41. Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados …

Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados pela instituição para identificar os sistemas e serviços de TIC críticos, tendo em conta que alguns sistemas e serviços de TIC podem ser considerados críticos pela instituição de uma perspetiva de continuidade do negócio e disponibilidade, de uma perspetiva de segurança (como prevenção de fraudes) e/ou de uma perspetiva de confidencialidade (como dados confidenciais). Aquando da revisão, as autoridades competentes devem efetuar a revisão tendo em consideração que os sistemas e serviços de TIC críticos devem satisfazer pelo menos uma das seguintes condições:

• a. suportam as operações de negócio e canais de distribuição (por exemplo, caixas automáticas, serviços bancários online e móveis) da instituição;
• b. suportam os processos de governo e as funções empresariais fundamentais, incluindo a gestão de riscos (por exemplo, sistemas de gestão de riscos e gestão de tesouraria);
• c. enquadram-se em requisitos legais ou regulamentares especiais (se existentes) que impõem requisitos de disponibilidade, resistência, confidencialidade ou segurança reforçados (nomeadamente legislação de proteção de dados ou «Objetivos de tempo de recuperação» (RTO, o tempo máximo durante o qual um sistema ou processo tem de ser restabelecido após um incidente) e «Objetivo de ponto de recuperação» (RPO, o período máximo de perda de dados em caso de incidente)) para alguns serviços importantes do ponto de vista sistémico (se e quando aplicável);
• d. processam ou armazenam dados confidenciais ou sensíveis aos quais o acesso não autorizado poderia ter impacto significativo na reputação da instituição, nos resultados financeiros ou na solidez e continuidade da respetiva atividade (como bases de dados com dados confidenciais sobre clientes); e/ou
• e. disponibilizam funcionalidades base que são vitais para o bom funcionamento da instituição (como serviços de telecomunicações e conectividade, serviços de TIC e de cibersegurança).

3.2.3 Identificação de riscos de TIC significativos para os sistemas e serviços de TIC críticos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.