3.2 Identificarea riscurilor TIC semnificative

Autoritățile competente trebuie să identifice riscurile TIC semnificative la care este expusă sau este susceptibilă de a fi expusă instituția prin etapele de mai jos. 3.2.1 Analiza profilului de risc TIC al instituției

Atunci când analizează profilul de risc TIC al instituției, autoritățile competente trebuie să aibă în vedere toate informațiile relevante despre expunerile la riscul TIC ale instituției, inclusiv informațiile de la punctul 37 și deficiențele sau punctele slabe semnificative identificate la nivelul organizării TIC și al procedurilor de control de la nivelul instituției de la titlul 2 din prezentul ghid și, după caz, să analizeze aceste informații în mod proporțional. În cadrul acestei analize, autoritățile competente trebuie să aibă în vedere:

• a. eventualul impact al unei întreruperi semnificative asupra sistemelor TIC și a sistemului financiar al instituției la nivel intern sau internațional;
• b. dacă instituția este susceptibilă de a fi expusă riscului de securitate TIC sau riscurilor de disponibilitate și continuitate TIC din cauza dependențelor de Internet, adoptării la nivel înalt a soluțiilor TIC inovatoare sau a altor canale de distribuție economică ce ar putea să crească susceptibilitatea ca instituția să fie ținta atacurilor cibernetice;
• c. dacă instituția este susceptibilă de a fi mai expusă riscurilor de securitate TIC, riscurilor de disponibilitate și continuitate TIC, riscurilor de integritate a datelor sau riscurilor de schimbare TIC din cauza complexității (de exemplu, ca urmare a fuziunilor sau a achizițiilor) sau a învechirii sistemelor sale TIC;
• d. dacă instituția implementează schimbări semnificative aduse sistemelor TIC și/sau funcției TIC (de exemplu, ca urmare a fuziunilor, a achizițiilor, a cesionării sau a înlocuirii sistemelor sale TIC de bază), care ar putea avea un impact negativ asupra stabilității sau funcționării ordonate a sistemelor TIC și care pot genera riscuri semnificative la nivelul disponibilității și continuității TIC, riscuri de securitate TIC, riscuri de schimbare TIC sau riscuri de integritate a datelor TIC;
• e. dacă instituția a externalizat servicii sau sisteme TIC în cadrul sau în afara grupului, ceea ce este susceptibil de a o expune unor riscuri semnificative de externalizare TIC;
• f. dacă instituția implementează măsuri agresive de reducere a costurilor TIC, care ar putea determina reducerea investițiilor și resurselor TIC, precum și a expertizei IT necesare, și care pot crește expunerea la toate tipurile de risc TIC din cadrul taxonomiei;
• g. dacă localizarea operațiunilor/centrelor de date TIC importante (de exemplu, regiuni, țări) este susceptibilă de a expune instituția unor calamități naturale (de exemplu, inundații, cutremure), instabilității politice sau conflictelor de muncă și perturbărilor civile, ceea ce poate duce la creșterea semnificativă a riscurilor de disponibilitate și continuitate TIC și a riscurilor de securitate TIC.

3.2.2 Analiza sistemelor și serviciilor TIC esențiale

În cad rul procesului de identificare a riscurilor TIC care ar putea avea un impact prudențial semnificativ asupra instituției, autoritățile competente trebuie să analizeze documentația primită din partea instituției și să își formeze o opinie asupra sistemelor ș i serviciilor TIC care sunt vitale pentru o funcționare, disponibilitate, continuitate și securitate adecvată a activităților esențiale ale instituției.

