+214. În conformitate cu DORA, autoritățile competente trebuie să revizuiască identificarea …

214. În conformitate cu DORA, autoritățile competente trebuie să revizuiască identificarea …

În conformitate cu DORA, autoritățile competente trebuie să revizuiască identificarea, clasificarea și documentarea de către instituție a tuturor funcțiilor, rolurilor și responsabilităților aferente activității susținute de TIC, a activelor informaționale³⁴ și a activelor TIC³⁵ care sprijină aceste funcții, precum și a rolurilor și dependențelor acestora în raport cu riscul TIC. Această analiză trebuie să ajute autoritățile competente să dobândească

o înțelegere aprofundată a expunerilor instituției la riscul TIC inerent (profilul de risc TIC), să identifice riscul TIC inerent semnificativ și să își formeze o opinie cu privire la impactul prudențial al acestuia. În acest scop, autoritățile competente trebuie să ia în considerare cel puțin următoarele aspecte, în măsura în care sunt relevante și aplicabile:
a. raportul privind revizuirea cadrului de administrare a riscurilor TIC [în conformitate cu articolul 6 alineatul (5) din DORA];
b. sursele de riscuri TIC, în special expunerea la risc față de alte entități financiare și din partea altor entități financiare, identificate de instituție în temeiul articolului 8 alineatul (2) din DORA;
c. incidentele majore legate de TIC raportate [în conformitate cu articolul 19 alineatul (1) din DORA], inclusiv tendința costurilor și pierderilor anuale agregate cauzate de incidentele majore legate de TIC [în conformitate cu articolul 11 alineatul (10) din DORA];
d. rezultatele testelor avute în vedere în programul de testare a rezilienței operaționale digitale (în conformitate cu articolul 24 din DORA), inclusiv o sinteză a constatărilor testelor de penetrare bazate pe amenințări (TLPT) și planurile de remediere aferente [în conformitate cu articolul 26 alineatul (6) din DORA];
e. registrul de informații [în conformitate cu articolul 28 alineatul (3) din DORA], inclusiv gradul de concentrare privind furnizorii terți de servicii TIC, inclusiv furnizorii de TIC la nivel de grup, în funcție de tipul de servicii TIC și/sau de sisteme TIC;
f. recomandările și avizele supraveghetorilor principali [în conformitate cu articolul 40 alineatul (3) și articolul 42 alineatul (7) din DORA], precum și răspunsurile, rapoartele și informațiile aferente furnizate de furnizorii terți esențiali de servicii TIC [în conformitate cu articolul 35 alineatul (1) litera (c), articolul 42 alineatul (1) și articolul 48 alineatul (2) din DORA];
g. nivelul de complexitate al sistemelor TIC și rezultatele evaluării riscului TIC în ceea ce privește sistemele TIC moștenite [în conformitate cu articolul 8 alineatul (7) din DORA];
h. evaluarea riscurilor legate de modificările majore [în conformitate cu articolul 8 alineatul (3) din DORA];
i. nivelul de adoptare și integrare a soluțiilor inovatoare din domeniul TIC;
j. locațiile, și anume regiunile sau țările, în care se află centrele de date și zonele desemnate sensibile, inclusiv în cazul în care serviciile TIC contractuale sunt furnizate de furnizori terți de servicii TIC, cuprinzând, de asemenea, locul stabilit pentru prelucrarea și stocarea datelor;
k. orice deficiențe sau puncte slabe relevante identificate în temeiul Titlului 5;
l. autoevaluări ale riscurilor TIC și ale procedurilor de control al riscurilor (dacă sunt prevăzute în informațiile ICAAP);
m. informațiile privind administrarea riscurilor legate de TIC transmise organului de conducere al instituției;
n. constatările auditurilor interne și externe legate de TIC;
o. mediul amenințărilor externe, inclusiv informații privind amenințările și vulnerabilitățile.

Revizuirea sistemelor TIC și a serviciilor TIC

³⁴ Articolul 3 punctul 6 din Regulamentul (UE) 2022/2554.

³⁵ Articolul 3 punctul 7 din Regulamentul (UE) 2022/2554.

1. Prezentare generală

Titlu	Reglementare

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

Cerințe
Sursă	Cerință

3. Standarde asociate

Standarde
Sursă	Cerință

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.