39. Atunci când analizează profilul de risc TIC al instituției, autoritățile competente trebuie să …

Atunci când analizează profilul de risc TIC al instituției, autoritățile competente trebuie să aibă în vedere toate informațiile relevante despre expunerile la riscul TIC ale instituției, inclusiv informațiile de la punctul 37 și deficiențele sau punctele slabe semnificative identificate la nivelul organizării TIC și al procedurilor de control de la nivelul instituției de la titlul 2 din prezentul ghid și, după caz, să analizeze aceste informații în mod proporțional. În cadrul acestei analize, autoritățile competente trebuie să aibă în vedere:

• a. eventualul impact al unei întreruperi semnificative asupra sistemelor TIC și a sistemului financiar al instituției la nivel intern sau internațional;
• b. dacă instituția este susceptibilă de a fi expusă riscului de securitate TIC sau riscurilor de disponibilitate și continuitate TIC din cauza dependențelor de Internet, adoptării la nivel înalt a soluțiilor TIC inovatoare sau a altor canale de distribuție economică ce ar putea să crească susceptibilitatea ca instituția să fie ținta atacurilor cibernetice;
• c. dacă instituția este susceptibilă de a fi mai expusă riscurilor de securitate TIC, riscurilor de disponibilitate și continuitate TIC, riscurilor de integritate a datelor sau riscurilor de schimbare TIC din cauza complexității (de exemplu, ca urmare a fuziunilor sau a achizițiilor) sau a învechirii sistemelor sale TIC;
• d. dacă instituția implementează schimbări semnificative aduse sistemelor TIC și/sau funcției TIC (de exemplu, ca urmare a fuziunilor, a achizițiilor, a cesionării sau a înlocuirii sistemelor sale TIC de bază), care ar putea avea un impact negativ asupra stabilității sau funcționării ordonate a sistemelor TIC și care pot genera riscuri semnificative la nivelul disponibilității și continuității TIC, riscuri de securitate TIC, riscuri de schimbare TIC sau riscuri de integritate a datelor TIC;
• e. dacă instituția a externalizat servicii sau sisteme TIC în cadrul sau în afara grupului, ceea ce este susceptibil de a o expune unor riscuri semnificative de externalizare TIC;
• f. dacă instituția implementează măsuri agresive de reducere a costurilor TIC, care ar putea determina reducerea investițiilor și resurselor TIC, precum și a expertizei IT necesare, și care pot crește expunerea la toate tipurile de risc TIC din cadrul taxonomiei;
• g. dacă localizarea operațiunilor/centrelor de date TIC importante (de exemplu, regiuni, țări) este susceptibilă de a expune instituția unor calamități naturale (de exemplu, inundații, cutremure), instabilității politice sau conflictelor de muncă și perturbărilor civile, ceea ce poate duce la creșterea semnificativă a riscurilor de disponibilitate și continuitate TIC și a riscurilor de securitate TIC.

3.2.2 Analiza sistemelor și serviciilor TIC esențiale

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/