+Richtsnoeren (EBA/GL/2017/05)
---+1. Nalevings- en rapportageverplichtingen
------+Status van deze richtsnoeren
---------+1. Dit document bevat richtsnoeren die zijn uitgebracht op grond van artikel 16 van Verordening …
---------+2. Richtsnoeren geven weer wat in de opvatting van de EBA passende toezichtpraktijken binnen het …
------+Kennisgevingsverplichtingen
---------+3. Overeenkomstig artikel 16, lid 3, van Verordening (EU) nr. 1093/2010 stellen bevoegde …
---------+4. Kennisgevingen worden overeenkomstig artikel 16, lid 3, van de EBA-verordening op haarwebsite …
---+2. Onderwerp, toepassingsgebied en definities
------+Onderwerp en toepassingsgebied
---------+5. Deze richtsnoeren, die zijn opgesteld op grond van artikel 107, lid 3, van Richtlijn 2013/36/EU …
---------+6. Bevoegde autoriteiten passen deze richtsnoeren toe overeenkomstig het toepassingsniveau dat is …
------+Adressaten
---------+7. Deze richtsnoeren zijn gericht tot bevoegde autoriteiten als bedoeld in artikel 4, lid 2, punt …
------+Definities
---------+8. Tenzij anders aangegeven hebben de termen die in Richtlijn 2013/36/EU en in Verordening (EU) nr. …
---+3. Tenuitvoerlegging
------+Toepassingsdatum
---------+9. Deze richtsnoeren zijn van toepassing met ingang van 1 januari 2018.
---+4. Vereisten voor de beoordeling van het ICT-risico
---+Titel 1 - Algemene bepalingen
------+10. Bevoegde autoriteiten voeren de beoordeling van het ICT-risico en de governanceregeling en …
------+11. Het evenredigheidsbeginsel is in deze richtsnoeren geheel van toepassing ten aanzien van de …
------+12. Om tot een actueel beeld te komen, mogen bevoegde autoriteiten vertrouwen op, en rekening …
------+13. Bevoegde autoriteiten maken een samenvatting van bevindingen ten aanzien van de in deze …
------+14. In het bijzonder dient de beoordeling van de governance en ICT-strategie die in overeenstemming …
------+15. De uitkomsten van de beoordeling van de in titel 3 van deze richtsnoeren vermelde ICT-risico's …
------+16. Doorgaans beoordelen bevoegde autoriteiten subcategorieën als onderdeel van de hoofdcategorieën …
------+17. Om te bepalen of ICT-risico's als wezenlijk dienen te worden beschouwd en het dus mogelijk …
------+18. Bij de toepassing van deze richtsnoeren kijken bevoegde autoriteiten, waar relevant, naar de …
------+19. Wanneer deze richtsnoeren worden toegepast op grensoverschrijdende bankgroepen, en de …
---+Titel 2 - Beoordeling van governance en strategie van instellingen inzake ICT
------+2.1 Algemene beginselen
---------+20. Bevoegde autoriteiten beoordelen of in het algemene kader voor governance en interne …
---------+21. Tijdens deze beoordeling maken bevoegde autoriteiten gebruik van de vereisten en normen voor …
---------+22. De in deze titel beschreven beoordeling heeft geen betrekking op de specifieke onderdelen van …
---------+23. Werkzaamheden volgend uit punt a) onder paragraaf 22leiden tot informatie over onderdelen van …
---------+24. De uitkomsten van deze beoordeling worden, waar relevant, meegenomen in de beoordeling van het …
------+2.2 ICT-strategie
---------+25. Op basis van deze paragraaf beoordelen bevoegde autoriteiten of de instelling een ICT-strategie …
---------+26. Bevoegde autoriteiten beoordelen of de instelling een kader heeft dat evenredig is met de aard …
---------+27. Indien er voor de ICT-strategie van de instelling belangrijke en complexe ICT-wijzigingen …
------+2.3 Algeheel kader voor interne governance
---------+28. Overeenkomstig titel 5 van de SREP-richtsnoeren van EBA beoordelen bevoegde autoriteiten of de …
---------+29. Op grond van paragraaf 5.2 van de SREP-richtsnoeren van EBA beoordelen bevoegde autoriteiten of …
------+2.4 ICT-risico in het risicobeheerkader van de instelling
---------+30. Bij de beoordeling van het instellingsbrede risicobeheer en de interne risicobeheersing, als …
---------+31. Bevoegde autoriteiten voeren de onder a) bedoelde beoordeling uit met gebruik van zowel …
---------+32. Specifiek met betrekking tot b) beoordelen bevoegde autoriteiten of de onafhankelijke controle- …
------+2.5 Samenvatting van de bevindingen
---------+33. Deze resultaten moeten tot uitdrukking komen in de samenvatting van de bevindingen op grond van …
---------+34. Voor de beoordeling van de ICT-strategie moeten de volgende punten in acht worden genomen bij …
