3.2 Identificatie van wezenlijke ICT-risico's

Bevoegde autoriteiten identificeren de risico's waaraan de instelling is of zou kunnen worden blootgesteld, door de onderstaande stappen te volgen: 3.2.1 Toetsing van het ICT-risicoprofiel van de instelling

Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar alle relevante informatie over de blootstellingen van de instelling aan ICT-risico's, waaronder de informatie in punt 37 en de vastgestelde wezenlijke gebreken of tekortkomingen in de ICT-organisatie en de instellingsbrede ricisobeheersing op grond van titel 2 van deze richtsnoeren, en toetsen zij waar relevant deze informatie op evenredige wijze. Als onderdeel van deze toetsing nemen bevoegde autoriteiten de volgende aspecten in aanmerking:

• a. het mogelijke effect van een belangrijke verstoring van de ICT-systemen op het financiële systeem hetzij op binnenlands hetzij op internationaal niveau;
• b. of het mogelijk is dat de instelling gevoelig is voor ICT-beveiligingsrisico's of ICT-beschikbaarheids- en -continuïteitsrisico's als gevolg van de afhankelijkheid van internet, uitgebreide toepassing van innovatieve ICT-oplossingen of andere bedrijfsdistributiekanalen die haar een gemakkelijker doelwit voor cyberaanvallen maken;
• c. of het mogelijk is dat de instelling meer is blootgesteld aan ICT-beveiligingsrisico's, ICT-beschikbaarheids- en -continuïteitsrisico's, ICT-data-integriteitsrisico's of ICT-wijzigingsrisico's vanwege de complexiteit (bijv. als gevolg van fusies of overnames) of het verouderde karakter van haar ICT-systemen;
• d. of de instelling wezenlijke wijzigingen aan haar ICT-systemen en/of ICT-functie aanbrengt (bijv. als gevolg van fusies, overnames, afstotingen of de vervanging van haar centrale ICT-systemen), die een nadelige uitwerking op de stabiliteit of het ordelijk functioneren van de ICT-systemen kunnen hebben en kunnen leiden tot wezenlijke ICT-beschikbaarheids- en - continuïteitsrisico's, ICT-beveiligingsrisico's, ICT-wijzigingsrisico's of ICT-data-integriteitsrisico's;
• e. of de instelling ICT-diensten of ICT-systemen binnen of buiten de groep heeft uitbesteed, waardoor zij aan wezenlijke ICT-uitbestedingsrisico's kan worden blootgesteld;
• f. of de instelling ambitieuze kostenbesparende maatregelen op ICT-gebied treft die ertoe kunnen leiden dat er minder ICT-investeringen, - middelen en -expertise nodig zijn en dat zij sterker wordt blootgesteld aan alle typen ICT-risico's in de taxonomie;
• g. of de instelling door de ligging van belangrijke operationele centra/datacentra op ICT-gebied (bijv. regio's, landen) kan worden blootgesteld aan natuurrampen (bijv. overstromingen, aardbevingen), politieke instabiliteit of arbeidsconflicten en binnenlandse onlusten die kunnen leiden tot een wezenlijke toename van ICT-beschikbaarheids- en -continuïteitsrisico's en ICT-beveiligingsrisico's.

3.2.2 Toetsing van de kritieke ICT-systemen en -diensten

Als onderdeel van de identificatie van de ICT-risico's met een potentiële significante impact op de instelling toetsen bevoegde autoriteiten documentatie van de instelling en vormen zij zich een oordeel over welke ICT-systemen en diensten cruciaal zijn voor het adequate functioneren, de beschikbaarheid, continuïteit en beveiliging van de essentiële activiteiten van de instelling.

Hiertoe beoordelen bevoegde autoriteiten de methode en processen die door de instelling worden toegepast om de kritieke ICT-systemen en -diensten te identificeren, waarbij zij rekening houden met het feit dat sommige ICT-systemen en -diensten door de instelling als kritiek kunnen worden beschouwd vanuit een perspectief van bedrijfscontinuïteit en beschikbaarheid, beveiliging (bijv. fraudepreventie) en/of geheimhouding (bijv. vertrouwelijke gegevens). Bevoegde autoriteiten geven zich er bij het verrichten van hun toetsing rekenschap van dat kritieke ICT-systemen en -diensten ten minste aan een van de volgende voorwaarden moeten voldoen:

