39. Ao reverem o perfil de risco de TIC da instituição, as autoridades competentes devem ter em …

Ao reverem o perfil de risco de TIC da instituição, as autoridades competentes devem ter em consideração todas as informações relevantes sobre as exposições da instituição ao risco de TIC, incluindo as informações nos termos do n.º 37 e as deficiências ou lacunas significativas identificadas na organização das TIC e nos controlos ao nível da instituição, nos termos do Título 2 das presentes orientações e, quando relevante, devem rever estas informações de forma proporcionada. No quadro desta revisão, as autoridades competentes devem ter em consideração:

• a. o impacto potencial de uma perturbação significativa dos sistemas de TIC da instituição no sistema financeiro a nível nacional ou internacional;
• b. se a instituição pode estar exposta a riscos de segurança das TIC ou a riscos de disponibilidade e continuidade das TIC devido a dependências à Internet, a adoção massiva de soluções de TIC inovadoras ou de outros canais de distribuição empresariais que possam torná-la um alvo mais suscetível a ciberataques;
• c. se a instituição pode estar mais exposta a riscos de segurança, de disponibilidade e continuidade, de integridade de dados ou alteração de TIC devido à complexidade (tal como na sequência de fusões ou aquisições) ou à desatualização dos seus sistemas de TIC;
• d. se a instituição está a implementar alterações significativas aos seus sistemas de TIC e/ou à função de TIC (por exemplo na sequência de fusões, aquisições, alienações ou substituição dos seus sistemas de TIC core ), o que pode ter impacto negativo na estabilidade ou no bom funcionamento dos sistemas de TIC, podendo resultar em riscos de disponibilidade e continuidade, de segurança, de alteração e de integridade de dados de TIC significativos;
• e. se a instituição contratou externamente serviços ou sistemas de TIC dentro ou fora do grupo, que a possa expor a riscos significativos associados a essa contratação externa;
• f. se a instituição está a implementar medidas agressivas de redução de custos ao nível das TIC que possam levar à redução de investimentos, recursos e competências em TIC que sejam necessários e possam aumentar a exposição a todos os tipos de riscos de TIC na taxonomia;
• g. se a localização de operações de TIC/centros de dados importantes (por exemplo, regiões, países) pode expor a instituição a catástrofes naturais (como cheias, sismos), instabilidade política ou conflitos laborais e distúrbios civis que possam levar a um aumento significativo dos riscos de disponibilidade e continuidade das TIC e dos riscos de segurança das TIC.

3.2.2 Revisão dos sistemas e serviços de TIC críticos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/