230. As autoridades competentes devem adquirir um conhecimento aprofundado do quadro de gestão de …

As autoridades competentes devem adquirir um conhecimento aprofundado do quadro de gestão de riscos de TIC da instituição e avaliar se esta dispõe de estratégias, políticas, procedimentos, protocolos e ferramentas de TIC suficientes e adequados — incluindo níveis de tolerância — para gerir de forma eficaz, eficiente e abrangente os riscos de TIC significativos, em conformidade com o Regulamento DORA. Para o efeito, as autoridades competentes devem ter em conta, sempre que aplicável:

• a. a adequação e a eficácia das políticas³⁶ , processos e procedimentos de gestão de riscos de TIC da instituição, abrangendo, nomeadamente, a gestão de terceiros no domínio das TIC, a deteção e resposta a incidentes relacionados com as TIC, a gestão de ativos de TIC, a encriptação e a criptografia, a segurança das operações de TIC, a segurança da rede, o controlo de acesso, e se estes foram aprovados pelo órgão de administração e comunicados a todas as partes interessadas relevantes (nos termos do artigo 14.º do Regulamento DORA);
• b. a adequação do nível de tolerância da instituição ao risco associado às TIC e a tolerância ao impacto de eventuais perturbações nas TIC (em conformidade com o artigo 6.º, n.º 8, alínea b), do Regulamento DORA);
• c. a adequação e implementação da estratégia de resiliência operacional digital da instituição, incluindo o seu alinhamento com a estratégia empresarial;
• d. a coerência da estratégia em matéria de risco associado às TIC devido a terceiros, tendo em conta a estratégia com múltiplos fornecedores, quando disponível, com a estratégia empresarial global e o quadro de gestão de riscos das TIC;
• e. o risco residual decorrente dos riscos identificados da instituição no que diz respeito às disposições contratuais relativas à utilização de serviços de TIC que apoiam funções essenciais ou importantes;
• f. o risco residual decorrente dos riscos identificados da instituição em projetos de TIC que tenham impacto em funções críticas ou importantes, comunicados ao órgão de administração, bem como nas aquisições, no desenvolvimento e na manutenção de sistemas de TIC e nas alterações às TIC;
• g. a solidez e a abrangência do programa de testes de resiliência operacional digital;
• h. a tendência e a magnitude dos resultados e incidentes de caráter severo relacionados com as TIC comunicados ao órgão de administração nos termos do artigo 17.º, n.º 3, alínea e), e do artigo 13.º, n.º 5, do Regulamento DORA;
• i. os controlos de riscos das TIC específicos para o risco significativo das TIC identificado;
• j. a comunicação atempada de informações sobre a gestão dos riscos de TIC ao órgão de administração e à direção de topo;
• k. a cobertura e os resultados das auditorias internas.

³⁶ De acordo com o Regulamento DORA, estas devem incluir, no mínimo, a política de segurança da informação, as políticas de cópias de segurança, a política de gestão de ativos de TIC, a política de encriptação e controlos criptográficos, a política de gestão de chaves criptográficas, a política de gestão de projetos de TIC, a política de aquisição, desenvolvimento e manutenção de sistemas de TIC, a política de recursos humanos, a política de segurança física e ambiental, a política de gestão de incidentes relacionados com as TIC e a política relativa à utilização de serviços de TIC que suportam funções críticas ou importantes, prestados por terceiros prestadores de serviços de TIC.

1. Visão geral

1.1 Referências

• Artigo 14.o Comunicação
• Article 13 5

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.