3.2 Identifiering av väsentliga IKT-risker

Behöriga myndigheter ska identifiera de väsentliga IKT-risker som institutet är eller kan bli exponerat för genom att följa stegen nedan.

3.2.1 Granskning av institutets IKT-riskprofil

Vid granskning av institutets IKT-riskprofil ska de behöriga myndigheterna beakta all relevant information om institutets IKT-riskexponering, inbegripet information enligt punkt 37 och de väsentliga brister och svagheter som identifierats i IKT-organisationen liksom institutomfattande kontroller enligt kapitel 2 i dessa riktlinjer, och i förekommande fall granska denna information på ett proportionerligt sätt. Som en del av denna granskning ska de behöriga myndigheterna beakta följande:

• a. Möjlig påverkan från en allvarlig störning i institutets IKT-system på det finansiella systemet, antingen på nationell eller på internationell nivå.
• b. Huruvida institutet kan vara föremål för IKT-säkerhetsrisker eller IKT-risker med avseende på tillgänglighet och kontinuitet på grund av beroendet av internet, införandet av ett stort antal innovativa IKT-lösningar eller andra affärsdistributionskanaler som kan öka sannolikheten att det utsätts för cyber-attacker.
• c. Huruvida institutet kan vara mer exponerat för IKT-säkerhetsrisker, IKT-risker med avseende på tillgänglighet och kontinuitet, IKT-dataintegritetsrisker eller risker förknippade med IKT-ändringar på grund av att systemet är komplext (t.ex. till följd av fusioner eller förvärv) eller föråldrat.
• d. Huruvida institutet genomför väsentliga ändringar i sitt IKT-system och/eller sina IKT-funktioner (t.ex. till följd av fusioner, förvärv, avyttringar eller utbyte av centrala IKT-system), vilket kan påverka IKT-systemens stabilitet eller korrekta funktion på ett negativt sätt och medföra väsentliga IKT-risker med avseende på tillgänglighet och kontinuitet, IKT-säkerhetsrisker, risker förknippade med IKT-förändringar eller IKT-dataintegritetsrisker.
• e. Huruvida institutet har utkontrakterat IKT-tjänster eller IKT-system inom eller utom gruppen som innebär att det kan exponeras för väsentliga IKT-risker på grund av utkontraktering.
• f. Huruvida institutet genomför åtgärder för att kraftigt minska IKT-kostnaderna, vilket kan leda till en minskning av nödvändiga IKT-investeringar, resurser och it-expertis och kan öka exponeringen för alla typer av IKT-risker i klassificeringen.
• g. Huruvida lokaliseringen av viktiga IKT-verksamheter/datacentraler (t.ex. regioner, länder) kan exponera institutet för naturkatastrofer (t.ex. översvämningar, jordbävningar), politisk instabilitet eller arbetsmarknadskonflikter och civila oroligheter som kan leda till väsentligt ökade IKT-risker med avseende på tillgänglighet och kontinuitet och IKT-säkerhetsrisker.

3.2.2 Granskning av kritiska IKT-system och IKT-tjänster

Som ett led i processen med att identifiera de IKT-risker som kan ha en betydande inverkan på institutet ska de behöriga myndigheterna granska dokumentation från institutet och bilda sig en uppfattning om vilka IKT-system och IKT-tjänster som är avgörande för att institutets väsentliga verksamhet ska fungera på ett tillfredsställande sätt samt med avseende på tillgänglighet, kontinuitet och säkerhet.

