3.2 Identifikácia významných rizík súvisiacich s IKT

Príslušné orgány by mali určiť významné riziká súvisiace s IKT, ktorým je alebo ktorým by mohla byť vystavená inštitúcia, podľa krokov uvedených ďalej.

3.2.1 Preskúmanie profilu inštitúcie z hľadiska rizika súvisiaceho s IKT

Pri preskúmavaní profilu inštitúcie z hľadiska rizika súvisiaceho s IKT by príslušné orgány mali zohľadniť všetky relevantné informácie o expozíciách inštitúcie rizikám súvisiacim s IKT vrátane informácií v bode 37 a zistené významné nedostatky alebo slabiny organizácie I KT a kontrol celej inštitúcie podľa hlavy 2 týchto usmernení a v prípade potreby tieto informácie primeraným spôsobom preskúmať. V rámci tohto preskúmania by príslušné orgány mali zohľadniť:

• a. potenciálny vplyv závažného narušenia IKT systémov inštitúcie na finančný systém buď na domácej, alebo na medzinárodnej úrovni;
• b. či inštitúcia môže podliehať rizikám súvisiacim s bezpečnosťou IKT alebo rizikám súvisiacim s dostupnosťou a kontinuitou IKT z dôvodu závislosti od internetu, vysokej miery prijímania inovačných IKT riešení alebo iných obchodných distribučných reťazcov, ktoré môžu zvýšiť pravdepodobnosť, že inštitúcia sa stane cieľom pre kybernetické útoky;
• c. či inštitúcia môže byť viac vystavená rizikám súvisiacim s bezpečnosťou IKT, rizikám súvisiacim s dostupnosťou a kontinuitou IKT, rizikám súvisiacim s integritou IKT údajov alebo rizikám súvisiacim so zmenou IKT z dôvodu zložitosti (napr. v dôsledku zlúčení alebo nadobudnutí) alebo zastaranej povahy jej IKT systémov;
• d. či inštitúcia významne mení svoje IKT systémy a/alebo funkcie IKT (napr. v dôsledku zlúčení, nadobudnutí, odčlenení alebo výmeny jej kľúčových IKT systémov), čo môže nepriaznivo postihnúť stabilitu alebo riadne fungovanie IKT systémov a spôsobiť významné riziká súvisiace s dostupnosťou a kontinuitou IKT, riziká súvisiace s bezpečnosťou IKT, riziká súvisiace so zmenou IKT alebo riziká súvisiace s integritou IKT údajov;
• e. či inštitúcia outsourcovala IKT služby alebo IKT systémy externým poskytovateľom v rámci vlastnej finančnej skupiny alebo mimo nej, čím by sa mohla vystaviť významným rizikám súvisiacim s externým zabezpečovaním IKT služieb;
• f. či inštitúcia vykonáva agresívne úsporné opatrenia týkajúce sa IKT, čo môže viesť k zníženiu potrebných investícií, zdrojov a odbornosti v oblasti IKT a k zvýšeniu expozície všetkým druhom rizík súvisiacich s IKT v rámci taxonómie;
• g. či poloha dôležitých prevádzok IKT/dátových stredísk (napr. regióny, krajiny) môže vystaviť inštitúciu prírodným katastrofám (napr. povodne, zemetrasenia), politickej nestabilite alebo pracovnoprávnym konfliktom a občianskym nepokojom, ktoré by mohli viesť k významnému zvýšeniu rizík súvisiacich s dostupnosťou a kontinuitou IKT a rizík súvisiacich s bezpečnosťou IKT.

3.2.2 Preskúmanie kritických IKT systémov a služieb

V rámci procesu identifikácie rizík súvisiacich s IKT s potenciálne závažným prudenciálnym vplyvom na inštitúciu by príslušné orgány mali preskúmať dokumentáciu inštitúcie a vypracovať stanovisko o tom, ktoré IKT systémy a služby sú kritické pre primerané fungovanie, dostupnosť, kontinuitu a bezpečnosť základných činností inštitúcie.

