41. W tym celu właściwe organy powinny dokonać przeglądu metodologii i procesów stosowanych przez …

W tym celu właściwe organy powinny dokonać przeglądu metodologii i procesów stosowanych przez instytucję w celu określenia systemów i usług ICT, które są krytyczne, mając na uwadze, że niektóre systemy i usługi ICT mogą zostać uznane za krytyczne przez instytucje z perspektywy ciągłości i dostępności, bezpieczeństwa (np. zapobiegania nadużyciom) oraz poufności (np. poufnych danych). Dokonując przeglądu, właściwe organy powinny mieć na względzie, że krytyczne systemy i usługi ICT powinny spełniać co najmniej jeden z następujących warunków:

• a. ws pierają podstawowe operacje biznesowe i kanały dystrybucji (np. bankomaty, bankowość internetowa i mobilna) instytucji;
• b. wspierają istotne procesy zarządzania i funkcje korporacyjne, w tym zarządzanie ryzykiem (np. systemy zarządzania ryzykiem i środkami pieniężnymi);
• c. podlegają specjalnym wymogom ustawowym i wykonawczym (jeżeli podlegają), które obejmują coraz większe wymogi w zakresie dostępności, odporności lub bezpieczeństwa (np. przepisy dotyczące ochrony danych lub możliwego „maksymalnego czasu wznowie nia funkcji” – maksymalnego czasu, w którym system lub proces musi zostać przywrócony po incydencie oraz akceptowalnego poziomu utraty danych – maksymalnego czasu, w którym dane mogą zostać utracone w przypadku incydentu) w przypadku niektórych ważnych usł ug systemowych (w stosownym przypadku);
• d. przetwarzają lub przechowują dane poufne lub chronione, do których nieupoważniony dostęp mógłby mieć znaczny wpływ na reputację instytucji, wyniki finansowe lub kondycję albo ciągłość działalności (np. bazy danych z wrażliwymi danymi klientów) oraz
• e. zapewniają podstawowe funkcje, które są kluczowe dla odpowiedniego funkcjonowania instytucji (np. usługi telekomunikacyjne i usługi łączności, usługi ICT i usługi bezpieczeństwa cybernetycznego).

3.2.3 Identyfikacja istotnych rodzajów ryzyka w odniesieniu do krytycznych systemów i usług ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.