214. Em conformidade com o Regulamento DORA, as autoridades competentes devem analisar a …

Em conformidade com o Regulamento DORA, as autoridades competentes devem analisar a identificação, classificação e documentação que a instituição possui de todas as funções, papéis e responsabilidades empresariais suportados pelas TIC, bem como os ativos de informação³⁴ e os ativos de TIC³⁵ que apoiam essas funções, e ainda os seus papéis e dependências em relação ao risco das TIC. Esta análise deve permitir às autoridades competentes desenvolver uma compreensão aprofundada das exposições inerentes da instituição ao risco das TIC (perfil de risco das TIC), identificar os seus riscos inerentes materiais em matéria de TIC e formar uma opinião sobre o respetivo impacto prudencial. Para o efeito, as autoridades competentes devem ter em conta, pelo menos, os seguintes aspetos, sempre que tal seja pertinente e aplicável:

• a. o relatório sobre a revisão do quadro de gestão do risco associado às TIC (nos termos do artigo 6.º, n.º 5, do Regulamento DORA);
• b. as fontes de risco das TIC, em especial a exposição ao risco em relação a outras entidades financeiras e proveniente destas, identificadas pela instituição nos termos do artigo 8.º, n.º 2, do Regulamento DORA;
• c. os incidentes de caráter severo relacionados com as TIC comunicados (nos termos do artigo 19.º, n.º 1, do Regulamento DORA), incluindo a estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC (nos termos do artigo 11.º, n.º 10, do Regulamento DORA);
• d. os resultados dos testes previstos no programa de testes de resiliência operacional digital (nos termos do artigo 24.º do Regulamento DORA), incluindo um resumo dos resultados dos testes de penetração baseados em ameaças (TLPT) e dos planos corretivos conexos (nos termos do artigo 26.º, n.º 6, do Regulamento DORA);
• e. o registo de informações (nos termos do artigo 28.º, n.º 3, do Regulamento DORA), incluindo o grau de concentração em terceiros prestadores de serviços de TIC, incluindo os prestadores intragrupo de TIC, por tipo de serviços de TIC e/ou sistemas de TIC;
• f. as recomendações e pareceres das autoridades fiscalizadoras principais (nos termos do artigo 40.º, n.º 3, e do artigo 42.º, n.º 7, do Regulamento DORA) e respostas, relatórios e informações conexos de terceiros prestadores de serviços de TIC críticos (nos termos do artigo 35.º, n.º 1, alínea c), do artigo 42.º, n.º 1, e do artigo 48.º, n.º 2, do Regulamento DORA);
• g. o nível de complexidade dos sistemas TIC e os resultados da avaliação do risco associado às TIC nos sistemas de TIC obsoletos(nos termos do artigo 8.º, n.º 7, do Regulamento DORA);
• h. a avaliação do risco aquando de qualquer alteração substancial (nos termos do artigo 8.º, n.º 3, do Regulamento DORA);
• i. o nível de adoção e integração de soluções de TIC inovadoras;
• j. as localizações, nomeadamente as regiões ou países, dos centros de dados e das áreas consideradas sensíveis, incluindo os locais onde são prestados serviços contratuais de TIC por terceiros prestadores de serviços de TIC, abrangendo igualmente o tratamento e o local de armazenamento de dados;
• k. quaisquer deficiências ou pontos fracos relevantes identificados ao abrigo do título 5;
• l. as autoavaliações de controlos e riscos associados às TIC (se forem fornecidas nas avaliações do ICAAP);
• m. as informações de gestão relacionadas com os riscos associados às TIC apresentadas ao órgão de administração da instituição;
• n. as conclusões de auditorias internas e externas relacionadas com as TIC;
• o. o cenário de ameaças externas, incluindo informações sobre ameaças e vulnerabilidades. Análise dos sistemas e serviços de TIC

³⁴ Artigo 3.º, n.º 6, do Regulamento (UE) 2022/2554

³⁵ Artigo 3.º, n.º 7, do Regulamento (UE) 2022/2554

1. Visão geral

1.1 Referências

• Article 6 5
• Article 8 2
• Article 19 1
• Article 11 10
• Artigo 24.o Requisitos gerais para a realização de testes de resiliência operacional digital
• Article 26 6
• Article 28 3
• Article 42 7
• Article 48 2
• Article 8 7
• Article 8 3

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.