41. Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados …

Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados pela instituição para identificar os sistemas e serviços de TIC críticos, tendo em conta que alguns sistemas e serviços de TIC podem ser considerados críticos pela instituição de uma perspetiva de continuidade do negócio e disponibilidade, de uma perspetiva de segurança (como prevenção de fraudes) e/ou de uma perspetiva de confidencialidade (como dados confidenciais). Aquando da revisão, as autoridades competentes devem efetuar a revisão tendo em consideração que os sistemas e serviços de TIC críticos devem satisfazer pelo menos uma das seguintes condições:

• a. suportam as operações de negócio e canais de distribuição (por exemplo, caixas automáticas, serviços bancários online e móveis) da instituição;
• b. suportam os processos de governo e as funções empresariais fundamentais, incluindo a gestão de riscos (por exemplo, sistemas de gestão de riscos e gestão de tesouraria);
• c. enquadram-se em requisitos legais ou regulamentares especiais (se existentes) que impõem requisitos de disponibilidade, resistência, confidencialidade ou segurança reforçados (nomeadamente legislação de proteção de dados ou «Objetivos de tempo de recuperação» (RTO, o tempo máximo durante o qual um sistema ou processo tem de ser restabelecido após um incidente) e «Objetivo de ponto de recuperação» (RPO, o período máximo de perda de dados em caso de incidente)) para alguns serviços importantes do ponto de vista sistémico (se e quando aplicável);
• d. processam ou armazenam dados confidenciais ou sensíveis aos quais o acesso não autorizado poderia ter impacto significativo na reputação da instituição, nos resultados financeiros ou na solidez e continuidade da respetiva atividade (como bases de dados com dados confidenciais sobre clientes); e/ou
• e. disponibilizam funcionalidades base que são vitais para o bom funcionamento da instituição (como serviços de telecomunicações e conectividade, serviços de TIC e de cibersegurança).

3.2.3 Identificação de riscos de TIC significativos para os sistemas e serviços de TIC críticos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/