214. V súlade s nariadením o digitálnej prevádzkovej odolnosti majú príslušné orgány preskúmať …

V súlade s nariadením o digitálnej prevádzkovej odolnosti majú príslušné orgány preskúmať identifikáciu, klasifikáciu a dokumentáciu všetkých obchodných funkcií, úloh a zodpovedností podporovaných IKT v danej inštitúcii, informačné aktíva³⁴ a aktíva IKT³⁵ , ktoré tieto funkcie podporujú, ako aj ich úlohy a závislosti vo vzťahu k IKT rizikám. Toto preskúmanie má pomôcť príslušným orgánom dôkladne pochopiť expozície inštitúcie voči inherentnému IKT riziku (IKT rizikový profil), identifikovať jej podstatné inherentné IKT riziko a vypracovať stanovisko k jeho prudenciálnemu vplyvu. Na tento účel majú príslušné orgány v relevantných a príslušných prípadoch zvážiť aspoň tieto aspekty:

• a. správa o preskúmaní rámca riadenia IKT rizika (v súlade s článkom 6 ods. 5 nariadenia
• o digitálnej prevádzkovej odolnosti);
• b. zdroje IKT rizika, najmä riziková expozícia voči iným finančným subjektom a pochádzajúca od iných finančných subjektov, ktoré inštitúcia identifikovala podľa článku 8 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti;
• c. hlásené závažné incidenty súvisiace s IKT (podľa článku 19 ods. 1 nariadenia o digitálnej prevádzkovej odolnosti) vrátane vývoja súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT (podľa článku 11 ods. 10 nariadenia o digitálnej prevádzkovej odolnosti);
• d. výsledky testov stanovených v programe testovania digitálnej prevádzkovej odolnosti (v súlade s článkom 24 nariadenia o digitálnej prevádzkovej odolnosti) vrátane súhrnu zistení z penetračného testovania na základe konkrétnej hrozby (TLPT) a súvisiacich plánov nápravy (v súlade s článkom 26 ods. 6 nariadenia o digitálnej prevádzkovej odolnosti);
• e. register informácií (v súlade s článkom 28 ods. 3 nariadenia o digitálnej prevádzkovej odolnosti) vrátane miery koncentrácie u externých poskytovateľov IKT služieb, vrátane poskytovateľov IKT v rámci skupiny, podľa typu IKT služieb a/alebo IKT systémov;
• f. odporúčania a stanoviská hlavných orgánov dozoru (v súlade s článkom 40 ods. 3 a článkom 42 ods. 7 nariadenia o digitálnej prevádzkovej odolnosti) a súvisiace odpovede, správy a informácie od kľúčových externých poskytovateľov služieb IKT [v súlade s článkom 35 ods. 1 písm. c), článkom 42 ods. 1 a článkom 48 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti];
• g. úroveň zložitosti systémov IKT a výsledky posúdenia IKT rizík v súvislosti so staršími IKT systémami (podľa článku 8 ods. 7 nariadenia o digitálnej prevádzkovej odolnosti);
• h. posúdenie rizík v súvislosti s významnými zmenami (podľa článku 8 ods. 3 nariadenia
• o digitálnej prevádzkovej odolnosti);
• i. miera zavádzania a integrácie inovatívnych IKT riešení;
• j. miesta, konkrétne regióny alebo krajiny, v ktorých sa nachádzajú dátové centrá a citlivé vyhradené oblasti, vrátane prípadov, keď zmluvné IKT služby poskytujú externí poskytovatelia, pričom sú zahrnuté aj miesta spracovania a ukladania údajov;
• k. akékoľvek súvisiace závažné nedostatky alebo slabé stránky identifikované v hlave 5;
• l. posúdenie vlastného rizika a kontrol súvisiacich s IKT (ak bolo uvedené medzi informáciami z postupu ICAAP);
• m. informácie o riadení IKT rizík predložené riadiacemu orgánu inštitúcie;
• n. zistenia vnútorného a externého auditu v súvislosti s IKT;
• o. prostredie vonkajších hrozieb vrátane informácií o hrozbách a zraniteľnosti.

Prehľad IKT systémov a IKT služieb

³⁴ Článok 3 ods. 6 nariadenia (EÚ) 2022/2554.

³⁵ Článok 3 ods. 7 nariadenia (EÚ) 2022/2554.

1. Prehľad

1.1 Odkazy

• Článok 6 5
• Článok 8 2
• Článok 19 1
• Článok 11 10
• Článok 24 Všeobecné požiadavky na vykonávanie testovania digitálnej prevádzkovej odolnosti
• Článok 26 6
• Článok 28 3
• Článok 42 7
• Článok 48 2
• Článok 8 7
• Článok 8 3

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.