+Secção 2
---+Artigo 3.o Gestão do risco associado às TIC

Secção 2

Secção 2

1. Visão geral

,
Artigo 3.o Gestão do risco associado às TIC

Artigo 3.o

Gestão do risco associado às TIC

As entidades financeiras devem desenvolver, documentar e aplicar políticas e procedimentos de gestão do risco associado às TIC que incluam todos os elementos seguintes:

a) 

Uma indicação da aprovação do nível de tolerância ao risco associado às TIC estabelecido em conformidade com o artigo 6.o, n.o 8, alínea b), do Regulamento (UE) 2022/2554;

b) 

Um procedimento e uma metodologia para realizar a avaliação do risco associado às TIC, que identifiquem:

i) 

as vulnerabilidades e ameaças que afetem ou possam afetar as funções operacionais apoiadas, os sistemas de TIC e os ativos de TIC que apoiam essas funções,

ii) 

os indicadores quantitativos ou qualitativos para medir o impacto e a probabilidade das vulnerabilidades e ameaças referidas na subalínea i);

c) 

O procedimento para identificar, aplicar e documentar medidas de tratamento do risco associado às TIC para os riscos associados às TIC identificados e avaliados, designadamente a determinação das medidas de tratamento do risco associado às TIC necessárias para manter esse risco dentro do nível de tolerância referido na alínea a);

d) 

Para os riscos residuais associados às TIC que ainda estejam presentes na sequência da aplicação das medidas de tratamento do risco associado às TIC referido na alínea c):

i) 

disposições relativas à identificação desses riscos residuais associados às TIC,

ii) 

a atribuição de funções e responsabilidades no que respeita:

(1) 

à aceitação dos riscos residuais associados às TIC que excedem o nível de tolerância ao risco da entidade financeira referido na alínea a);

(2) 

ao processo de revisão referido na subalínea iv) da presente alínea d);

iii) 

a elaboração de um inventário dos riscos residuais associados às TIC aceites, incluindo uma justificação para a sua aceitação,

iv) 

disposições relativas à revisão dos riscos residuais associados às TIC aceites, pelo menos uma vez por ano, nomeadamente:

(1) 

a identificação de quaisquer alterações dos riscos residuais associados às TIC;

(2) 

a avaliação das medidas de mitigação disponíveis;

(3) 

uma avaliação para determinar se as razões que justificam a aceitação dos riscos residuais associados às TIC continuam a ser válidas e aplicáveis à data da revisão;

e) 

Disposições relativas à monitorização:

i) 

de quaisquer alterações do panorama dos riscos associados às TIC e das ciberameaças,

ii) 

das vulnerabilidades e ameaças internas e externas,

iii) 

do risco associado às TIC da entidade financeira, de um modo que permita a deteção rápida de alterações que possam afetar o seu perfil de risco associado às TIC;

f) 

Disposições relativas a um processo para assegurar que quaisquer alterações da estratégia empresarial e da estratégia de resiliência operacional digital da entidade financeira são tidas em conta.

Para efeitos da alínea c), primeiro parágrafo, o procedimento referido nessa alínea deve assegurar:

a) 

A monitorização da eficácia das medidas de tratamento do risco associado às TIC aplicadas;

b) 

Uma avaliação para determinar se os níveis de tolerância ao risco estabelecidos pela entidade financeira foram atingidos;

c) 

Uma avaliação para determinar se a entidade financeira tomou medidas para corrigir ou melhorar essas medidas, quando necessário.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas