184. Attiecībā uz IKT un drošības risku kompetentajām iestādēm jāpārliecinās, ka vadības sistēma …

Attiecībā uz IKT un drošības risku⁵⁵ kompetentajām iestādēm jāpārliecinās, ka vadības sistēma nodrošinās stabilu, uzticamu un drošu to informācijas un komunikācijas sistēmu darbību, kuras atbalsta kredītiestāžu darbību, kā arī IKT risku pienācīgu novēršanu, uzraudzību un mazināšanu normālos un spriedzes apstākļos. Kompetentajām iestādēm jo īpaši jāizvērtē:

• (a) vai vadības struktūrai ir vispārēja atbildība par finanšu iestāžu IKT stratēģijas noteikšanu, apstiprināšanu un īstenošanas pārraudzību, kas būtu jāsaskaņo ar finanšu iestāžu vispārējo uzņēmējdarbības stratēģiju;
• (b) lai IKT un drošības riska pārvaldības sistēma būtu efektīva, pastāv skaidri definēti un noteikti galvenie uzdevumi un pienākumi un attiecīga pārskatu sniegšanas kārtība, tostarp atbilstīga budžeta piešķiršana, lai pienācīgi atbalstītu IKT darbības vajadzības un IKT un drošības riska pārvaldību;
• (c) vai IKT un drošības risku pārvaldība un uzraudzība ir uzticēta neatkarīgai un objektīvai kontroles funkcijai, kas ir pienācīgi nošķirta no IKT darbības procesiem un nav atbildīga par iekšējo revīziju, un neatkarīga iekšējās revīzijas funkcija;
• (d) kārtība, kā nodrošināt uzņēmējdarbības funkciju, lomu un atbalsta procesu atjauninātas kartēšanas noteikšanu, izveidi un uzturēšanu, lai noteiktu katras darbības nozīmi un to savstarpējo atkarību saistībā ar IKT un drošības riskiem;
• (e) ciktāl informācija attiecas uz IKT sistēmām, vai tiks ieviestas informācijas drošības prasības;
• (f) ar IKT saistītās atkarības mērogs, sarežģītība un nozīmīgums, ja ir paredzēts izmantot ārpakalpojumus IKT pakalpojumu darbības funkcijām un jebkādai IKT sistēmu darbībai, tostarp grupas struktūrām, vai izmantot trešās personas saistībā ar šādām funkcijām un darbību.

⁵⁵ Kā definēts EBI pamatnostādnēs par IKT drošības riska pārvaldību, “IKT un drošības risks” ir: “Zaudējumu risks konfidencialitātes pārkāpuma, sistēmu un datu integritātes zuduma, sistēmu un datu nepiemērotības vai nepieejamības vai nespējas mainīt informācijas tehnoloģiju (IT) dēļ saprātīgā termiņā un ar saprātīgām izmaksām, ja mainās vide vai darbības prasības (t. i., elastība). Tas ietver drošības riskus, ko rada neatbilstoši vai neveiksmīgi iekšējie procesi vai ārēji notikumi, tostarp kiberuzbrukumi vai nepietiekama fiziskā drošība”.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

3. Saistītie standarti

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/