3.2 Opredelitev pomembnih tveganj, povezanih z IKT

Pristojni organi bi morali s spodaj navedenimi koraki opredeliti pomembna tveganja, povezana z IKT, ki jim je ali bi jim lahko bila izpostavljena institucija.

3.2.1 Pregled profila tveganja, povezanega z IKT

Pri pregledu profila tveganja, povezanega z IKT, bi morali pristojni organi upoštevati vse ustrezne informacije o izpostavljenostih institucije tveganju, povezanemu z IKT, vključno z informacijami iz odstavka 37 ter ugotovljenimi pomembnimi pomanjkljivostmi ali slabostmi v organizaciji IKT in kontroli na ravni celotne institucije, kot je določeno v naslovu 2 teh smernic, po potrebi pa te informacije tudi sorazmerno pregledati. Kot del tega pregleda bi morali pristojni organi upoštevati:

• a. možen vpliv bistvene motnje v sistemih IKT institucije na finančni sistem, bodisi na državni ali na mednarodni ravni;
• b. ali za instituc ijo morda veljajo tveganja glede varnosti IKT ali razpoložljivosti in neprekinjenega delovanja IKT zaradi odvisnosti od interneta, visoke stopnje prevzemanja inovativnih rešitev IKT ali drugih poslovnih distribucijskih kanalov, zaradi katerih je institucija verjetnejša tarča kibernetskih napadov;
• c. ali je institucija morda bolj izpostavljena tveganjem glede varnosti IKT, razpoložljivosti in neprekinjenega delovanja IKT, celovitosti podatkov IKT ali sprememb IKT zaradi zapletenosti (npr. kot posledica združi tev ali prevzemov) ali zastarelosti svojih sistemov IKT;
• d. ali institucija uvaja pomembne spremembe sistemov IKT in/ali funkcije IKT (npr. kot posledica združitev, prevzemov, prodaj ali nadomestitve temeljnih sistemov IKT), ki lahko škodljivo vplivajo na stabilnost ali pravilno delovanje sistemov ter lahko vodijo do pomembnih tveganj glede razpoložljivosti in neprekinjenega delovanja IKT, varnosti IKT, sprememb IKT ali celovitosti podatkov IKT;
• e. ali je institucija storitve IKT ali sisteme IKT oddala v zunanje izvajanje v skupini ali zunaj nje, kar bi ji lahko povzročilo pomembna tveganja glede zunanjega izvajanja IKT;
• f. ali institucija izvaja agresivne ukrepe za varčevanje pri IKT, kar lahko povzroči zmanjšanje potrebnih naložb v IKT, virov in strokovnega znanja o IT ter poveča izpostavljenost vsem vrstam tveganja, povezanega z IKT, v taksonomiji;
• g. ali je institucija zaradi lokacije pomembnih centrov za delovanje/podatke IKT (npr. regije, države) morda izpostavljena naravnim nesrečam (npr. poplavam, potresom), politični nestabilnosti ali sporom z delovno silo in civilnim nemirom, ki lahko povzročijo pomembno povečanje tveganj glede razpoložljivosti in neprekinjenega delovanja IKT ter varnosti IKT.

3.2.2 Pregled kritičnih sistemov in storitev IKT

Kot del postopka opredelitve tveganj, povezanih z IKT, ki imajo lahko znaten bonitetni vpliv na institucijo, bi morali pristojni organi pregledati dokumentacijo institucije in oblikovati mnenje o tem, kateri sistemi in storitve IKT so kritični za primerno obratovanje, razpoložlj ivost, neprekinjeno delovanje in varnost ključnih dejavnosti institucije.

