184. Wat ICT- en beveiligingsrisico’s betreft , moeten de bevoegde autoriteiten kunnen vaststellen …

Wat ICT- en beveiligingsrisico’s betreft⁵⁵ , moeten de bevoegde autoriteiten kunnen vaststellen dat het beheerskader een degelijke, betrouwbare en veilige werking waarborgt van de informatie- en communicatiesystemen die de activiteiten van de kredietinstellingen verwerken, en voor een adequate preventie, bewaking en beperking van ICT-risico’s in normale tijden en in tijden van stress. De bevoegde autoriteiten moeten met name beoordelen:

• a) of het leidinggevend orgaan de algehele verantwoordelijkheid draagt voor het bepalen, goedkeuren en overzien van de uitvoering van de ICT-strategie van de financiële instelling, die moet zijn afgestemd op de algehele bedrijfsstrategie van de financiële instelling;
• b) de duidelijke omschrijving en toewijzing van de belangrijkste taken en verantwoordelijkheden, en relevante rapportagelijnen, zodat een doeltreffend kader kan worden geschapen voor risicobeheersing op ICT- en beveiligingsgebied, waaronder de toewijzing van een passend budget om de operationele behoeften op ICT-gebied en de risicobeheersing op ICT- en beveiligingsgebied naar behoren te ondersteunen;
• c) of het beheer van en het toezicht op ICT- en beveiligingsrisico’s zijn toevertrouwd aan een onafhankelijke en objectieve controlefunctie, die naar behoren is gescheiden van de operationele ICT-processen en niet verantwoordelijk is voor enige interne audit, en aan een onafhankelijke interne-auditfunctie;
• d) regelingen ter waarborging van het in kaart brengen, opstellen en doorlopend actualiseren van in kaart gebrachte bedrijfsfuncties, taken en ondersteunende processen om het belang van elk onderdeel vast te stellen, evenals de afhankelijkheden daarvan met betrekking tot ICT- en beveiligingsrisico’s;
• e) of, voor zover de informatie op ICT-systemen wordt bewaard, aan de vereisten inzake informatiebeveiliging zal worden voldaan;
• f) de omvang, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden, indien de uitbesteding, ook aan entiteiten binnen de groep, van operationele functies van ICT-diensten en activiteiten van ICT-systemen of het inschakelen van derden voor zulke functies en activiteiten wordt overwogen.

⁵⁵ Zoals gedefinieerd in de EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid wordt onder “ICT- en beveiligingsrisico” verstaan: “het risico van verliezen als gevolg van inbreuken op de geheimhouding, falende integriteit van systemen en data, ongeschiktheid of onbeschikbaarheid van systemen en data, of onvermogen om IT aan te passen binnen een redelijke termijn en met redelijke kosten wanneer de omgeving of de bedrijfsvereisten veranderen (d.w.z. flexibiliteit). Dit omvat beveiligingsrisico’s die voortvloeien uit ontoereikende of falende interne processen of externe gebeurtenissen inclusief cyberaanvallen of ontoereikende fysieke beveiliging”.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/