39. Pri pregledu profila tveganja, povezanega z IKT, bi morali pristojni organi upoštevati vse …

Pri pregledu profila tveganja, povezanega z IKT, bi morali pristojni organi upoštevati vse ustrezne informacije o izpostavljenostih institucije tveganju, povezanemu z IKT, vključno z informacijami iz odstavka 37 ter ugotovljenimi pomembnimi pomanjkljivostmi ali slabostmi v organizaciji IKT in kontroli na ravni celotne institucije, kot je določeno v naslovu 2 teh smernic, po potrebi pa te informacije tudi sorazmerno pregledati. Kot del tega pregleda bi morali pristojni organi upoštevati:

• a. možen vpliv bistvene motnje v sistemih IKT institucije na finančni sistem, bodisi na državni ali na mednarodni ravni;
• b. ali za instituc ijo morda veljajo tveganja glede varnosti IKT ali razpoložljivosti in neprekinjenega delovanja IKT zaradi odvisnosti od interneta, visoke stopnje prevzemanja inovativnih rešitev IKT ali drugih poslovnih distribucijskih kanalov, zaradi katerih je institucija verjetnejša tarča kibernetskih napadov;
• c. ali je institucija morda bolj izpostavljena tveganjem glede varnosti IKT, razpoložljivosti in neprekinjenega delovanja IKT, celovitosti podatkov IKT ali sprememb IKT zaradi zapletenosti (npr. kot posledica združi tev ali prevzemov) ali zastarelosti svojih sistemov IKT;
• d. ali institucija uvaja pomembne spremembe sistemov IKT in/ali funkcije IKT (npr. kot posledica združitev, prevzemov, prodaj ali nadomestitve temeljnih sistemov IKT), ki lahko škodljivo vplivajo na stabilnost ali pravilno delovanje sistemov ter lahko vodijo do pomembnih tveganj glede razpoložljivosti in neprekinjenega delovanja IKT, varnosti IKT, sprememb IKT ali celovitosti podatkov IKT;
• e. ali je institucija storitve IKT ali sisteme IKT oddala v zunanje izvajanje v skupini ali zunaj nje, kar bi ji lahko povzročilo pomembna tveganja glede zunanjega izvajanja IKT;
• f. ali institucija izvaja agresivne ukrepe za varčevanje pri IKT, kar lahko povzroči zmanjšanje potrebnih naložb v IKT, virov in strokovnega znanja o IT ter poveča izpostavljenost vsem vrstam tveganja, povezanega z IKT, v taksonomiji;
• g. ali je institucija zaradi lokacije pomembnih centrov za delovanje/podatke IKT (npr. regije, države) morda izpostavljena naravnim nesrečam (npr. poplavam, potresom), politični nestabilnosti ali sporom z delovno silo in civilnim nemirom, ki lahko povzročijo pomembno povečanje tveganj glede razpoložljivosti in neprekinjenega delovanja IKT ter varnosti IKT.

3.2.2 Pregled kritičnih sistemov in storitev IKT

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/