Na tento účel by príslušné orgány mali preskúmať metodiku a postupy uplatňované inštitúciou na identifikáciu IKT systémov a služieb, ktoré sú kritické, pričom by mali vziať ohľad na to, že inštitúcia môže niektoré IKT systémy a služby považovať za kritické z hľadiska kontinuity činností a dostupnosti, z hľadiska bezpečnosti (napr. predchádzanie podvodom) a/alebo z hľadiska dôvernosti (napr. dôverné údaje). Príslušné orgány by mali vykonať s ohľadom na to, že kritické IKT systémy a služby by mali spĺňať aspoň jednu z týchto podmienok:

• a. podporujú hlavné obchodné operácie a distribučné reťazce (napr. bankomaty, elektronické a mobilné bankovníctvo) inštitúcie;
• b. podporujú základné postupy riadenia a podnikové funkcie vrátane riadenia rizík (napr. systémy riadenia rizík a správy pokladnice);
• c. vzťahujú sa na ne osobitné právne alebo regulatórne požiadavky (pokiaľ existujú), ktorými sa ukladajú silnejšie požiadavky na dostupnosť, odolnosť, dôvernosť alebo bezpečnosť [napr. právne predpisy v oblasti ochrany osobných údajov alebo možné časové ciele obnovy (RTO, maximálny čas, v rámci ktorého musí po udalosti nastať obnova systému alebo postupu) a ciele bodov obnovy (RPO, maximálne časové obdobie, počas ktorého môže v prípade udalosti dôjsť k strate údajov)] pre niektoré systémovo dôležité služby (v náležitých prípadoch);
• d. slúžia na spracovanie alebo uchovanie dôverných alebo citlivých údajov, pri ktorých by neoprávnený prístup mohol vážne poškodiť dobrú povesť inštitúcie, finančné výsledky alebo zdravie a kontinuitu jej činnosti (napr. databázy s citlivými údajmi o klientoch); a/alebo
• e. poskytujú základné funkcie, ktoré sú nevyhnutné pre primerané fungovanie inštitúcie (napr. telekomunikačné služby a služby prepojiteľnosti, služby bezpečnosti IKT a kybernetickej bezpečnosti).

3.2.3 Identifikácia významných rizík súvisiacich s IKT pre kritické IKT systémy a služby

Vzhľadom na vykonané preskúmania profilu inštitúcie z hľadiska rizika súvisiaceho s IKT a kritických IKT s ystémov a služieb uvedené vyššie by príslušné orgány mali vypracovať stanovisko o významných rizikách súvisiacich s IKT, ktoré podľa ich úsudku pri výkone dohľadu, môžu mať významný prudenciálny vplyv na kritické IKT systémy a služby inštitúcie.

Pri posud zovaní možného vplyvu rizík súvisiacich s IKT na kritické IKT systémy a služby inštitúcie by príslušné orgány mali zohľadniť:

• a. finančný vplyv vrátane (okrem iného) straty finančných prostriedkov alebo aktív, možnej kompenzácie zákazníkovi, právnych nákladov a nákladov na nápravu, zodpovednosti za zmluvné škody, straty príjmov;
• b. možnosť narušenia obchodnej činnosti vzhľadom na (okrem iného) kritickosť dotknutých finančných služieb; počet zákazníkov a/alebo pobočiek a zamestnancov, ktorých sa riziká potenciálne dotýkajú;
• c. možný vplyv na dobrú povesť inštitúcie na základe kritickosti dotknutých bankových služieb alebo prevádzkovej činnosti (napr. krádež údajov zákazníkov); externý profil/viditeľnosť dotknutých IKT systémov a služieb (napr. systémy mobilného alebo elektronického bankovníctva, platobné terminály v mieste predaja, bankomaty alebo platobné systémy);
• d. regulačný vplyv vrátane možnosti verejnej kritiky regulačným orgánom, pokút, či dokonca zmeny povolení;
• e. strategický vplyv na inštitúciu, napríklad v prípade, keď dôjde k vyzradeniu alebo krádeži strategického produktu alebo obchodných plánov.

Príslušné orgány by potom mali premietnuť zistené riziká súvisiace s IKT, ktoré sa považujú za významné, do týchto kategórií rizík súvisiacich s IKT, pre ktoré sa v pr ílohe uvádzajú doplňujúce opisy rizika a príklady. Príslušné orgány by v rámci posudzovania podľa hlavy 3 mali zohľadniť riziká súvisiace s IKT uvedené v prílohe:

• a. riziko súvisiace s dostupnosťou a kontinuitou IKT;
• b. riziko súvisiace s bezpečnosťou IKT;
• c. riziko súvisiace so zmenou IKT;
• d. riziko súvisiace s integritou IKT údajov;
• e. riziko súvisiace s oustourcingom IKT služieb.

Priradenie rizík do kategórií má príslušným orgánom pomôcť pri určovaní, ktoré riziká sú významné (pokiaľ také existujú), a preto by malo podliehať užšiemu a/alebo dôkladnejšiemu preskúmaniu v týchto krokoch posudzovania.