• a. Zij ondersteunen centrale bedrijfsactiviteiten en distributiekanalen (bijv. geldautomaten, internet- en mobiel bankieren) van de instelling.
• b. Zij ondersteunen essentiële governanceprocessen en bedrijfsfuncties, waaronder risicobeheer (bijv. systemen voor risicobeheer en het beheer van financiële middelen).
• c. Zij vallen onder speciale wet- of regelgeving (indien aanwezig) waarin hogere eisen worden gesteld aan de beschikbaarheid, veerkracht, vertrouwelijkheid of de beveiliging (bijv. wetgeving voor gegevensbescherming of mogelijke doelstellingen voor de hersteltijd ('Recovery Time Objectives' (RTO), de maximale tijd waarbinnen een systeem na een incident moet zijn hersteld) en de doelstelling voor het herstelpunt ('Recovery Point Objective' (RPO), de maximale tijdsperiode gedurende welke gegevens in geval van een incident verloren kunnen zijn) van enkele systeemrelevante diensten (indien en waar van toepassing).
• d. Zij verwerken of bewaren vertrouwelijke of gevoelige gegevens, waarvoor geldt dat als onbevoegden daar toegang toe krijgen, dit aanzienlijke gevolgen kan hebben voor de reputatie en financiële resultaten van de instelling of voor de deugdelijkheid en continuïteit van haar activiteiten (bijv. databanken met gevoelige klantgegevens).
• e. Zij verschaffen basisfunctionaliteiten die van groot belang zijn voor het adequaat functioneren van de instelling (bijv. diensten op het gebied van telecom en connectiviteit, diensten op het gebied van ICT- en cyberbeveiliging).

3.2.3 Identificatie van wezenlijke ICT-risico's voor kritieke ICT-systemen en -diensten

Rekening houdend met de verrichte toetsingen van het ICT-risicoprofiel en de kritieke ICT-systemen en - diensten van de instelling zoals hierboven beschreven, vormen bevoegde autoriteiten zich een oordeel over de wezenlijke ICT-risico's die volgens hen in hun hoedanigheid van toezichthouder een significante prudentiële impact op de kritieke ICT-systemen en -diensten van de instelling kunnen hebben.

Bij de beoordeling van de mogelijke effecten van ICT-risico's op de kritieke ICT-systemen en -diensten van een instelling kijken bevoegde autoriteiten naar:

• a. de financiële gevolgen, waaronder (maar niet beperkt tot) het verlies van middelen of activa, mogelijke compensatie van klanten, juridische en herstelkosten, contractuele schade, gederfde inkomsten;
• b. de mogelijkheid tot verstoring van de activiteiten, met onder andere aandacht voor het belang van de desbetreffende financiële diensten; het aantal klanten en/of vestigingen en werknemers dat erdoor getroffen wordt;
• c. de mogelijke gevolgen voor de reputatie van de instelling op grond van het kritieke karakter van de desbetreffende bankdienst of operationele activiteit (bijv. diefstal van klantgegevens); het externe profiel/zichtbaarheid van de getroffen ICT-systemen en -diensten (bijv. systemen voor mobiel bankieren of internetbankieren, verkooppunten, geldautomaten of betalingssystemen);
• d. de gevolgen van regelgeving, waaronder de mogelijkheid dat de regelgever gebruik maakt van publieke terechtwijzing en boetes of zelfs van wijzigingen in vergunningen;
• e. de strategische gevolgen voor de instelling, bijvoorbeeld wanneer strategische product- of bedrijfsplannen in gevaar worden gebracht of worden gestolen.

Vervolgens wijzen bevoegde autoriteiten de geïdentificeerde ICT-risico's die als wezenlijk worden beschouwd, toe aan de volgende ICT-risicocategorieën waarvoor in de bijlage aanvullende beschrijvingen en voorbeelden van risico's worden gegeven. Bevoegde autoriteiten denken na over de ICT-risico's in de bijlage als onderdeel van de beoordeling op grond van titel 3:

• a. ICT-beschikbaarheids- en continuïteitsrisico
• b. ICT-beveiligingsrisico
• c. ICT-wijzigingsrisico
• d. ICT-data-integriteitsrisico
• e. ICT-uitbestedingsrisico

Deze categorisering heeft tot doel bevoegde autoriteiten te helpen bepalen welke risico's wezenlijk zijn (indien aanwezig) en derhalve tijdens de volgende beoordelingsstappen nader en grondiger dienen te worden getoetst.