+214. I enlighet med DORA-förordningen bör de behöriga myndigheterna granska institutets …

214. I enlighet med DORA-förordningen bör de behöriga myndigheterna granska institutets …

I enlighet med DORA-förordningen bör de behöriga myndigheterna granska institutets identifiering, klassificering och dokumentation av alla IKT-stödda verksamhetsfunktioner, roller och ansvarsområden, de informationstillgångar³⁴ och IKT-tillgångar³⁵ som stöder dessa funktioner samt deras roller och beroendeförhållanden i förhållande till IKT-risken. Denna granskning ska hjälpa de behöriga myndigheterna att utveckla en grundlig förståelse av institutets inneboende exponering mot IKT-risk (IKT-riskprofil), identifiera dess väsentliga inneboende IKT-risk och bilda sig en uppfattning om dess inverkan. I detta syfte bör de behöriga myndigheterna beakta åtminstone följande, där så är relevant och tillämpligt:

a. Rapport om översynen av ramen för IKT-riskhantering (i enlighet med artikel 6.5 i DORA-förordningen).
b. Källor till IKT-risk, särskilt riskexponering mot och från andra finansiella enheter, som institutet har identifierat enligt artikel 8.2 i DORA-förordningen.
c. Större IKT-relaterade incidenter som rapporteras (enligt artikel 19.1 i DORA-förordningen), inbegripet trenden för sammanlagda årliga kostnader och förluster till följd av större IKT-relaterade incidenter (enligt artikel 11.10 i DORA-förordningen).
d. Resultat av de tester som planeras i programmet för testning av digital operativ motståndskraft (i enlighet med artikel 24 i DORA-förordningen), inklusive en sammanfattning av resultaten av den hotbildsstyrda penetrationstestningen och tillhörande åtgärdsplaner (i enlighet med artikel 26.6 i DORA-förordningen).
e. Informationsregister (i enlighet med artikel 28.3 i DORA-förordningen), inklusive grad av koncentration av tredjepartsleverantörer av IKT-tjänster, inbegripet koncerninterna IKT-leverantörer, per typ av IKT-tjänster och/eller IKT-system.
f. Rekommendationer och yttranden från de ledande tillsynsmyndigheterna (i enlighet med artiklarna 40.3 och 42.7 i DORA-förordningen) och relaterade svar, rapporter och information från kritiska tredjepartsleverantörer av IKT-tjänster (i enlighet med artiklarna 35.1 c, 42.1 och 48.2 i DORA-förordningen).
g. IKT-systemens komplexitetsnivå och resultaten av IKT-riskbedömningen för befintliga IKT-system (i enlighet med artikel 8.7 i DORA-förordningen).
h. Riskbedömning av större ändringar (enligt artikel 8.3 i DORA-förordningen).
i. Grad av införande och integrering av innovativa IKT-lösningar.
j. Datacentralernas och de särskilt känsliga områdenas lokalisering, det vill säga regioner eller länder, bland annat där IKT-tjänster tillhandahålls av tredjepartsleverantörer av IKT-tjänster, vilket även omfattar platsen för databehandling och datalagring.
k. Eventuella relaterade väsentliga brister eller svagheter som identifierats inom ramen för avdelning 5.
l. Självbedömningar av IKT-risker och kontroller (om detta föreskrivs i ICAAP-informationen).
m. Information om hantering av IKT-risker som lämnats till institutets ledningsorgan.
n. Resultat av IKT-relaterade interna och externa revisioner.
o. Extern hotmiljö, inbegripet underrättelser om hot och sårbarhet.

Granskning av IKT-system och IKT-tjänster

³⁴ Artikel 3.6 i förordning (EU) 2022/2554.

³⁵ Artikel 3.7 i förordning (EU) 2022/2554.

1. Översikt

Rubrik	Reglering

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

Krav
Källa	Krav

3. Relaterade standarder

Standarder
Källa	Krav

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.