214. V skladu z uredbo DORA bi morali pristojni organi pregledati, kako institucija identificira …

V skladu z uredbo DORA bi morali pristojni organi pregledati, kako institucija identificira, razvrsti in dokumentira vse poslovne funkcije, vloge in odgovornosti, ki jih podpirajo IKT, informacijska sredstva³⁴ in sredstva IKT³⁵ , ki podpirajo te funkcije, ter njihove vloge in odvisnosti v povezavi s tveganjem na področju IKT. Ta pregled bi moral pristojnim organom pomagati, da bi natančno razumeli izpostavljenost institucije tveganju na področju IKT pri delovanju (profil tveganja na področju IKT), opredelili njeno pomembno tveganje na področju IKT pri delovanju in oblikovali mnenje o bonitetnem vplivu tega tveganja. V ta namen bi morali pristojni organi, kadar je to ustrezno in primerno, upoštevati vsaj naslednje:

• a. poročilo o pregledu okvira za obvladovanje tveganj na področju IKT (v skladu s členom 6(5) uredbe DORA);
• b. vire tveganja na področju IKT, zlasti izpostavljenost tveganju, ki ogroža druge finančne subjekte ali pa ga ti povzročajo, ki jih je institucija opredelila v skladu s členom 8(2) uredbe DORA;
• c. sporočene večje incidente v zvezi z IKT (v skladu s členom 19(1) uredbe DORA), vključno s trendom skupnih letnih stroškov in izgub, ki nastanejo zaradi večjih incidentov, povezanih z IKT (v skladu s členom 11(10) uredbe DORA);
• d. rezultate testov, predvidenih v programu za testiranje digitalne operativne odpornosti (v skladu s členom 24 uredbe DORA), vključno s povzetkom ugotovitev penetracijskega testiranja na podlagi analize groženj (TLPT) in s tem povezanimi sanacijskimi načrti (v skladu s členom 26(6) uredbe DORA);
• e. register informacij (v skladu s členom 28(3) uredbe DORA), vključno s stopnjo koncentracije na tretje ponudnike storitev IKT, vključno s ponudniki storitev IKT znotraj skupine, glede na vrsto storitev IKT in/ali sistemov IKT;
• f. priporočila in mnenja glavnih nadzornikov (v skladu s členom 40(3) in členom 42(7) uredbe DORA) ter s tem povezane odgovore, poročila in informacije ključnih tretjih ponudnikov storitev IKT (v skladu s členom 35(1), točka (c), členom 42(1) in členom 48(2) uredbe DORA);
• g. raven kompleksnosti sistemov IKT in rezultate ocene tveganja na področju IKT v zvezi z obstoječimi sistemi IKT (v skladu s členom 8(7) uredbe DORA);
• h. oceno tveganja ob večjih spremembah (v skladu s členom 8(3) uredbe DORA);
• i. stopnjo sprejemanja in vključevanja inovativnih rešitev na področju IKT;
• j. lokacije, in sicer regije ali države, kjer se nahajajo podatkovni centri in občutljiva namenska območja, tudi kadar pogodbene storitve IKT zagotavljajo tretji ponudniki storitev IKT, kar zajema tudi lokacijo obdelave in hrambe podatkov;
• k. vse s tem povezane pomembne pomanjkljivosti ali slabosti, opredeljene v naslovu 5;
• l. samoocene tveganja, povezanega z IKT, in kontrol (če so vključene v informacije o ICAAP);
• m. informacije o upravljanju tveganj na področju IKT, predložene upravljalnemu organu institucije;
• n. ugotovitve notranje in zunanje revizije, povezane z IKT;
• o. okolje zunanjih groženj, vključno z informacijami o grožnjah in ranljivostih.

Pregled sistemov in storitev IKT

³⁴ Člen 3, točka 6, Uredbe (EU) 2022/2554.

³⁵ Člen 3, točka 7, Uredbe (EU) 2022/2554.

1. Pregled

1.1 Sklici

• Article 6 5
• Article 8 2
• Article 19 1
• Article 11 10
• Člen 24 Splošne zahteve za izvajanje testiranja digitalne operativne odpornosti
• Article 26 6
• Article 28 3
• Article 42 7
• Article 48 2
• Article 8 7
• Article 8 3

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.