230. Príslušné orgány majú dôkladne pochopiť rámec riadenia IKT rizika danej inštitúcie a posúdiť …

Príslušné orgány majú dôkladne pochopiť rámec riadenia IKT rizika danej inštitúcie a posúdiť, či inštitúcia disponuje dostatočnými a primeranými stratégiami, politikami, postupmi, IKT protokolmi a nástrojmi vrátane úrovní tolerancie, aby mohla účinne, efektívne a komplexne riešiť podstatné riziká v oblasti IKT v súlade s nariadením o digitálnej prevádzkovej odolnosti. Na tento účel majú príslušné orgány podľa potreby zvážiť:

• a. vhodnosť a účinnosť politík³⁶ , procesov a postupov inštitúcie v oblasti riadenia IKT rizika, ktoré zahŕňajú okrem iného riadenie IKT tretích strán, detekciu incidentov súvisiacich s IKT a reakciu na ne, riadenie IKT aktív, šifrovanie a kryptografiu, bezpečnosť operácií IKT, sieťovú bezpečnosť, kontrolu prístupu, ako aj to, či boli tieto politiky, procesy a postupy schválené riadiacim orgánom a oznámené všetkým príslušným zainteresovaným stranám (v súlade s článkom 14 nariadenia o digitálnej prevádzkovej odolnosti);
• b. primeranosť úrovne tolerancie rizika inštitúcie v prípade IKT rizika a úrovne tolerancie vplyvu narušení v oblasti IKT [v súlade s článkom 6 ods. 8 písm. b) nariadenia o digitálnej prevádzkovej odolnosti];
• c. primeranosť a vykonávanie stratégie digitálnej prevádzkovej odolnosti inštitúcie vrátane jej zosúladenia s obchodnou stratégiou;
• d. súlad stratégie týkajúcej sa externého IKT rizika vrátane stratégie viacerých dodávateľov IKT (ak je k dispozícii), s celkovou obchodnou stratégiou a rámcom riadenia IKT rizika;
• e. reziduálne riziko vyplývajúce z identifikovaných rizík inštitúcie v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie;
• f. reziduálne riziko vyplývajúce z identifikovaných rizík inštitúcie týkajúcich sa IKT projektov, ktoré majú vplyv na kritické alebo dôležité funkcie oznamované riadiacemu orgánu, ako aj týkajúcich sa obstarávania, vývoja a údržby IKT systémov IKT a zmien v oblasti IKT;
• g. spoľahlivosť a komplexnosť programu testovania digitálnej prevádzkovej odolnosti;
• h. vývoj a rozsah závažných incidentov súvisiacich s IKT a zistenia nahlásené riadiacemu orgánu v súlade s článkom 17 ods. 3 písm. e) a článkom 13 ods. 5 nariadenia o digitálnej prevádzkovej odolnosti;
• i. kontroly IKT rizík, ktoré sú vlastné pre zistené významné IKT riziko;
• j. včasné oznamovanie aspektov riadenia IKT rizika riadiacemu orgánu a vrcholovému manažmentu;
• k. rozsah a zistenia vnútorného auditu.

³⁶ V súlade s nariadením o digitálnej prevádzkovej odolnosti majú tieto dokumenty zahŕňať aspoň politiku informačnej bezpečnosti, politiky zálohovania, politiku riadenia IKT aktív, politiku šifrovania a kryptografických kontrol, politiku riadenia kryptografických kľúčov, politiku riadenia IKT projektov, politiku obstarávania, vývoja a údržby IKT systémov, politiku ľudských zdrojov, politiku fyzickej a environmentálnej bezpečnosti, politiku riadenia incidentov súvisiacich s IKT a politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie, ktoré poskytujú externí dodávatelia IKT služieb.

1. Prehľad

1.1 Odkazy

• Článok 14 Komunikácia
• Článok 13 5

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.