În acest scop, autoritățile competente trebuie să analizeze metodologia și procesele aplicate de către instituție pentru identificarea sistemelor și serviciilor TIC care sunt vitale, ținând cont de faptul că unele sisteme și servicii TIC ar putea fi considerate vitale de către instituție din perspectiva continuității și disponibilității economice, precum și din perspectiva securității (de exemplu, prevenirea datelor) și/sau a confidențialității (de exemplu, date confidențiale). Atunci când efectuează analiza, autoritățile competente trebuie să țină cont de faptul că sistemele și serviciile vitale TIC trebuie să îndeplinească cel puțin una dintre următoarele condiții:

• a. susțin operațiunile economice și canalele de distribuție (de exemplu, bancomate, Internet și servicii bancare mobile) ale instituției;
• b. susțin procesele de guvernanță și funcțiile corporative esențiale, inclusiv gestionarea riscurilor (de exemplu, sisteme de gestionare a riscurilor și a trezoreriei);
• c. intră sub incidența cerințelor legale și de reglementare speciale (dacă există) care impun cerințe mai înalte privind disponibilitatea, reziliența, confidențialitatea sau securitatea [de exemplu, legislația privind protecția datelor sau posibile „obiective privind timpul de recuperare” (OTR, timpul maxim în care un sistem sau un proces trebuie să fie restabilit după un incident) și „obiectivul privind punctul de recuperare” (OPR, perioada maximă de timp în care datele se pot pierde în cazul unui incident) pentru unele servicii importante din punct de vedere sistemic (dacă există și dacă este cazul)];
• d. prelucrează sau stochează date confidențiale sau sensibile a căror accesare neautorizată ar putea produce un impact semnificativ asupra reputației instituției, a rezultatelor financiare sau a solidității și continuității activității sale (de exemplu, baze de date cu date sensibile despre clienți); și/sau
• e. a sigură funcționalități de bază care sunt esențiale pentru funcționarea adecvată a instituției (de exemplu, servicii de telecomunicații și de conectivitate, servicii de securitate TIC și cibernetică).

3.2.3 Identificarea riscurilor TIC semnificative asociate sistemelor și serviciilor TIC esențiale

Ținând cont de analizele efectuate asupra profilului de risc TIC al instituției și a sistemelor și serviciilor esențiale TIC de mai sus, autoritățile competente trebuie să își formeze o opinie cu privire la riscurile TIC semnificative care, conform aprecierii lor în materie de supraveghere, pot avea un impact prudențial semnificativ asupra sistemelor și serviciilor TIC esențiale ale instituției.

Atunci când evaluează un eventual impact al riscurilor TIC asupra sistemelor și serviciilor TIC esențiale ale unei instituții, autoritățile competente trebuie să aibă în vedere:

• a. impactul financiar, inclusiv, dar nu numai, pierderea de fonduri sau active, o eventuală compensare a clienților, cheltuieli de judecată și de remediere, daune contractuale, venituri pierdute;
• b. eventualitatea întreruperii activității, având în vedere, dar nu numai, importanța serviciilor financiare afectate; numărul de clienți și/sau sucursale și angajați care ar putea fi afectați;
• c. un eventual impact asupra instituției sub aspectul reputației în funcție de importanța serviciului bancar sau a activității operaționale afectate (de exemplu, furtul de date despre clienți); profilul/vizibilitatea sistemelor și serviciilor TIC afectate (de exemplu, sisteme bancare mobile sau online, puncte de vânzare, bancomate sau sisteme de plată);
• d. impactul de reglementare, inclusiv eventualitatea cenzurării publice de către factorul de reglementare, a aplicării de amenzi sau chiar a variației permisiunilor;
• e. impactul strategic as upra instituției, spre exemplu dacă produsul strategic sau planurile economice sunt compromise sau furate.

Autoritățile competente trebuie să cartografieze apoi riscurile TIC identificate, care sunt identificate ca fiind semnificative, și să le clasifice în următoarele categorii de riscuri TIC, pentru care se prezintă descrieri suplimentare ale riscurilor și exemple în anexă. Autoritățile competente trebuie să analizeze riscurile TIC din anexă în cadrul evaluării de la titlul 3:

• a. Risc de disponibilitate și c ontinuitate TIC
• b. Risc de securitate TIC
• c. Risc de schimbare TIC
• d. Riscul de integritate a datelor TIC
• e. Risc de externalizare TIC

Cartografierea este prevăzută a ajuta autoritățile competente să stabilească riscurile semnificative (dacă există) și, prin urmare, trebuie supusă unei analize mai stricte și/sau mai aprofundate în următoarele etape de evaluare.