek apdraudēti vai nozagti stratēģiski svarīgi produkti vai uzņēmējdarbības plāni.

Pēc tam kompetentajām iestādēm jākartē apzinātie IKT riski, kas uzskatāmi par būtiskiem, iedalot tos turpmāk minētajās IKT riska kategorijās, kurām pielikumā ir sniegti papildu riska apraksti un piemēri. Kompetentajām iestādēm jāatzīst pielikumā norādītie IKT riski par daļu no novērtējuma saskaņā ar 3. sadaļu:

• a. IKT pieejamības un nepārtrauktības risks
• b. IKT drošības risks
• c. IKT izmaiņu risks
• d. IKT datu integritātes risks
• e. IKT ārpakalpojumu radītais risks Kartēšana palīdzēs kompetentajām iestādēm noteikt, kuri riski ir būtiski (ja tādi ir), tādēļ jāskata rūpīgāk un/vai dziļāk, veicot turpmākos novērtējuma pasākumus.