230. De behöriga myndigheterna bör utveckla en grundlig förståelse av institutets ram för …

De behöriga myndigheterna bör utveckla en grundlig förståelse av institutets ram för IKT-riskhantering och bedöma om institutet har infört tillräckliga och lämpliga strategier, policyer, förfaranden, IKT-protokoll och IKT-verktyg, inklusive toleransnivåer, för att på ett effektivt, ändamålsenligt och heltäckande sätt hantera de väsentliga IKT-riskerna i enlighet med DORA-förordningen. För detta ändamål bör de behöriga myndigheterna i tillämpliga fall beakta:

• a. Lämpligheten och effektiviteten i institutets policyer för hantering av IKT-risker³⁶ , IKT-processer och IKT-förfaranden, som bland annat omfattar hantering av IKT från tredje part, upptäckt och hantering av IKT-relaterade incidenter, IKT-bedömning, kryptering och kryptografi, IKT-driftsäkerhet, nätverkssäkerhet, åtkomstkontroll och huruvida dessa har godkänts av ledningsorganet och kommunicerats till alla relevanta intressenter (i enlighet med artikel 14 i DORA-förordningen).
• b. Lämpligheten i institutets risktoleransnivå för IKT-risker och konsekvenstoleransen för IKT-störningar (enligt artikel 6.8 b i DORA-förordningen).
• c. Om institutets strategi för digital operativ motståndskraft är lämplig och genomförs, inbegripet dess anpassning till affärsstrategin.
• d. Överensstämmelse mellan strategin för tredjepartsrisk på IKT-området, inklusive strategin med flera olika leverantörer av IKT-tjänster, om sådan finns tillgänglig, och den övergripande affärsstrategin och ramen för hantering av IKT-risker.
• e. Kvarstående risk till följd av institutets identifierade risker i fråga om avtal för användning av IKT-tjänster som stöder kritiska eller viktiga funktioner.
• f. Kvarstående risk till följd av institutets identifierade risker avseende IKT-projekt som påverkar kritiska eller viktiga funktioner som rapporteras till ledningsorganet, och även avseende förvärv, utveckling och underhåll av IKT-system och IKT-förändringar.
• g. Huruvida programmet för testning av digital operativ motståndskraft är sunt och tillräckligt omfattande.
• h. Trender för och omfattning av större IKT-relaterade incidenter och resultat som rapporteras till ledningsorganet i enlighet med artikel 17.3 e och artikel 13.5 i DORA-förordningen.
• i. IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats.
• j. Snabb rapportering av aspekter som rör IKT-riskhantering till ledningsorganet och den verkställande ledningen.
• k. Omfattning och resultat från den interna revisionen

³⁶ I enlighet med DORA-förordningen bör dessa åtminstone omfatta informationssäkerhetspolicyn, policyer för säkerhetskopiering, policy för IKT-tillgångsförvaltning, policy för kryptering och kryptografiska kontroller, policy för hantering av krypteringsnycklar, IKT-projekthanteringspolicy, förvärv, utveckling och underhåll av IKT-systempolicy, personalpolitik, fysisk säkerhet och miljösäkerhetspolicy, IKT-relaterad incidenthanteringspolicy, policy för användning av IKT-tjänster som stöder kritiska eller viktiga funktioner som tillhandahålls av tredjepartsleverantörer av IKT-tjänster.

1. Översikt

1.1 Referenser

• Artikel 14 Kommunikation
• Artikel 13 5

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.