---+Titel 3 - Beoordeling van risicoblootstellingen en risicobeheersing van instellingen op ICT-gebied
------+3.1 Algemene overwegingen
---------+35. Bevoegde autoriteiten beoordelen of de instelling haar ICT-risico's naar behoren heeft …
---------+36. Bevoegde autoriteiten identificeren eerst de wezenlijke inherente ICT-risico's waaraan de …
---------+37. Bij de uitvoering van de beoordeling op grond van deze titel maken bevoegde autoriteiten …
------+3.2 Identificatie van wezenlijke ICT-risico's
---------+38. Bevoegde autoriteiten identificeren de risico's waaraan de instelling is of zou kunnen worden …
---------+39. Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar …
---------+40. Als onderdeel van de identificatie van de ICT-risico's met een potentiële significante impact …
---------+41. Hiertoe beoordelen bevoegde autoriteiten de methode en processen die door de instelling worden …
---------+42. Rekening houdend met de verrichte toetsingen van het ICT-risicoprofiel en de kritieke …
---------+43. Bij de beoordeling van de mogelijke effecten van ICT-risico's op de kritieke ICT-systemen en …
---------+44. Vervolgens wijzen bevoegde autoriteiten de geïdentificeerde ICT-risico's die als wezenlijk …
------+3.3 Beoordeling van de risicobeheersing met het oog op de beperking van wezenlijke ICT-risico's
---------+45. Om te beoordelen in hoeverre de instelling aan restrisico's op ICT-gebied is blootgesteld …
---------+46. Hiertoe toetsen bevoegde autoriteiten, met het oog op de geïdentificeerde wezenlijke …
---------+47. Bij deze beoordeling wordt rekening gehouden met de uitkomsten van de analyse van het totale …
---------+48. Bevoegde autoriteiten voeren de volgende beoordelingsstappen uit op een wijze die evenredig is …
---------+49. Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband …
---------+50. Bevoegde autoriteiten beoordelen hoe de toepasselijke taken en verantwoordelijkheden op het …
---------+51. Bevoegde autoriteiten bekijken of de interne auditfunctie effectief is als het gaat om de …
---------+52. Voor de geïdentificeerde wezenlijke ICT-risico's geldt dat bevoegde autoriteiten beoordelen of …
---------+53. Als aanvulling op de vereisten in de SREP-richtsnoeren van EBA (punten 279-281) beoordelen …
---------+54. Hiertoe houden zij met name rekening met de vraag of het kader: a. de kritieke ICT-processen en …
---------+55. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …
---------+56. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …
---------+57. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …
---------+58. Voor onder toezicht staande instellingen die onder BCBS 239, beginselen voor effectieve …
---------+59. Bevoegde autoriteiten beoordelen of de uitbestedingsstrategie van de instelling, in lijn met de …
---------+60. In het bijzonder beoordelen bevoegde autoriteiten of de instelling een effectief kader heeft …
------+3.4 Samenvatting van de bevindingen en toekenning van scores
---------+61. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico …
---------+62. Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit …
---------+Bijlage – ICT-risicotaxonomie
 English - European Union - Financial Industry -

Richtsnoeren (EBA/GL/2017/05)

Richtsnoeren (EBA/GL/2017/05)

https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/supervisory-review-and-evaluation-process-srep-and-pillar-2/guidelines-ict-risk-assessment-under-srep – PDF

1. Overzicht

,
1. Nalevings- en rapportageverplichtingen

1. Nalevings- en rapportageverplichtingen
2. Onderwerp, toepassingsgebied en definities

2. Onderwerp, toepassingsgebied en definities
3. Tenuitvoerlegging

3. Tenuitvoerlegging
4. Vereisten voor de beoordeling van het ICT-risico

4. Vereisten voor de beoordeling van het ICT-risico
Titel 1 - Algemene bepalingen

Titel 1 - Algemene bepalingen
Titel 2 - Beoordeling van governance en strategie van instellingen inzake ICT

Titel 2 - Beoordeling van governance en strategie van instellingen inzake ICT
Titel 3 - Beoordeling van risicoblootstellingen en risicobeheersing van instellingen op ICT-gebied

Titel 3 - Beoordeling van risicoblootstellingen en risicobeheersing van instellingen op ICT-gebied

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
  • EBA -

    EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

    DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.