184. När det gäller IKT-risker och säkerhetsrisker bör de behöriga myndigheterna vara förvissade om …

När det gäller IKT-risker och säkerhetsrisker⁵⁵ bör de behöriga myndigheterna vara förvissade om att ramverket kommer att säkerställa en sund, tillförlitlig och säker funktion hos de informations- och kommunikationssystem som stödjer kreditinstitutens verksamhet samt att IKT-risker under normala tider och under stressperioder förebyggs, övervakas och reduceras på ett tillfredsställande sätt. De behöriga myndigheterna bör särskilt bedöma

• (a) huruvida ledningsorganet har en övergripande ansvarsskyldighet när det gäller att fastställa, godkänna och övervaka genomförandet av finansinstitutens IKT-strategi, som bör anpassas till finansinstitutens övergripande affärsstrategi,
• (b) en tydlig definition och fördelning av nyckelroller och ansvarsområden, och relevanta rapporteringsvägar, för att ramverket för hantering av IKT-risker och säkerhetsrisker ska vara effektivt, inbegripet tilldelning av lämplig budget för att på ett adekvat sätt stödja IKT-operativa behov och hanteringen av IKT-risker och säkerhetsrisker,
• (c) huruvida hanteringen och tillsynen av IKT-risker och säkerhetsrisker anförtros en oberoende och objektiv kontrollfunktion, på lämpligt sätt åtskild från IKT-operativa processer och inte ansvarar för någon internrevision, och en oberoende internrevisionsfunktion,
• (d) arrangemang för att säkerställa identifiering, inrättande och underhåll av uppdaterad kartläggning av verksamhetsfunktioner, roller och stödprocesser för att identifiera betydelsen av var och en av dem och deras ömsesidiga beroenden i förhållande till IKT-risker och säkerhetsrisker,
• (e) i den mån informationen lagras i IKT-system, huruvida kraven på informationssäkerhet kommer att vara uppfyllda,
• (f) omfattningen, komplexiteten och betydelsen av IKT-relaterade beroenden, om man planerar utkontraktering av IKT-tjänsternas operativa funktioner och IKT-systemens verksamhet – även till koncernenheter – eller användning av tredje part i samband med sådana funktioner och verksamheter.

⁵⁵ Enligt definitionen i EBA:s riktlinjer för hantering av IKT-risker och säkerhetsrisker har ”IKT-risk och säkerhetsrisk” följande innebörd: ”Risk för förlust som beror på sekretessbrott, på att integriteten hos system och data inte fungerar, på att system och data är olämpliga eller otillgängliga, eller på oförmåga att ändra på det inom rimlig tid och till rimliga kostnader när miljö- eller verksamhetskraven förändras (dvs. smidighet). Detta inkluderar säkerhetsrisker till följd av otillräckliga eller icke-funktionella interna processer eller externa händelser, bl.a. IT-attacker, eller otillräcklig fysisk säkerhet.”

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/