41. Hiertoe beoordelen bevoegde autoriteiten de methode en processen die door de instelling worden …

Hiertoe beoordelen bevoegde autoriteiten de methode en processen die door de instelling worden toegepast om de kritieke ICT-systemen en -diensten te identificeren, waarbij zij rekening houden met het feit dat sommige ICT-systemen en -diensten door de instelling als kritiek kunnen worden beschouwd vanuit een perspectief van bedrijfscontinuïteit en beschikbaarheid, beveiliging (bijv. fraudepreventie) en/of geheimhouding (bijv. vertrouwelijke gegevens). Bevoegde autoriteiten geven zich er bij het verrichten van hun toetsing rekenschap van dat kritieke ICT-systemen en -diensten ten minste aan een van de volgende voorwaarden moeten voldoen:

• a. Zij ondersteunen centrale bedrijfsactiviteiten en distributiekanalen (bijv. geldautomaten, internet- en mobiel bankieren) van de instelling.
• b. Zij ondersteunen essentiële governanceprocessen en bedrijfsfuncties, waaronder risicobeheer (bijv. systemen voor risicobeheer en het beheer van financiële middelen).
• c. Zij vallen onder speciale wet- of regelgeving (indien aanwezig) waarin hogere eisen worden gesteld aan de beschikbaarheid, veerkracht, vertrouwelijkheid of de beveiliging (bijv. wetgeving voor gegevensbescherming of mogelijke doelstellingen voor de hersteltijd ('Recovery Time Objectives' (RTO), de maximale tijd waarbinnen een systeem na een incident moet zijn hersteld) en de doelstelling voor het herstelpunt ('Recovery Point Objective' (RPO), de maximale tijdsperiode gedurende welke gegevens in geval van een incident verloren kunnen zijn) van enkele systeemrelevante diensten (indien en waar van toepassing).
• d. Zij verwerken of bewaren vertrouwelijke of gevoelige gegevens, waarvoor geldt dat als onbevoegden daar toegang toe krijgen, dit aanzienlijke gevolgen kan hebben voor de reputatie en financiële resultaten van de instelling of voor de deugdelijkheid en continuïteit van haar activiteiten (bijv. databanken met gevoelige klantgegevens).
• e. Zij verschaffen basisfunctionaliteiten die van groot belang zijn voor het adequaat functioneren van de instelling (bijv. diensten op het gebied van telecom en connectiviteit, diensten op het gebied van ICT- en cyberbeveiliging).

3.2.3 Identificatie van wezenlijke ICT-risico's voor kritieke ICT-systemen en -diensten

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/