39. Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar …

Bij de toetsing van het ICT-risicoprofiel van de instelling kijken bevoegde autoriteiten naar alle relevante informatie over de blootstellingen van de instelling aan ICT-risico's, waaronder de informatie in punt 37 en de vastgestelde wezenlijke gebreken of tekortkomingen in de ICT-organisatie en de instellingsbrede ricisobeheersing op grond van titel 2 van deze richtsnoeren, en toetsen zij waar relevant deze informatie op evenredige wijze. Als onderdeel van deze toetsing nemen bevoegde autoriteiten de volgende aspecten in aanmerking:

• a. het mogelijke effect van een belangrijke verstoring van de ICT-systemen op het financiële systeem hetzij op binnenlands hetzij op internationaal niveau;
• b. of het mogelijk is dat de instelling gevoelig is voor ICT-beveiligingsrisico's of ICT-beschikbaarheids- en -continuïteitsrisico's als gevolg van de afhankelijkheid van internet, uitgebreide toepassing van innovatieve ICT-oplossingen of andere bedrijfsdistributiekanalen die haar een gemakkelijker doelwit voor cyberaanvallen maken;
• c. of het mogelijk is dat de instelling meer is blootgesteld aan ICT-beveiligingsrisico's, ICT-beschikbaarheids- en -continuïteitsrisico's, ICT-data-integriteitsrisico's of ICT-wijzigingsrisico's vanwege de complexiteit (bijv. als gevolg van fusies of overnames) of het verouderde karakter van haar ICT-systemen;
• d. of de instelling wezenlijke wijzigingen aan haar ICT-systemen en/of ICT-functie aanbrengt (bijv. als gevolg van fusies, overnames, afstotingen of de vervanging van haar centrale ICT-systemen), die een nadelige uitwerking op de stabiliteit of het ordelijk functioneren van de ICT-systemen kunnen hebben en kunnen leiden tot wezenlijke ICT-beschikbaarheids- en - continuïteitsrisico's, ICT-beveiligingsrisico's, ICT-wijzigingsrisico's of ICT-data-integriteitsrisico's;
• e. of de instelling ICT-diensten of ICT-systemen binnen of buiten de groep heeft uitbesteed, waardoor zij aan wezenlijke ICT-uitbestedingsrisico's kan worden blootgesteld;
• f. of de instelling ambitieuze kostenbesparende maatregelen op ICT-gebied treft die ertoe kunnen leiden dat er minder ICT-investeringen, - middelen en -expertise nodig zijn en dat zij sterker wordt blootgesteld aan alle typen ICT-risico's in de taxonomie;
• g. of de instelling door de ligging van belangrijke operationele centra/datacentra op ICT-gebied (bijv. regio's, landen) kan worden blootgesteld aan natuurrampen (bijv. overstromingen, aardbevingen), politieke instabiliteit of arbeidsconflicten en binnenlandse onlusten die kunnen leiden tot een wezenlijke toename van ICT-beschikbaarheids- en -continuïteitsrisico's en ICT-beveiligingsrisico's.

3.2.2 Toetsing van de kritieke ICT-systemen en -diensten

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/