39. Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar …

Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar alle relevante informatie over de blootstellingen van de instelling aan ICT-risico's, waaronder de informatie in punt 37 en de vastgestelde wezenlijke gebreken of tekortkomingen in de ICT-organisatie en de instellingsbrede ricisobeheersing op grond van titel 2 van deze richtsnoeren, en toetsen zij waar relevant deze informatie op evenredige wijze. Als onderdeel van deze toetsing nemen bevoegde autoriteiten de volgende aspecten in aanmerking:

• a. het mogelijke effect van een belangrijke verstoring van de ICT-systemen op het financiële systeem hetzij op binnenlands hetzij op internationaal niveau;
• b. of het mogelijk is dat de instelling gevoelig is voor ICT-beveiligingsrisico's of ICT-beschikbaarheids- en -continuïteitsrisico's als gevolg van de afhankelijkheid van internet, uitgebreide toepassing van innovatieve ICT-oplossingen of andere bedrijfsdistributiekanalen die haar een gemakkelijker doelwit voor cyberaanvallen maken;
• c. of het mogelijk is dat de instelling meer is blootgesteld aan ICT-beveiligingsrisico's, ICT-beschikbaarheids- en -continuïteitsrisico's, ICT-data-integriteitsrisico's of ICT-wijzigingsrisico's vanwege de complexiteit (bijv. als gevolg van fusies of overnames) of het verouderde karakter van haar ICT-systemen;
• d. of de instelling wezenlijke wijzigingen aan haar ICT-systemen en/of ICT-functie aanbrengt (bijv. als gevolg van fusies, overnames, afstotingen of de vervanging van haar centrale ICT-systemen), die een nadelige uitwerking op de stabiliteit of het ordelijk functioneren van de ICT-systemen kunnen hebben en kunnen leiden tot wezenlijke ICT-beschikbaarheids- en - continuïteitsrisico's, ICT-beveiligingsrisico's, ICT-wijzigingsrisico's of ICT-data-integriteitsrisico's;
• e. of de instelling ICT-diensten of ICT-systemen binnen of buiten de groep heeft uitbesteed, waardoor zij aan wezenlijke ICT-uitbestedingsrisico's kan worden blootgesteld;
• f. of de instelling ambitieuze kostenbesparende maatregelen op ICT-gebied treft die ertoe kunnen leiden dat er minder ICT-investeringen, - middelen en -expertise nodig zijn en dat zij sterker wordt blootgesteld aan alle typen ICT-risico's in de taxonomie;
• g. of de instelling door de ligging van belangrijke operationele centra/datacentra op ICT-gebied (bijv. regio's, landen) kan worden blootgesteld aan natuurrampen (bijv. overstromingen, aardbevingen), politieke instabiliteit of arbeidsconflicten en binnenlandse onlusten die kunnen leiden tot een wezenlijke toename van ICT-beschikbaarheids- en -continuïteitsrisico's en ICT-beveiligingsrisico's.

3.2.2 Toetsing van de kritieke ICT-systemen en -diensten

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.