39. Vid granskning av institutets IKT-riskprofil ska de behöriga myndigheterna beakta all relevant …

Vid granskning av institutets IKT-riskprofil ska de behöriga myndigheterna beakta all relevant information om institutets IKT-riskexponering, inbegripet information enligt punkt 37 och de väsentliga brister och svagheter som identifierats i IKT-organisationen liksom institutomfattande kontroller enligt kapitel 2 i dessa riktlinjer, och i förekommande fall granska denna information på ett proportionerligt sätt. Som en del av denna granskning ska de behöriga myndigheterna beakta följande:

• a. Möjlig påverkan från en allvarlig störning i institutets IKT-system på det finansiella systemet, antingen på nationell eller på internationell nivå.
• b. Huruvida institutet kan vara föremål för IKT-säkerhetsrisker eller IKT-risker med avseende på tillgänglighet och kontinuitet på grund av beroendet av internet, införandet av ett stort antal innovativa IKT-lösningar eller andra affärsdistributionskanaler som kan öka sannolikheten att det utsätts för cyber-attacker.
• c. Huruvida institutet kan vara mer exponerat för IKT-säkerhetsrisker, IKT-risker med avseende på tillgänglighet och kontinuitet, IKT-dataintegritetsrisker eller risker förknippade med IKT-ändringar på grund av att systemet är komplext (t.ex. till följd av fusioner eller förvärv) eller föråldrat.
• d. Huruvida institutet genomför väsentliga ändringar i sitt IKT-system och/eller sina IKT-funktioner (t.ex. till följd av fusioner, förvärv, avyttringar eller utbyte av centrala IKT-system), vilket kan påverka IKT-systemens stabilitet eller korrekta funktion på ett negativt sätt och medföra väsentliga IKT-risker med avseende på tillgänglighet och kontinuitet, IKT-säkerhetsrisker, risker förknippade med IKT-förändringar eller IKT-dataintegritetsrisker.
• e. Huruvida institutet har utkontrakterat IKT-tjänster eller IKT-system inom eller utom gruppen som innebär att det kan exponeras för väsentliga IKT-risker på grund av utkontraktering.
• f. Huruvida institutet genomför åtgärder för att kraftigt minska IKT-kostnaderna, vilket kan leda till en minskning av nödvändiga IKT-investeringar, resurser och it-expertis och kan öka exponeringen för alla typer av IKT-risker i klassificeringen.
• g. Huruvida lokaliseringen av viktiga IKT-verksamheter/datacentraler (t.ex. regioner, länder) kan exponera institutet för naturkatastrofer (t.ex. översvämningar, jordbävningar), politisk instabilitet eller arbetsmarknadskonflikter och civila oroligheter som kan leda till väsentligt ökade IKT-risker med avseende på tillgänglighet och kontinuitet och IKT-säkerhetsrisker.

3.2.2 Granskning av kritiska IKT-system och IKT-tjänster

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/