3.2 Identifikazzjoni ta’ riskji materjali tal -ICT

L- awtoritajiet kompetenti għandhom jidentifikaw ir - riskji materjali tal - ICT li għalihom l - istituzzjoni hi jew tista’ tiġi esposta billi jsegwu l - passi t’hawn taħt.

3.2.1 Reviżjoni tal-profil tar-riskju tal-ICT tal-istituzzjoni

Fir - reviżjoni tal - profil tar -riskju tal-ICT tal- istituzzjoni, l - awtoritajiet kompetenti għandhom jikkunsidraw l- informazzjoni rilevanti kollha dwar l - esponimenti għar -riskju tal-ICT tal- istituzzjoni, inkluż l - informazzjoni taħt il - paragrafu 37 u n - nuqqasijiet materjali identifikati fil - kontrolli fl -organizzazzjoni u l-istituzzjoni kollha tal - ICT taħt it -Titolu 2 ta’ dawn il - Linji Gwida, u, fejn rilevanti, għandhom jirrevedu din l- informazzjoni b’mod proporzjonat. Bħala parti minn din ir - reviżjoni, l - awtoritajiet kompetenti għandhom jikkunsidraw:

• a. l- impatt potenzjali ta’ tfixkil sinifikanti dwar is - sistemi tal -ICT tal-istituzzjoni dwar is- sistema finanzjarja jew fil - livell domestiku jew fil - livell internazzjonali;
• b. jekk l - istituzzjoni tistax tkun soġġetta għal riskji ta’ sigurtà tal - ICT jew għal riskji ta’disponibbiltà u kontinwità tal - ICT minħabba dipendenzi tal - internet, adozzjoni għolja ta’ soluzzjonijiet innovattivi tal - ICT jew mezzi ta’ distribuzzjoni tan - negozju oħrajn li jistgħu jagħmluha aktar soġġetta għal ċiberattakki;
• c. jekk l - istituzzjoni tistax tkun aktar esposta għal riskji ta’ sigurtà, riskji ta’ disponibbiltà u kontinwità tal - ICT jew riskji ta’ bidla tal - ICT minħabba l - kumplessità (eż. bħala riżultat ta’ fużjonijiet jew akkwisti) jew in -natura skaduta tas- sistemi tal - ICT tagħha;
• d. jekk l - istituzzjoni hijiex qiegħda timplimenta bidliet materjali fis - sistemi tal - ICT u/jew funzjoni tal- ICT tagħha (eż. bħala riżultat ta’ fużjonijiet, akkwisti, ċessjonijiet jew is -sostituzzjoni tas-sistemi ewlenin tal - ICT tagħha), li jistgħu jolqtu b’mod ħażin l - istabbiltà jew il - funzjonament tajjeb tas - sistemi tal - ICT u jistgħu jirriżultaw f’disponibbiltà u riskji ta’ kontinwità materjali tal- ICT, riskji ta’ sigurtà tal - ICT, riskji ta’ bidla tal - ICT jew riskji ta’ integrità tad -data tal-ICT;
• e. jekk l - istituzzjoni esternalizzatx is - servizzi tal - ICT jew is - sistemi tal - ICT fi ħdan jew ‘il barra mill - grupp li jista’ jesponiha għal riskji ta’ esternalizzazzjoni materjali tal -ICT;
• f. jekk l - istituzzjoni tkunx qed timplimenta miżuri aggressivi ta’ tnaqqis tal - ispejjeż tal -ICT li jistgħu jirriżultaw fit - tnaqqis ta’ investimenti u riżorsi tal - ICT u għarfien espert tal - IT meħtieġa u li jistgħu jżidu l - esponiment għal kull tip ta’ riskju tal - ICT fit - tassonomija;
• g. jekk il -post tal- operazzjonijiet/ċentri tad - data importanti tal - ICT (eż. reġjuni, pajjiżi) jistax jesponi lill - istituzzjoni għal diżastri naturali (eż. għargħar, terremoti), instabbiltà politika jew kunflitti tax - xogħol u disturbi ċivili li jistgħu jirriżultaw f’żieda materjali tar - riskji ta’ disponibbiltà u kontinwità tal - ICT u riskji ta’ sigurtà tal -ICT.

3.2.2 Reviżjoni tas-sistemi u s-servizzi kritiċi tal-ICT

Bħala parti mill - proċess ta’ identifikazzjoni tar -riskji tal- ICT b’impatt prudenzjali sinifikanti potenzjali fuq l- istituzzjoni, l - awtoritajiet kompetenti għandhom jirrevedu d - dokumentazzjoni mill -istituzzjoni u jiffurmaw opinjoni dwar liem sistemi u servizzi tal - ICT huma kritiċi għall - funzjonament, id -di sponibbiltà, il- kontinwità u s - sigurtà xierqa tal - attivitajiet essenzjali tal -istituzzjoni.

