39. Podczas przeglądu profilu ryzyka ICT instytucji właściwe organy powinny rozważyć wszelkie …

Podczas przeglądu profilu ryzyka ICT instytucji właściwe organy powinny rozważyć wszelkie odpowiednie informacje na temat ekspozycji instytucji na ryzyko ICT, w tym informacje, o których mowa w ust. 37 i stwierdzone poważne niedociągnięcia lub słabości w organizacji ICT i kontrolach obejmujących całą instytucję na podstawie tytułu 2 niniejszych wytycznych, a w stosownym przypadku, przegląd tych informacji w proporcjonalny sposób. W ramach przeglądu właściwe organy powinny rozważyć:

• a. potencjalny wpływ znacznych zakłóceń systemów ICT instytucji na system finansowy, zarówno na szczeblu krajowym, jak i międzynarodowym;
• b. czy instytucja może być przedmiotem ryzyka bezpieczeństwa ICT lub ryzyka związanego z dostępnością i ciągłością ICT w wyniku zależności internetowych, wysokiego poziomu przyjętych innowacyjnych rozwiązań ICT lub innych biznesowych kanałów dystrybucji, które mogą uczynić z niej bardziej prawdopodobny cel cyberataków;
• c. czy instytucja może być bardziej narażona na ryzyko bezpieczeństwa ICT, ryzyko związane z dostępnością i ciągłością, ryzyko związane z integralnością danych ICT lub ryzyko związane ze zmianą ICT ze względu na kompleksowość (np. w wyniku fuzji lub przejęć) lub przestarzałość systemów ICT;
• d. czy instytucja wprowadza istotne zmiany do swoich systemów ICT lub komórki ICT (np. w wyniku fuzji, przejęć, zbycia lub przemieszczenia swoich kluczowych systemów ICT), co może mieć negatywny wpływ na stabilność lub prawidłowe funkcjonowanie systemów ICT i może prowadzić do istotnego ryzyka związanego z dostępnością i ciągłością ICT, ryzyka bezpieczeństwa ICT, ryzyka związanego ze zmianą ICT lub ryzyka związanego z integralnością danych ICT;
• e. czy instytucja korzystała z outsourcingu usług ICT lub systemów ICT w ramach grupy lub poza nią, przez co mogła być narażona na istotne ryzyko związane z outsourcingiem ICT;
• f. czy instytucja wdraża agresywne środki mające na celu ograniczenie kosztów ICT, które może prowadzić do ograniczenia koniecznych inwestycji w ICT, zasobów i wiedzy fachowej w dziedzinie informatyki i może zwiększyć ekspozycję na wszystkie rodzaje ryzyka ICT w taksonomii;
• g. czy lokalizacja ważnych operacji/centrów danych ICT (np. regiony, kraje) może narażać instytucje na klęski żywiołowe (np. powodzie, trzęsienia ziemi), niestabilność polityczną lub konflikty pracownicze i niepokoje społeczne, które mogą prowadzić do istotnego w zrostu ryzyka związanego z dostępnością i ciągłością ICT oraz ryzyka bezpieczeństwa ICT.

3.2.2 Przegląd krytycznych systemów i usług ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.