230. Pristojni organi bi se morali temeljito seznaniti z okvirom za upravljanje tveganj na področju …

Pristojni organi bi se morali temeljito seznaniti z okvirom za upravljanje tveganj na področju IKT v instituciji ter oceniti, ali ima institucija vzpostavljene zadostne in ustrezne strategije, politike, postopke, protokole in orodja na področju IKT, vključno z ravnmi tolerance, da lahko v skladu z uredbo DORA učinkovito, uspešno in celovito obravnava pomembna tveganja na področju IKT. V ta namen bi morali po potrebi upoštevati:

• a. ustreznost in učinkovitost politik, procesov in postopkov institucije za upravljanje tveganj na področju IKT³⁶ , kar med drugim zajema upravljanje na področju IKT s strani tretjih oseb, odkrivanje incidentov, povezanih z IKT, in odzivanje nanje, upravljanje dostopa, šifriranje in kriptografijo na področju IKT, varnost delovanja IKT, varnost omrežja, nadzor dostopa ter ali je vse to odobril upravljalni organ in o tem obvestil vse ustrezne deležnike (v skladu s členom 14 uredbe DORA);
• b. ustreznost tolerančne ravni tveganja institucije za tveganje na področju IKT in tolerance učinka za motnje na področju IKT (v skladu s členom 6(8), točka (b), uredbe DORA);
• c. ustreznost in izvajanje strategije digitalne operativne odpornosti institucije, vključno z njeno usklajenostjo s poslovno strategijo;
• d. usklajenost strategije o upravljanju tveganja tretjih oseb na področju IKT, vključno večdobaviteljsko strategijo za IKT, če je na voljo, splošno poslovno strategijo in okvirom za upravljanje tveganja na področju IKT;
• e. preostalo tveganje, ki izhaja iz opredeljenih tveganj institucije v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije;
• f. preostalo tveganje, ki izhaja iz opredeljenih tveganj institucije v zvezi s projekti na področju IKT, ki vplivajo na kritične ali pomembne funkcije in o katerih se je poročalo upravljalnemu organu, pa tudi v zvezi z nakupom, razvojem in vzdrževanjem sistemov IKT ter spremembami na področju IKT;
• g. zanesljivost in celovitost programa za testiranje digitalne operativne odpornosti;
• h. trend in razsežnost večjih incidentov, povezanih z IKT, ter ugotovitve, o katerih se je poročalo upravljalnemu organu v skladu s členom 17(3), točka (e), in členom 13(5) uredbe DORA;
• i. kontrole tveganja na področju IKT, ki posebej zadevajo opredeljeno pomembno tveganje na področju IKT;
• j. pravočasno poročanje upravljalnemu organu in višjemu vodstvu o vidikih upravljanja tveganja na področju IKT;
• k. obseg in ugotovitve notranje revizije.

³⁶ V skladu z DORA mora to vključevati vsaj politiko informacijske varnosti, politike varnostnega kopiranja, politiko upravljanja sredstev IKT, politiko šifriranja in kriptografskih kontrol, politiko upravljanja kriptografskih ključev, politiko vodenja projektov na področju IKT, politiko nabave, razvoja in vzdrževanja sistemov IKT, kadrovsko politiko, politiko fizične in okoljske varnosti, politiko obvladovanja incidentov, povezanih z IKT, ter politiko o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije in jih zagotavljajo tretji ponudniki storitev IKT.

1. Pregled

1.1 Sklici

• Člen 14 Obveščanje
• Article 13 5

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.