4.6 Riadenie rizík v oblasti IKT a bezpečnosti

Úverové a finančné inštitúcie by mali identifikovať a riadiť svoje riziká v oblasti IKT a bezpečnosti súvisiace s používaním procesu uzatvárania zmluvných vzťahov s klientmi na diaľku vrátane prípadov, keď sa úverové a finančné inštitúcie spoliehajú na tretie strany alebo keď sa služba zadáva externe, a to aj subjektom v s kupine.

Okrem dodržiavania požiadaviek stanovených v usmerneniach EBA o riadení rizík v oblasti IKT a bezpečnosti¹⁰ by úverové a finančné inštitúcie mali v prípade potreby používať bezpečné komunikačné kanály na interakciu s klientom počas procesu uzatvárania zmluvných vzťahov na diaľku. Riešenie na uzatváranie zmluvných vzťahov s klientmi na diaľku by malo používať bezpečné protokoly a kryptografické algoritmy v súlade s osvedčenými postupmi v odvetví na zabezpečenie dôvernosti, pravosti a integrity vymieňaných údajov, ak je to vhodné.

¹⁰ EBA/GL/2019/04.

Úverové a finančné inštitúcie by mali poskytnúť bezpečný prístupový bod na začatie procesu uzatvárania zmluvných vzťahov s klientmi na diaľku založený na kvalifikovaných certifikátoch pre elektronickú pečať, ako sa uvádza v článku 3 ods. 30 nariadenia (EÚ) č. 910/2014, alebo pre autentifikáciu webového sídla, ako sa uvádza v článku 3 ods. 39 uvedeného nariadenia. Klient by mal byť informovaný aj o príslušných bezpečnostných opatreniach, ktoré by sa mali prijať na zaistenie bezpečného používania systému.

Ak sa na vykonanie procesu uzatvárania zmluvných vzťahov s klientmi na diaľku používa viacúčelové zariadenie, na spustenie softvérového kódu na strane klienta by sa v prípade potreby malo použiť bezpečné prostredie. Mali by sa zaviesť ďalšie bezpečnostné opatrenia na zaistenie bezpečnosti a spoľahlivosti softvérového kódu a zhromaždených údajov v súlade s posúdením bezpečnostného rizika, ako je stanovené v usmerneniach EBA k riadeniu rizík v oblasti IKT a bezpečnosti.