3.2 Identificação de riscos de TIC significativos

As autoridades competentes devem identificar os riscos de TIC significativos aos quais a instituição esteja ou possa vir a estar exposta seguindo os procedimentos descritos abaixo.

3.2.1 Revisão do perfil de risco de TIC da instituição

Ao reverem o perfil de risco de TIC da instituição, as autoridades competentes devem ter em consideração todas as informações relevantes sobre as exposições da instituição ao risco de TIC, incluindo as informações nos termos do n.º 37 e as deficiências ou lacunas significativas identificadas na organização das TIC e nos controlos ao nível da instituição, nos termos do Título 2 das presentes orientações e, quando relevante, devem rever estas informações de forma proporcionada. No quadro desta revisão, as autoridades competentes devem ter em consideração:

• a. o impacto potencial de uma perturbação significativa dos sistemas de TIC da instituição no sistema financeiro a nível nacional ou internacional;
• b. se a instituição pode estar exposta a riscos de segurança das TIC ou a riscos de disponibilidade e continuidade das TIC devido a dependências à Internet, a adoção massiva de soluções de TIC inovadoras ou de outros canais de distribuição empresariais que possam torná-la um alvo mais suscetível a ciberataques;
• c. se a instituição pode estar mais exposta a riscos de segurança, de disponibilidade e continuidade, de integridade de dados ou alteração de TIC devido à complexidade (tal como na sequência de fusões ou aquisições) ou à desatualização dos seus sistemas de TIC;
• d. se a instituição está a implementar alterações significativas aos seus sistemas de TIC e/ou à função de TIC (por exemplo na sequência de fusões, aquisições, alienações ou substituição dos seus sistemas de TIC core ), o que pode ter impacto negativo na estabilidade ou no bom funcionamento dos sistemas de TIC, podendo resultar em riscos de disponibilidade e continuidade, de segurança, de alteração e de integridade de dados de TIC significativos;
• e. se a instituição contratou externamente serviços ou sistemas de TIC dentro ou fora do grupo, que a possa expor a riscos significativos associados a essa contratação externa;
• f. se a instituição está a implementar medidas agressivas de redução de custos ao nível das TIC que possam levar à redução de investimentos, recursos e competências em TIC que sejam necessários e possam aumentar a exposição a todos os tipos de riscos de TIC na taxonomia;
• g. se a localização de operações de TIC/centros de dados importantes (por exemplo, regiões, países) pode expor a instituição a catástrofes naturais (como cheias, sismos), instabilidade política ou conflitos laborais e distúrbios civis que possam levar a um aumento significativo dos riscos de disponibilidade e continuidade das TIC e dos riscos de segurança das TIC.

3.2.2 Revisão dos sistemas e serviços de TIC críticos

No quadro do processo para a identificação dos riscos de TIC com um potencial impacto prudencial significativo na instituição, as autoridades competentes devem rever a documentação da instituição e formar uma opinião sobre os sistemas e serviços de TIC considerados críticos para a disponibilidade, continuidade, segurança e funcionamento adequados das atividades essenciais da instituição.

Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados pela instituição para identificar os sistemas e serviços de TIC críticos, tendo em conta que alguns sistemas e serviços de TIC podem ser considerados críticos pela instituição de uma perspetiva de continuidade do negócio e disponibilidade, de uma perspetiva de segurança (como prevenção de fraudes) e/ou de uma perspetiva de confidencialidade (como dados confidenciais). Aquando da revisão, as autoridades competentes devem efetuar a revisão tendo em consideração que os sistemas e serviços de TIC críticos devem satisfazer pelo menos uma das seguintes condições:

• a. suportam as operações de negócio e canais de distribuição (por exemplo, caixas automáticas, serviços bancários online e móveis) da instituição;
• b. suportam os processos de governo e as funções empresariais fundamentais, incluindo a gestão de riscos (por exemplo, sistemas de gestão de riscos e gestão de tesouraria);
• c. enquadram-se em requisitos legais ou regulamentares especiais (se existentes) que impõem requisitos de disponibilidade, resistência, confidencialidade ou segurança reforçados (nomeadamente legislação de proteção de dados ou «Objetivos de tempo de recuperação» (RTO, o tempo máximo durante o qual um sistema ou processo tem de ser restabelecido após um incidente) e «Objetivo de ponto de recuperação» (RPO, o período máximo de perda de dados em caso de incidente)) para alguns serviços importantes do ponto de vista sistémico (se e quando aplicável);
• d. processam ou armazenam dados confidenciais ou sensíveis aos quais o acesso não autorizado poderia ter impacto significativo na reputação da instituição, nos resultados financeiros ou na solidez e continuidade da respetiva atividade (como bases de dados com dados confidenciais sobre clientes); e/ou
• e. disponibilizam funcionalidades base que são vitais para o bom funcionamento da instituição (como serviços de telecomunicações e conectividade, serviços de TIC e de cibersegurança).

3.2.3 Identificação de riscos de TIC significativos para os sistemas e serviços de TIC críticos

Tendo em conta as revisões realizadas do perfil de risco de TIC da instituição e dos sistemas e serviços de TIC críticos acima indicados, as autoridades competentes devem formar uma opinião sobre os riscos de TIC significativos que, segundo a sua avaliação de supervisão, possam ter um impacto prudencial significativo nos sistemas e serviços de TIC críticos da instituição.

Ao avaliarem o potencial impacto dos riscos de TIC nos sistemas e serviços de TIC críticos de uma instituição, as autoridades competentes devem ter em consideração:

• a. o impacto financeiro, incluindo, entre outros, a perda de fundos ou ativos, a potencial compensação de clientes, os custos legais ou de recuperação, os danos contratuais e a perda de receitas;
• b. a potencial perturbação das atividades, tendo em consideração, entre outros, a criticidade dos serviços financeiros afetados, o número de clientes e/ou sucursais e funcionários potencialmente afetados;
• c. o potencial impacto na reputação da instituição com base na criticidade do serviço bancário ou atividade operacional afetada (como roubo de dados de clientes); o perfil/visibilidade externa dos sistemas e serviços de TIC afetados (como sistemas bancários online ou móveis, pontos de venda, caixas automáticas ou sistemas de pagamento);
• d. o impacto regulamentar, incluindo o potencial de censura pública por parte do regulador, multas ou mesmo alteração das autorizações;
• e. o impacto estratégico na instituição, por exemplo, se o produto ou os planos de negócio estratégicos forem comprometidos ou roubados.

As autoridades competentes devem em seguida mapear os riscos de TIC identificados que sejam considerados significativos nas categorias de risco de TIC indicadas abaixo para as quais são fornecidas descrições adicionais do risco e exemplos no Anexo. As autoridades competentes devem debruçar-se sobre os riscos de TIC referidos no Anexo, no quadro da avaliação nos termos do Título 3:

• a. Risco de disponibilidade e continuidade das TIC
• b. risco de segurança das TIC
• c. risco de alteração das TIC
• d. risco de integridade de dados das TIC
• e. risco de contração externa de TIC

A mapeamento visa auxiliar as autoridades competentes na determinação dos riscos significativos (se existentes) e, por conseguinte, deve ser objeto de uma revisão mais rigorosa e/ou aprofundada nos seguintes procedimentos de avaliação.