230. Właściwe organy powinny dogłębnie zapoznać się z ramami zarządzania ryzykiem związanym z ICT …

Właściwe organy powinny dogłębnie zapoznać się z ramami zarządzania ryzykiem związanym z ICT danej instytucji oraz ocenić, czy instytucja ta dysponuje wystarczającymi i odpowiednimi strategiami, zasadami polityki, procedurami, protokołami i narzędziami ICT – w tym poziomami tolerancji – pozwalającymi skutecznie, efektywnie i kompleksowo zarządzać istotnym ryzykiem związanym z ICT zgodnie z DORA. W tym celu właściwe organy powinny rozważyć, w stosownych przypadkach:

• a. adekwatność i skuteczność polityk³⁶ , procesów i procedur instytucji w zakresie zarządzania ryzykiem związanym z ICT, obejmujących między innymi zarządzanie podmiotami zewnętrznymi w zakresie ICT, wykrywanie incydentów związanych z ICT i reagowanie na nie, zarządzanie ocenami ryzyka ICT, szyfrowanie i kryptografię, bezpieczeństwo operacji ICT, bezpieczeństwo sieci, kontrolę dostępu, a także to, czy zostały one zatwierdzone przez organ zarządzający i przekazane wszystkim odpowiednim zainteresowanym stronom (zgodnie z art. 14 DORA);
• b. adekwatność poziomu tolerancji ryzyka instytucji w odniesieniu do ryzyka związanego z ICT oraz poziomu tolerancji wpływu zakłóceń w funkcjonowaniu tych technologii (zgodnie z art. 6 ust. 8 lit. b) DORA);
• c. adekwatność i wdrażanie strategii operacyjnej odporności cyfrowej instytucji, w tym jej dostosowanie do strategii działalności;
• d. spójność strategii w zakresie ryzyka ze strony zewnętrznych dostawców usług ICT, w tym strategii dotyczącej wielu dostawców ICT (o ile taka istnieje), z ogólną strategią działalności oraz ramami zarządzania ryzykiem związanym z ICT;
• e. ryzyko rezydualne wynikające z ryzyka zidentyfikowanego przez instytucję w odniesieniu do ustaleń umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje;
• f. ryzyko rezydualne wynikające ze zidentyfikowanych przez instytucję ryzyk związanych z projektami ICT mającymi wpływ na krytyczne lub istotne funkcje, zgłaszanych organowi zarządzającemu, a także z pozyskiwaniem, rozwojem i utrzymaniem systemów ICT oraz wprowadzaniem zmian w tych systemach;
• g. prawidłowość i kompleksowość programu testowania operacyjnej odporności cyfrowej;
• h. tendencje i skalę poważnych incydentów związanych z ICT oraz ustalenia zgłoszone organowi zarządzającemu zgodnie z art. 17 ust. 3 lit. e) i art. 13 ust. 5 DORA;
• i. mechanizmy kontroli ryzyka związanego z ICT, dostosowane do zidentyfikowanego istotnego ryzyka w tym zakresie;
• j. terminowe przekazywanie informacji dotyczących aspektów zarządzania ryzykiem związanym z ICT organowi zarządzającemu i kadrze kierowniczej wyższego szczebla;
• k. zakres audytu wewnętrznego i ustalenia.

³⁶ Zgodnie z DORA powinny one obejmować co najmniej: politykę bezpieczeństwa informacji, polityki tworzenia kopii zapasowych, politykę zarządzania zasobami ICT, politykę dotyczącą mechanizmów kontroli szyfrowania i kontroli kryptograficznej, politykę zarządzania kluczami kryptograficznymi, politykę zarządzania projektami ICT, politykę dotyczącą pozyskiwania, rozwoju i utrzymania systemów ICT, politykę kadrową, politykę bezpieczeństwa fizycznego i środowiskowego, politykę zarządzania incydentami związanymi z ICT oraz politykę dotyczącą korzystania z usług ICT wspierających funkcje krytyczne lub istotne, świadczonych przez zewnętrznych dostawców usług ICT.

1. Przegląd

1.1 Odwołania

• Artykuł 14 Komunikacja
• Article 13 5

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.