230. Autoritățile competente trebuie să dobândească o înțelegere aprofundată a cadrului de …

Autoritățile competente trebuie să dobândească o înțelegere aprofundată a cadrului de administrare a riscurilor TIC al instituției și să evalueze dacă instituția a instituit strategii, politici, proceduri, protocoale și instrumente TIC suficiente și adecvate, inclusiv niveluri de toleranță, pentru a aborda în mod eficace, eficient și cuprinzător riscul TIC semnificativ în conformitate cu DORA. În acest scop, autoritățile competente trebuie să ia în considerare, după caz:

• a. caracterul adecvat și eficacitatea politicilor, proceselor și procedurilor instituției de administrare a riscurilor TIC³⁶ , care acoperă, printre altele, gestionarea de către terți a TIC, detectarea incidentelor legate de TIC și răspunsul la acestea, gestionarea activelor TIC, criptarea și criptografia, securitatea operațiunilor TIC, securitatea rețelei, controlul accesului și dacă acestea au fost aprobate de organul de conducere și comunicate tuturor părților interesate relevante (conform articolului 14 din DORA);
• b. caracterul adecvat al nivelului de toleranță la risc al instituției pentru riscurile TIC și al toleranței la impact pentru perturbările TIC [în conformitate cu articolul 6 alineatul (8) litera (b) din DORA];
• c. caracterul adecvat și implementarea strategiei de reziliență operațională digitală a instituției, inclusiv alinierea ei la strategia de afaceri;
• d. coerența strategiei privind riscurile TIC generate de părți terțe, inclusiv strategia privind furnizorii multipli din domeniul TIC, dacă este cazul, cu strategia generală de afaceri și cu cadrul de administrare a riscurilor TIC;
• e. riscul rezidual provenit din riscurile identificate la nivelul instituției în ceea ce privește acordurile contractuale referitoare la utilizarea serviciilor TIC care susțin funcții critice sau importante;
• f. riscul rezidual asociat riscurilor identificate de instituție cu privire la proiectele TIC care au impact asupra funcțiilor critice sau importante, raportate organului de conducere, precum și cu privire la achizițiile, dezvoltarea și întreținerea sistemelor TIC și la modificările aduse acestora;
• g. soliditatea și exhaustivitatea programului de testare a rezilienței operaționale digitale;
• h. tendința și amploarea incidentelor majore legate de TIC și a constatărilor raportate organului de conducere, în conformitate cu articolul 17 alineatul (3) litera (e) și articolul 13 alineatul (5) din DORA;
• i. procedurile de control al riscurilor TIC specifice riscurilor TIC semnificative identificate;
• j. raportarea în timp util a aspectelor legate de administrarea riscurilor TIC către organul de conducere și conducerea superioară;
• k. sfera de acoperire a acțiunii de audit intern și constatările desprinse ca urmare a acesteia.

³⁶ În conformitate cu DORA, acestea trebuie să includă cel puțin politica de securitate a informațiilor, politicile privind copiile de rezervă, politica privind gestionarea activelor TIC, politica privind criptarea și controalele criptografice, politica privind gestionarea cheilor criptografice, politica privind gestionarea proiectelor TIC, politica privind achiziția, dezvoltarea și întreținerea sistemelor TIC, politica privind resursele umane, politica privind securitatea fizică și de mediu, politica privind gestionarea incidentelor legate de TIC, precum și politica privind utilizarea serviciilor TIC care susțin funcții critice sau importante, furnizate de furnizori terți de servicii TIC.

1. Prezentare generală

1.1 Referințe

• Articolul 14 Comunicare
• Articolul 13 (5)

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.