V ta namen bi morali pristojni organi pregledati metodologijo in postopke, ki jih uporablja institucija, da bi ugotovila, kateri sistemi in storitve IKT so kritični, pri tem pa bi mo rali upoštevati, da so nekateri sistemi in storitve IKT za institucijo morda kritični z vidikov neprekinjenega poslovanja in razpoložljivosti, varnosti (npr. preprečevanje goljufij) in/ali zaupnosti (npr. zaupni podatki). Pri izvajanju pregleda pristojni o rgani upoštevajo, da bi morali kritični sistemi in storitve IKT izpolnjevati najmanj enega od naslednjih pogojev:

• a. podpirajo osrednje poslovne operacije in distribucijske kanale (npr. bankomate, spletno in mobilno bančništvo) institucije;
• b. podpirajo ključne procese upravljanja in korporativne funkcije, vključno z upravljanjem tveganja (npr. sistemi za upravljanje tveganja in upravljanje denarnih sredstev);
• c. zanje veljajo posebne pravne ali regulativne zahteve (če obstajajo), ki določajo poostrene zahteve gl ede razpoložljivosti, odpornosti, zaupnosti ali varnosti (npr. zakonodaja o varstvu podatkov ali morebitni ciljni čas obnove (RTO, najdaljši čas, v katerem je treba po incidentu obnoviti sistem ali postopek) in ciljna točka obnove (RPO, najdaljši čas, v ka terem se lahko v primeru incidenta podatki izgubijo)) za nekatere sistemsko pomembne storitve (kjer in če je to ustrezno);
• d. obdelujejo ali shranjujejo zaupne ali občutljive podatke, ki bi lahko ob nepooblaščenem dostopu bistveno vplivali na ugled institucij e, njene finančne rezultate ali njeno trdnost in neprekinjeno poslovanje (npr. zbirke občutljivih podatkov strank); in/ali
• e. omogočajo temeljne funkcionalnosti, ki so ključne za ustrezno delovanje institucije (npr. telekomunikacijske storitve in storitve povezljivosti ter storitve IKT in kibernetske varnosti).

3.2.3 Opredelitev pomembnih tveganj, povezanih z IKT, za kritične sisteme in storitve IKT

Ob upoštevanju opravljenih pregledov profila tveganja, povezanega z IKT, ter zgoraj navedenih kritičnih sistemov in storitev IKT v instituciji bi morali pristojni organi pripraviti mnenje o pomembnih tveganjih, povezanih z IKT, ki imajo lahko po njihovi nadzorniški presoji bistven bonitetni vpliv na kritične sisteme in storitve IKT v instituciji.

Pri ocenjevanju morebitnega vpliva tveganj, povezanih z IKT, na kritične sisteme in storitve IKT institucije bi morali pristojni organi upoštevati:

• a. finančni vpliv, med drugim vključno z izgubo sredstev ali premoženja, morebitnimi odškodninami strankam, pravnimi stroški in stroški sanacije, pogodbeno odškodnino in izgubljenim prihodkom;
• b. možnosti za motnje v poslovanju, med drugim upoštevajoč kritičnost prizadetih finančnih storitev; število strank in/ali podrejenih družb in zaposlenih, ki bi bili lahko prizadeti;
• c. možni vpliv na ugled institucije glede na kritičnost prizadete bančne storitve ali operativne dejavnosti (npr. kraja podatkov strank); zunanji profil/prepoznavnost prizadetih sistemov in storitev IKT (npr. sistemi za mobilno ali spletno bančništvo, prodajna mesta, bankomati ali plačilni sistemi);
• d. regulativni vpliv, vključno z možnostjo javne graje s strani zakonodajnega organa, globami ali celo spremembo dovoljenj;
• e. strateški vpliv na institucijo, na primer če pride do ogroženosti ali kraje strateškega proizvoda ali poslovnih načrtov.

Pristojni organi bi morali nato opredeljena tveganja, povezana z IKT, ki veljajo za pomembna, razvrstiti v naslednje kategorije, za katere so dodatni opisi tveganj in primeri navedeni v Prilogi. Pristojni organi bi morali o tveganjih, povezanih z IKT, ki so navedena v Prilogi, razmisliti v okviru ocene iz naslova 3:

• a. tveganje glede razpoložljivosti in neprekinjenega delovanja IKT,
• b. tveganje glede varnosti IKT,
• c. tveganje glede sprememb IKT,
• d. tveganje glede celovitosti podatkov IKT,
• e. tveganje glede zunanjega izvajanja IKT.

Razvrščanje v kategorije pristojnim organom pomaga ugotoviti, katera tveganja so pomembna (če obstajajo) ter bi jih bilo torej treba pobližje in/ali bolj poglobljeno proučiti v naslednjih ocenjevalnih korakih.