214. Zgodnie z rozporządzeniem DORA właściwe organy powinny dokonać przeglądu sposobu …

Zgodnie z rozporządzeniem DORA właściwe organy powinny dokonać przeglądu sposobu identyfikacji, klasyfikacji i dokumentacji przez instytucję wszystkich funkcji biznesowych wspieranych przez ICT, zadań i obowiązków, zasobów informacyjnych³⁴ i zasobów ICT³⁵ wspierających te funkcje oraz ich zadania i zależności w odniesieniu do ryzyka związanego z ICT. Przegląd ten powinien pomóc właściwym organom w uzyskaniu dogłębnego zrozumienia ekspozycji instytucji na ryzyko nieodłączne związane z ICT (profil ryzyka związanego z ICT), zidentyfikowaniu istotnego nieodłącznego ryzyka ICT oraz sformułowaniu opinii na temat jego wpływu z perspektywy ostrożnościowej na instytucję. W tym celu właściwe organy powinny uwzględnić co najmniej następujące elementy, o ile są one istotne i mają zastosowanie:

• a. sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT (zgodnie z art. 6 ust. 5 DORA);
• b. źródła ryzyka związanego z ICT, w szczególności ekspozycję na ryzyko w odniesieniu do innych podmiotów finansowych i pochodzące od tych podmiotów, zidentyfikowaną przez instytucję zgodnie z art. 8 ust. 2 DORA;
• c. zgłoszone poważne incydenty związane z ICT (zgodnie z art. 19 ust. 1 DORA), w tym tendencje dotyczące łącznych rocznych kosztów i strat spowodowanych poważnymi incydentami związanymi z ICT (zgodnie z art. 11 ust. 10 DORA);
• d. wyniki testów przewidzianych w programie testowania operacyjnej odporności cyfrowej (zgodnie z art. 24 DORA), w tym podsumowanie ustaleń z testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT) i powiązanych planów naprawczych (zgodnie z art. 26 ust. 6 DORA);
• e. rejestr informacji (zgodnie z art. 28 ust. 3 DORA), obejmujący stopień koncentracji zewnętrznych dostawców usług ICT, w tym dostawców ICT wewnątrz grupy, w podziale na rodzaje usług ICT lub systemów ICT;
• f. zalecenia i opinie wiodących organów nadzorczych (zgodnie z art. 40 ust. 3 i art. 42 ust. 7 DORA) oraz związane z nimi odpowiedzi, sprawozdania i informacje od kluczowych zewnętrznych dostawców usług ICT (zgodnie z art. 35 ust. 1 lit. c), art. 42 ust. 1 i art. 48 ust. 2 DORA);
• g. poziom złożoności systemów ICT oraz wyniki oceny ryzyka związanego z dotychczasowymi systemami ICT (zgodnie z art. 8 ust. 7 DORA);
• h. ocenę ryzyka przy każdej większej zmianie (zgodnie z art. 8 ust. 3 DORA);
• i. stopień wdrażania i integracji innowacyjnych rozwiązań z zakresu ICT;
• j. miejsca, czyli regiony lub kraje, w których znajdują się ośrodki przetwarzania danych i wyznaczone obszary wrażliwe, w tym miejsca, w których usługi ICT są świadczone przez zewnętrznych dostawców usług ICT, z uwzględnieniem również lokalizacji przetwarzania i przechowywania danych;
• k. wszelkie istotne niedociągnięcia lub słabe punkty stwierdzone na podstawie tytułu 5;
• l. samodzielną ocenę mechanizmów kontroli i ryzyka związanego z ICT (jeżeli została uwzględniona w informacjach ICAAP);
• m. informacje dotyczące zarządzania ryzykiem związanym z ICT przekazywane organowi zarządzającemu instytucji;
• n. ustalenia z audytów wewnętrznych i zewnętrznych dotyczących ICT;
• o. zewnętrzne środowisko zagrożeń, w tym analiza zagrożeń i podatności.

Przegląd systemów ICT i usług ICT

³⁴ Artykuł 3 ust. 6 rozporządzenia (UE) 2022/2554.

³⁵ Artykuł 3 ust. 7 rozporządzenia (UE) 2022/2554.

1. Przegląd

1.1 Odwołania

• Article 6 5
• Article 8 2
• Article 19 1
• Article 11 10
• Artykuł 24 Ogólne wymogi dotyczące testowania operacyjnej odporności cyfrowej
• Article 26 6
• Article 28 3
• Article 42 7
• Article 48 2
• Article 8 7
• Article 8 3

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.