I detta syfte ska de behöriga myndigheterna granska den metod och de processer som institutet tillämpar för att identifiera kritiska IKT-system och IKT-tjänster, med beaktande av att institutet kan anse att vissa IKT-system och IKT-tjänster är avgörande av hänsyn till kontinuiteten och tillgängligheten samt ur säkerhets- (t.ex. förebyggande av bedrägerier) och/eller konfidentialitetsperspektiv (t.ex. konfidentiella uppgifter). De behöriga myndigheterna ska i sin granskning beakta att kritiska IKT-system och IKT-tjänster ska uppfylla minst ett av följande villkor:

• a. De ska stödja institutets kärnverksamhet och distributionskanaler (t.ex. uttagsautomater, webbaserade och mobila banktjänster).
• b. De ska stödja väsentliga styrningsprocesser och affärsfunktioner, inbegripet riskhantering (t.ex. riskhanterings- och likviditetsförvaltningssystem).
• c. De ska omfattas av särskilda rättsliga eller lagstadgade krav (om sådana finns) enligt vilka det föreskrivs ökad tillgänglighet, motståndskraft, konfidentialitet eller säkerhet (t.ex. dataskyddslagstiftning eller eventuella mål för återställningstid [RTO], den maximala tid inom vilken ett system eller en process ska återställas efter en incident, och mål för återställning av data [RPO], den maximala period under vilken data kan förloras vid en incident) för vissa viktiga tjänster (i förekommande fall).
• d. De bearbetar eller lagrar konfidentiella eller känsliga uppgifter för vilka obehörig åtkomst väsentligen kan påverka institutets rykte, finansiella resultat eller sundheten och kontinuiteten i verksamheten (t.ex. databaser med känsliga kunduppgifter).
• e. De ska tillhandahålla grundläggande funktioner som är väsentliga för att institutet ska kunna fungera korrekt (t.ex. telefon- och anslutningstjänster, IKT och cyber-säkerhetstjänster).

3.2.3 Identifiering av väsentliga IKT-risker för kritiska IKT-system och IKT-tjänster

Med beaktande av den granskning av institutets IKT-riskprofil och kritiska IKT-system och IKT-tjänster som genomförts ovan ska de behöriga myndigheterna bilda sig en uppfattning om de väsentliga IKT-risker som, enligt deras bedömning, kan ha en betydande negativ inverkan på institutets kritiska IKT-system och IKT-tjänster.

Vid bedömningen av IKT-riskernas möjliga påverkan på ett instituts kritiska IKT-system och IKT-tjänster ska de behöriga myndigheterna beakta följande:

• a. Den finansiella påverkan, inbegripet (men inte begränsat till) förlust av medel eller tillgångar, möjlig ersättning till kunder, rättsliga kostnader och kostnader för avhjälpande, skadestånd för avtalsbrott, utebliven vinst.
• b. Risken för verksamhetsstörningar, med beaktande av (men inte begränsat till) hur kritiska de finansiella tjänster som påverkas är, det möjliga antal kunder och/eller filialer och anställda som påverkas.
• c. Den potentiella påverkan på institutets anseende, beroende på hur kritiska banktjänster eller operativa verksamheter som påverkas är (t.ex. stöld av kunduppgifter), den externa profilen/synligheten för de IKT-system och IKT-tjänster som påverkas (t.ex. mobila eller webbaserade banksystem, försäljningsställe, uttagsautomater eller betalningssystem).
• d. Påverkan av lagstiftningen, inbegripet lagstiftarens möjlighet till offentlig kritik, böter eller till och med ändring av tillstånd.
• e. Den strategiska påverkan på institutet, till exempel om strategiska produkter eller affärsplaner äventyras eller stjäls.

Behöriga myndigheter ska sedan kartlägga de IKT-risker som identifierats och som anses vara väsentliga i följande IKT-riskkategorier för vilka ytterligare riskbeskrivningar och exempel tillhandahålls i bilagan. Behöriga myndigheter ska beakta IKT-riskerna i bilagan som en del av bedömningen enligt kapitel 3:

• a. IKT-risk med avseende på tillgänglighet och kontinuitet
• b. IKT-säkerhetsrisk
• c. Risk förknippad med IKT-ändringar
• d. IKT-dataintegritetsrisk
• e. IKT-risk vid uppdragsavtal

Kartläggningen ska hjälpa de behöriga myndigheterna att fastställa vilka risker som är väsentliga (i förekommande fall) och ska därför omfattas av en närmare och/eller mer långtgående granskning under följande bedömningssteg.