Għal dan il - għan, l - awtoritajiet kompetenti għandhom jirrevedu l - metodoloġija u l - proċessi applikati mill - istituzzjoni biex jiġu identifikati s - sistemi u s - servizzi tal- ICT li huma kritiċi, filwaqt li jitqies li ċerti sistemi u servizzi tal - ICT jistgħu jiġu kkunsidrati bħala kritiċi mill - istituzzjoni minn perspettiva ta’ kontinwità u disponibbiltà tan - negozju, perspettiva ta’ sigurtà (eż. prevenzjoni tal - frodi) u/jew perspettiva ta’ kunfidenzjalità (eż. data kunfidenzjali). Meta jwettqu r - reviżjoni, l - awtoritajiet kompetenti għandhom iwettqu r - reviżjoni tagħhom filwaqt li jqisu li sistemi u servizzi kritiċi tal - ICT mill - inqas għandhom jissodisfaw waħda mill -kundizzjon ijiet li ġejjin:

• a. li jappoġġjaw l - operazzjonijiet tan - negozju u l - mezzi ta’ distribuzzjoni ewlenin (eż. ATMs, ibbankjar bl- internet u bil - mowbajl) tal -istituzzjoni;
• b. li jappoġġjaw proċessi ta’ governanza u funzjonijiet korporattivi essenzjali, inkluż il - ġestjoni tar - riskju (eż. sistemi tal - ġestjoni tar -riskju u l- immaniġġjar tal - flus);
• c. li jaqgħu taħt rekwiżiti legali jew regolatorji speċjali (jekk hemm) li jimponu rekwiżiti ta’ disponibbiltà, reżiljenza, kunfidenzjalità jew sigurtà miżjuda (eż. leġiżlazzjo ni dwar il- protezzjoni tad- data jew il - possibbiltà ta’ “Għanijiet tal - Ħin ta’ Rkupru” (RTO, iż - żmien massimu li fih għandhom jiġu restawrati sistema jew proċess wara inċident) u “Għan tal - Punt ta’ Rkupru” (RPO, il - perjodu massimu ta’ żmien li matulu tista’ tintilef data f’każ ta’ inċident)) għal ċerti servizzi sistematikament importanti (jekk u fejn applikabbli));
• d. li jipproċessaw jew jaħżnu data kunfidenzjali jew sensittiva li aċċess mhux awtorizzat għaliha jista’ jkollu impatt sinifikanti fuq ir - reputazzjo ni u r- riżultati finanzjarji tal - istituzzjoni jew is - solidità u l - kontinwità tan - negozju tagħha (eż. bażijiet ta’ data b'data sensittiva dwar il - klijenti); u/jew
• e. li jipprovdu l - funzjonalitajiet bażiċi li huma vitali għall - funzjonament xieraq tal- istituzzjoni (eż. servizzi ta’ telekomunikazzjoni u konnettività, servizzi tal - ICT u taċ - ċibersigurtà).

3.2.3 Identifikazzjoni ta’ riskji materjali tal-ICT għal Sistemi u Servizzi kritiċi tal-ICT

Filwaqt li jqisu r - reviżjonijiet imwettqa tal - profil tar -riskju u s- sistemi u s - servizzi kritiċi tal -ICT tal-istituzzjoni ta’ hawn fuq, l - awtoritajiet kompetenti għandhom jiffurmaw opinjoni dwar ir - riskji materjali tal- ICT li, fil - ġudizzju superviżorju tagħhom, jistgħu jkollhom impatt prudenzjali sinifikanti fuq is -s istemi u s- servizzi kritiċi tal -ICT tal-istituzzjoni.

Meta jivvalutaw l - impatt potenzjali tar -riskji tal- ICT fuq is - sistemi u s - servizzi kritiċi tal - ICT ta’ istituzzjoni, l- awtoritajiet kompetenti għandhom jikkunsidraw:

• a. L- impatt finanzjarju, inkluż (iżda mhux limitat għal) telf ta’ fondi jew assi, kumpens potenzjali għall - klijenti, spejjeż legali u ta’ rimedju, danni kuntrattwali, dħul mitluf;
• b. Il- potenzjal għal tqallib tal - operat, filwaqt li jqisu (iżda ma jkunux limitata għal) il - kritikalità tas - servizzi finanzjarji affettwati; in - numru ta’ klijenti u/jew fergħat u impjegati li potenzjalment ġew affettwati;
• c. L- impatt reputazzjonali potenzjali fuq l - istituzzjoni bbażat fuq il - kritikalità tas - servizz jew l - attività operazzjonali bankarja affettwata (eż. serq ta’ data dwar il - klijenti); il - profil/viżibbiltà esterna tas - sistemi u s - servizzi tal - ICT affettwati (eż. sistemi bankarji fuq il - mowbajl jew online, punt tal - bejgħ, ATMs jew sistemi ta’ pagament);
• d. L- impatt regolatorju, inkluż il - potenzjal għal ċensura pubblika mir - regolatur, multi jew anki varjazzjoni tal - permessi.
• e. L- impatt strateġiku fuq l - istituzzjoni, pereżempju jekk il - prodott strateġiku jew il - pjanijiet tan - negozju jiġu kompromessi jew jinsterqu.

L- awtoritajiet kompetenti mbagħad għandhom jirrappreże ntaw ir-riskji tal- ICT identifikati li huma kkunsidrati materjali fil - kategoriji tar -riskji tal- ICT li ġejjin li għalihom jingħataw deskrizzjonijiet u eżempji ta’ riskji ulterjuri fl - Anness. L - awtoritajiet kompetenti għandhom jirriflettu fuq ir -riskji tal- ICT fl - Anness bħala parti mill - valutazzjoni taħt it -Titolu 3:

• a. Disponibbiltà u riskju ta’ kontinwità tal -ICT
• b. Riskju ta’ sigurtà tal -ICT
• c. Riskju ta’ bidla tal -ICT
• d. Riskju ta’ integrità tad -data tal-ICT
• e. Riskju ta’ esternalizzazzjoni tal -ICT

Ir- rappreżentazzjoni qiegħda biex tgħin lill - awtoritajiet kompetenti jiddeterminaw liema riskji huma materjali (jekk hemm) u għalhekk għandhom ikunu soġġetti għal reviżjoni aktar mill - viċin u/jew aktar fil - fond fil - passi ta valutazzjoni li ġejjin.