4.6 Beheer van ICT- en beveiligingsrisico’s

Kredietinstellingen en financiële instellingen dienen hun ICT- en veiligheidsrisico’s in verband met het gebruik van het proces voor de acceptatie van cliënten op afstand vast te stellen en te beheren, ook wanneer zij een beroep doen op derden of wanneer de dienst wordt uitbesteed, ook aan groepsentiteiten.

Kredietinstellingen en financiële instellingen dienen niet alleen aan de vereisten van de EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid¹⁰ te voldoen, maar moeten ook – waar van toepassing – gebruikmaken van beveiligde communicatiekanalen om met de cliënt te communiceren tijdens het proces van de acceptatie van cliënten op afstand. De oplossing voor de acceptatie van cliënten op afstand moet gebruikmaken van beveiligde protocollen en cryptografische algoritmen overeenkomstig de beste praktijken van de sector om de vertrouwelijkheid, authenticiteit en integriteit van de uitgewisselde gegevens te waarborgen, indien van toepassing.

¹⁰ EBA/GL/2019/04.

Kredietinstellingen en financiële instellingen dienen te voorzien in een veilig toegangspunt voor het starten van het proces van acceptatie van cliënten op afstand op basis van gekwalificeerde certificaten voor elektronische zegels zoals bedoeld in artikel 3, punt 30, van Verordening (EU) nr. 910/2014 of gekwalificeerde certificaten voor websiteauthenticatie zoals bedoeld in artikel 3, punt 39, van die verordening. De cliënt moet ook worden geïnformeerd over de toepasselijke beveiligingsmaatregelen die dienen te worden genomen om een veilig gebruik van het systeem te waarborgen.

Wanneer een multifunctioneel apparaat wordt gebruikt om het proces voor de acceptatie van cliënten op afstand uit te voeren, dient voor de uitvoering van de softwarecode aan de kant van de cliënt, indien van toepassing, een beveiligde omgeving te worden gebruikt. Er dienen aanvullende beveiligingsmaatregelen te worden genomen om de veiligheid en betrouwbaarheid van de softwarecode en de verzamelde gegevens te waarborgen, overeenkomstig de beoordeling van het veiligheidsrisico zoals vastgelegd in de EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid.