Riktlinjer om IKT-riskbedömning inom ramen för översyns- och utvärderingsprocessen (ÖUP)

1. Efterlevnads- och rapporteringsskyldigheter

Riktlinjernas status

1. Detta dokument innehåller riktlinjer som har utfärdats enligt artikel 16 i förordning (EU) nr 1093/2010 . I enlighet med artikel 16.3 i förordning (EU) nr 1093/2010 måste behöriga myndigheter och finansinstituten med alla tillgängliga medel försöka följa riktlinjerna.

2. Avriktlinjerframgår Europeiska bankmyndighetens (EBA) syn på lämplig tillsynspraxis inom det europeiska systemet för finansiell tillsyn eller på hur unionslagstiftningen ska tillämpas inom ett särskilt område. Behöriga myndigheter enligt definitionen i artikel 4.2 i förordning (EU) nr 1093/2010 som berörs av riktlinjerna ska följa dem genom att på lämpligt sätt införliva dem i sin praxis (till exempel genom att ändra sina rättsliga ramar eller tillsynsrutiner), även när riktlinjerna i första hand riktas till finansinstitut.

Rapporteringskrav

3. Enligt artikel 16.3 i förordning (EU) nr 1093/2010 måste de behöriga myndigheterna meddela EBA om de följer eller avser att följa dessa riktlinjer, alternativt ange skälen till att de inte gör det, senast den 13.11.2017. Om någon sådan anmälan inte inkommer inom denna tidsfrist kommer EBA att anse att de behöriga myndigheterna inte följer riktlinjerna. Anmälningar ska lämnas på det formulär som tillhandahålls på EBA:s webbplats till compliance@eba.europa.eu med hänvisningen ”EBA/GL/2017/05”. Anmälningar ska inges av personer som har befogenhet att rapportera om hur reglerna efterlevs på de behöriga myndigheternas vägnar. Alla förändringar i graden av efterlevnad måste rapporteras till EBA.

4. Anmälningarna kommer att offentliggöras på EBA:s webbplats i enlighet med artikel 16.3.

2. Syfte, tillämpningsområde och definitioner

Syfte och tillämpningsområde

5. Dessa riktlinjer har utarbetats i enlighet med artikel 107.3 i direktiv 2013/36/EU och har som syfte att säkerställa samstämmiga tillsynsmetoder vid riskbedömning av informations- och kommunikationsteknik (IKT) inom ramen för den översyns- och utvärderingsprocess (ÖUP) som avses i artikel 97 i direktiv 2013/36/EU, och som specificeras ytterligare i EBA:s riktlinjer om gemensamma förfaranden och metoder för översyns- och utvärderingsprocessen (ÖUP) . I dessa riktlinjer specificeras de bedömningskriterier som behöriga myndigheter ska tillämpa vid tillsynsbedömning av institutens styrning och strategi avseende IKT, liksom vid tillsynsbedömning av institutens IKT-riskexponeringar och riskkontroller. Dessa riktlinjer utgör en integrerad del av EBA:s ÖUP-riktlinjer.

6. Behöriga myndigheter ska tillämpa dessa riktlinjer i överensstämmelse med tillämpningen av ÖUP såsom specificeras i EBA:s ÖUP-riktlinjer och i enlighet med modellen för minsta insats och de proportionalitetskrav som fastställs däri.

Adressater

7. Dessa riktlinjer vänder sig till de behöriga myndigheter som avses i artikel 4.2 i i förordning (EU) nr 1093/2010.

Definitioner

8. Om inget annat anges har de termer som används och definieras i direktiv 2013/36/EG, förordning (EU) nr 575/2013 och definitionerna från EBA:s ÖUP-riktlinjer samma innebörd i dessa riktlinjer. I riktlinjerna gäller dessutom följande definitioner:

IKT-system IKT som upprättats som del av en mekanism eller ett sammanlänkat nätverk som stödjer ett instituts verksamhet. IKT-tjänster Tjänster som tillhandahålls av IKT-system till en eller flera interna eller externa användare. Detta omfattar till exempel

ingivande av data, lagring av data, behandling av data och rapporteringstjänster, men även övervakning och tjänster för verksamhets- och beslutsstöd.

IKT-risk med avseende på Risken att prestanda och tillgänglighet i IKT-system och tillgänglighet och kontinuitet uppgifter påverkas negativt, inbegripet bristande återställning av institutets tjänster i rätt tid, beroende på att hårdvaru- eller programvarukomponenter är ur funktion, på brister i förvaltningen av IKT-systemet eller på någon annan händelse såsom specificeras ytterligare i bilagan. IKT-säkerhetsrisk Risken för obehörig åtkomst till IKT-system och IKT-data inifrån eller utifrån institutet (t.ex. genom cyber-attacker), såsom specificeras ytterligare i bilagan. Risk förknippad med IKT-ändringar Den risk som uppstår när institutet är oförmöget att hantera ändringar i IKT-system i rätt tid och på ett kontrollerat sätt, i synnerhet avseende stora och komplexa programförändringar, såsom specificeras ytterligare i bilagan. IKT-dataintegritetsrisk Risken att uppgifter som lagras och bearbetas av IKT-system är ofullständiga, felaktiga eller inte är samstämmiga över olika IKT-system, till exempel till följd av bristfälliga IKT-kontroller eller avsaknad av sådana kontroller under de olika faserna av uppgifternas livscykel (t.ex. utformning av datastruktur, upprättande av datamodell och/eller datalexikon, verifiering av indata, kontroll av datautvinning, överföring och bearbetning, inbegripet erhållna utgående data), vilket försämrar möjligheterna för ett institut att tillhandahålla tjänster samt ledningsinformation, information om riskhantering och finansiell information i rätt tid och på ett korrekt sätt, såsom specificeras ytterligare i bilagan. IKT-risk vid uppdragsavtal Risken att anlitandet av en tredje part eller en annan enhet inom gruppen (gruppinterna uppdragsavtal), för att tillhandahålla IKT-system eller därmed sammanhängande tjänster, har negativ påverkan på institutets resultat och riskhantering, såsom specificeras ytterligare i bilagan.

3. Genomförande

Tillämpningsdatum

9. Dessa riktlinjer gäller från och med den 1 januari 2018.

4. Krav på IKT-riskbedömningen Kapitel 1 – Allmänna bestämmelser

10.Behöriga myndigheter ska genomföra bedömningen av IKT-risken och strukturen på den interna styrningen och IKT-strategin som en del av ÖUP-processen med iakttagande av modellen för minsta insats och proportionalitetskriterierna såsom de specificeras i kapitel 2 i EBA:s ÖUP-riktlinjer. Detta innebär i synnerhet att

a. frekvensen för IKT-riskbedömningen beror på modellen för minsta insats i överensstämmelse med den ÖUP-kategori som ett institut tillhör och dess särskilda tillsynsprogram, och att

b. IKT-bedömningens djup, detaljrikedom och intensitet ska vara proportionerlig till institutets storlek, struktur och operativa miljö såväl som dess verksamhets natur, omfattning och komplexitet.

11.Proportionalitetsprincipen är genomgående tillämplig i dessa riktlinjer när det gäller tillsynsinsatsens och dialogens omfattning, frekvens och intensitet, och när det gäller förväntningarna på de standarder som institutet ska uppfylla.

12.Behöriga myndigheter kan förlita sig på och beakta det arbete som redan utförts av institutet eller den behöriga myndigheten inom ramen för bedömningar av andra risker eller ÖUP-element för att få en uppdaterad bedömning. Särskilt vid genomförande av bedömningar som specificeras i dessa riktlinjer ska de behöriga myndigheterna välja den tillsynsmetod och det tillvägagångssätt som är lämpligast och mest proportionerligt för institutet, och de behöriga myndigheterna ska använda befintlig och tillgänglig dokumentation (t.ex. relevanta rapporter och andra handlingar, möten med ledningen och riskkontrollfunktioner, resultat från inspektioner på plats) som ska tjäna som underlag för de behöriga myndigheternas bedömning.

13.Behöriga myndigheter ska sammanfatta resultaten från sina bedömningar av kriterierna som specificeras i dessa riktlinjer, och använda dem för sina slutsatser vid bedömningen av de ÖUP-element som specificeras i EBA:s ÖUP-riktlinjer.

14. I synnerhet ska den bedömning av styrningen och IKT-strategin som genomförs i enlighet med kapitel 2 i dessa riktlinjer tjäna som underlag för sammanfattningen av resultaten av bedömningen av den interna styrningen och de institutionsomfattande ÖUP-kontrollelementen, såsom specificeras i kapitel 5 i EBA:s ÖUP-riktlinjer och reflekteras i respektive betygsättning av ÖUP-elementet. Vidare bör de behöriga myndigheterna beakta att all väsentlig negativ påverkan från IKT-strategibedömningen på institutets affärsstrategi, eller farhågor om att institutet kanske inte har tillräckliga IKT-resurser och IKTkapacitet för att genomföra och stödja viktiga planerade strategiska förändringar, ska tjäna som underlag för analysen av affärsmodellen i enlighet med kapitel 4 i EBA:s ÖUP-riktlinjer.

15.Resultatet från bedömningen av IKT-risken, såsom den specificeras i kapitel 3 i dessa riktlinjer, ska tjäna som underlag för bedömningen av operativ risk och ska anses tjäna som underlag för relevant betygsättning såsom specificeras i kapitel 6.4 i EBA:s ÖUP-riktlinjer.

16.Det ska observeras att medan behöriga myndigheter i allmänhet ska bedöma underkategorier av risker som en del av huvudkategorierna (dvs. IKT-risken ska bedömas som en del av operativ risk), får behöriga myndigheter anse vissa underkategorier vara väsentliga och även bedöma sådana underkategorier på individuell basis. Om den behöriga myndigheten mot denna bakgrund skulle identifiera IKT-risken som en väsentlig risk, tillhandahålls även en betygstabell (tabell 1) i dessa riktlinjer som ska användas för en självständig betygsättning av IKT-risk som underkategori och som följer det övergripande tillvägagångssättet vid betygsättning av kapitalrisker i EBA:s ÖUP-riktlinjer.

17.För att få en uppfattning om huruvida IKT-risker kan anses vara väsentliga och således möjligheten att IKT-risker bedöms och betygsätts som en individuell underkategori av operativ risk får behöriga myndigheter använda de kriterier som fastställs i avsnitt 6.1 i EBA:s ÖUP-riktlinjer.

18.De behöriga myndigheterna ska i förekommande fall beakta den icke-uttömmande förteckningen över underkategorier och riskscenarier för IKT-risker som anges i bilagan, och observera att fokus i bilagan ligger på IKT-risker som kan medföra allvarliga förluster. Behöriga myndigheter kan utesluta några av de IKT-risker som omfattas av klassificeringen om de inte är relevanta för deras bedömning. Instituten förväntas bibehålla sina egna riskklassificeringar i stället för att använda den IKT-riskklassificering som anges i bilagan.

19.Om dessa riktlinjer tillämpas med avseende på gränsöverskridande bankgrupper och deras enheter, och om ett tillsynskollegium har inrättats, bör de behöriga myndigheterna, inom ramen för deras samarbete avseende ÖUP-bedömningen i enlighet med avsnitt 11.1 i EBA:s ÖUP-riktlinjer, i största möjliga utsträckning samordna den exakta och detaljerade omfattningen av varje informationspost på ett konsekvent sätt för alla gruppenheter.

Kapitel 2 – Bedömning av institutens styrning och IKT-strategi

2.1 Allmänna principer

20.Behöriga myndigheter ska bedöma huruvida institutets allmänna styrning och ramverk för intern kontroll på ett vederbörligt sätt omfattar IKT-systemen och därmed relaterade risker och om ledningsorganet hanterar dessa aspekter på ett lämpligt sätt, eftersom IKT är en integrerad del av ett instituts funktion.

21.Vid denna bedömning ska de behöriga myndigheterna hänvisa till kraven och standarderna för god intern styrning och åtgärder för riskkontroll såsom specificeras i EBA:s riktlinjer för intern styrning (GL 44) och till internationell vägledning på detta område i den utsträckning de är tillämpliga med tanke på IKT-systemens särdrag och risker.

22.Bedömningen i detta kapitel omfattar inte de särskilda delar av IKT-systems styrning, riskhantering och kontroller vars fokus ligger på att hantera särskilda IKT-risker som behandlas i kapitel 3 i dessa riktlinjer, utan fokuserar på följande områden: a. IKT-strategi – huruvida institutet har en IKT-strategi som omfattas av lämplig styrning och som överensstämmer med institutets affärsstrategi. b. Övergripande intern styrning – huruvida institutets övergripande interna styrningsåtgärder är tillräckliga i förhållande till institutets IKT-system. c. IKT-risk inom ramen för institutets riskhantering – huruvida institutets riskhantering och ramverk för intern kontroll säkerställer tillräckligt skydd för institutets IKT-system.

23.Led a i punkt 22, som tillhandahåller information om delarna i institutets styrning, ska huvudsakligen ingå i bedömningen av den affärsmodell som avses i kapitel 4 i EBA:s ÖUP-riktlinjer. Leden b och c kompletterar ytterligare bedömningen av ämnen som omfattas av kapitel 5 i EBA:s ÖUP-riktlinjer, och den bedömning som beskrivs i dessa riktlinjer ska ingå i respektive bedömning enligt kapitel 5 i EBA:s ÖUP-riktlinjer.

24.Resultatet av denna bedömning ska, i förekommande fall, tjäna som underlag för bedömningen av riskhanteringen och kontrollerna i kapitel 3 i dessa riktlinjer.

2.2 IKT-strategi

25.I detta avsnitt ska de behöriga myndigheterna bedöma huruvida institutet har infört en IKT-strategi som är föremål för tillräcklig övervakning från institutets ledningsorgan och som är förenlig med

affärsstrategin, i synnerhet när det gäller att hålla IKT-systemen uppdaterade och genomföra viktiga och komplexa IKT-förändringar, samt att den stödjer institutets affärsmodell.

2.2.1 Utveckling av IKT-strategin och dess lämplighet

26.Behöriga myndigheter ska bedöma huruvida institutet har ett befintligt ramverk för att förbereda och utveckla IKT-strategin, och som är proportionerligt i förhållande till IKT-verksamhetens karaktär, omfattning och komplexitet. Vid denna bedömning ska de behöriga myndigheterna beakta följande: a. Om verkställande ledningen för affärsområdet/affärsområdena är tillräckligt delaktig i framtagandet av institutets strategiska IKT-prioriteringar och att verkställande ledningen för IKT-funktionen i sin tur har kännedom om utvecklingen, utformningen och införandet av väsentliga affärsstrategier och initiativ, för att säkerställa fortsatt anpassning mellan IKTsystem, IKT-tjänster och IKT-funktionen (dvs. de personer som är ansvariga för ledning och utbyggnad av dessa system och tjänster) samt institutets affärsstrategi, liksom att IKT uppdateras på ett effektivt sätt. b. Om IKT-strategin är dokumenterad och stödjs av konkreta genomförandeplaner, i synnerhet med avseende på viktiga milstolpar och resursplanering (inbegripet finansiella resurser och personalresurser) för att säkerställa att de är realistiska och möjliggör leverans av IKTstrategin. c. Om institutet regelbundet uppdaterar sin IKT-strategi, särskilt när det ändrar affärsstrategi, för att säkerställa fortsatt överensstämmelse mellan IKT och verksamhetsmål, planer och aktiviteter på medellång till lång sikt. d. Om institutets ledningsorgan godkänner IKT-strategin och genomförandeplanerna och övervakar dess genomförande.

2.2.2 Genomförande av IKT-strategin

27.Om institutets IKT-strategi kräver att det genomförs viktiga och komplexa IKT-ändringar, eller ändringar som medför väsentlig påverkan på institutets affärsmodell, ska de behöriga myndigheterna bedöma huruvida institutets kontrollramverk är lämpligt med hänsyn till dess storlek, dess IKT-aktiviteter samt i vilken omfattning det krävs förändringar i verksamheten för att stödja ett effektivt genomförande av institutets IKT-strategi. I samband med denna bedömning ska de behöriga myndigheterna beakta huruvida kontrollsystemet a. omfattar styrningsprocesser (t.ex. övervakning av genomförande och budget samt rapportering) och relevanta organ (t.ex. ett projektledningskontor, en IKT-styrgrupp eller liknande) för att effektivt kunna stödja genomförandet av de strategiska IKT-programmen, b. omfattar definition och tilldelning av roller och ansvarsområden för genomförandet av de strategiska IKT-programmen, med särskilt beaktande av de erfarenheter som viktiga intressenter har avseende organisation, styrning och övervakning av viktiga och komplexa

IKT-förändringar och hanteringen av den mer vidsträckta organisatoriska och mänskliga påverkan (t.ex. hantering av förändringsmotstånd, utbildning, kommunikation), c. innebär att de oberoende kontrollfunktionerna och funktionen för internrevision används för att säkerställa att de risker som genomförandet av IKT-strategin medför har identifierats, bedömts och minskats på ett effektivt sätt och att det styrningsramverk som införts för att genomföra IKT-strategin är effektivt, och d. innehåller en planeringsprocess och en översyn av denna process som är flexibla när det gäller att reagera på viktiga frågor som identifierats (t.ex. problem eller förseningar i genomförandet) eller den externa utvecklingen (t.ex. viktiga förändringar i affärsmiljön, tekniska frågor eller innovationer) för att säkerställa att den strategiska genomförandeplanen anpassas i tid.

2.3 Övergripande intern styrning

28.I enlighet med kapitel 5 i EBA:s ÖUP-riktlinjer ska de behöriga myndigheterna bedöma om institutet har en lämplig och transparent bolagsstruktur som är ”lämplig för ändamålet”, och om institutet har infört lämpliga styrningsarrangemang. Denna bedömning ska, med särskilt beaktande av IKT-systemen och i överensstämmelse med EBA:s riktlinjer för intern styrning, innefatta en bedömning av huruvida institutet har a. en stabil och transparent organisationsstruktur med en tydlig ansvarsfördelning vad gäller IKT, bland annat för ledningsorganet och dess kommittéer, och att de personer som ansvarar för IKT (t.ex. IKT-chefen [CIO], operativa chefen [COO] eller liknande roll) har lämplig indirekt eller direkt tillgång till ledningsorganet, för att säkerställa att viktig information eller viktiga frågor som har samband med IKT rapporteras, diskuteras och avgörs på ett adekvat sätt på ledningsnivå, liksom

b. ett ledningsorgan som är insatt i och hanterar de risker som är förknippade med IKT.

29.Enligt avsnitt 5.2 i EBA:s ÖUP-riktlinjer ska de behöriga myndigheterna bedöma huruvida institutets IKTpolicy och strategi för uppdragsavtal, i förekommande fall, beaktar hur IKT-uppdragsavtal påverkar institutets verksamhet och affärsmodell.

2.4 IKT-risk inom ramen för institutets riskhantering

30.Vid bedömningen av institutets institutomfattande riskhantering och interna kontroller, såsom föreskrivs i kapitel 5 i EBA:s ÖUP-riktlinjer, ska de behöriga myndigheterna överväga huruvida institutets riskhantering och ramverk för intern kontroll säkerställer tillräckligt skydd av institutets IKT-system på ett sätt som står i proportion till institutets storlek och verksamhet och dess IKT-riskprofil såsom den definieras i kapitel 3. De behöriga myndigheterna ska särskilt fastställa huruvida

a. riskaptiten och IKU omfattar IKT-riskerna som en del av den mer övergripande kategorin för operativa risker, för framtagandet av den övergripande riskstrategin och fastställande av internt kapital, och huruvida

b. IKT-riskerna omfattas av den institutomfattande riskhanteringen och ramverken för intern kontroll.

31.Behöriga myndigheter ska genomföra bedömningen enligt led a ovan med beaktande av både förväntade och ogynnsamma scenarier, t.ex. scenarier som omfattas av stresstester för institutet eller från tillsynsmyndigheten.

32.Särskilt med avseende på led b ska de behöriga myndigheterna bedöma huruvida funktionerna för oberoende kontroll och internrevision, såsom föreskrivs i punkterna 104 a, 104 d, 105 a och 105 c i EBA:s ÖUP-riktlinjer, är lämpliga för att säkerställa en tillräcklig grad av oberoende mellan IKT och kontroll- och revisionsfunktionerna, med hänsyn till institutets storlek och IKT-riskprofil.

2.5 Resultatsammanfattning

33.Dessa resultat ska återspeglas i resultatsammanfattningen enligt kapitel 5 i EBA:s ÖUP-riktlinjer och ska vara del av betygsättningen i enlighet med övervägandena i tabell 3 i EBA:s ÖUP-riktlinjer.

34.Vid bedömningen av IKT-strategin ska följande punkter beaktas vid genomförandet av ovanstående bedömning:

a. Om de behöriga myndigheterna drar slutsatsen att institutets styrningsramverk är olämplig för att utveckla och genomföra dess IKT-strategi enligt 2.2 ska detta tjäna som underlag för bedömningen av institutets interna styrning i kapitel 5 i EBA:s ÖUP-riktlinjer enligt punkt 87 a. b. Om de behöriga myndigheterna vid ovanstående bedömning enligt 2.2 drar slutsatsen att det finns en betydande diskrepans mellan IKT-strategin och affärsstrategin som väsentligen skulle kunna påverka institutets långsiktiga affärsmål och/eller finansiella mål, institutets hållbarhet och/eller affärsmodell, eller institutets affärsområden som har fastställts som mest väsentliga enligt punkt 62 a i EBA:s ÖUP-riktlinjer, ska detta tjäna som underlag för affärsmodellsbedömningen enligt punkt 70 b och 70 c i kapitel 4 i nämnda riktlinjer. c. Om de behöriga myndigheterna vid ovanstående bedömning enligt 2.2 drar slutsatsen att institutet eventuellt inte har tillräckliga IKT-resurser och tillräcklig IKT-kapacitet för att genomföra och stödja viktiga planerade strategiska förändringar ska detta tjäna som underlag för affärsmodellsbedömningen enligt punkt 70 b i kapitel 4 i EBA:s ÖUP-riktlinjer.

Kapitel 3 – Bedömning av institutens exponering för och kontroll av IKT-risker

3.1 Allmänna överväganden

35.Behöriga myndigheter ska bedöma huruvida institutet på ett lämpligt sätt har identifierat, bedömt och minskat sina IKT-risker. Denna process ska vara del av det operativa riskhanteringsramverket och överensstämma med det tillvägagångssätt som är tillämpligt på operativa risker.

36.Behöriga myndigheter ska först identifiera de väsentliga inneboende IKT-risker för vilka institutet är eller kan bli exponerat, följt av en bedömning av effektiviteten i institutets ramverk för hantering av IKT-risker samt förfaranden och kontroller för att minska dessa risker. Resultatet av bedömningen ska avspeglas i en resultatsammanfattning som upptas i betyget för operativ risk i ÖUP-riktlinjerna. När IKT-risken anses vara väsentlig och de behöriga myndigheterna vill sätta ett enskilt betyg ska tabell 1 användas för att betygsätta en underordnad risk till den operativa risken.

37.I samband med bedömningen enligt detta kapitel ska de behöriga myndigheterna använda alla tillgängliga informationskällor som fastställs i punkt 127 i kapitel 6 i EBA:s ÖUP-riktlinjer, t.ex. institutets riskhanteringsverksamhet, rapportering och resultat som grund för fastställandet av deras prioriteringar med avseende på tillsynsmyndighetens bedömning. Behöriga myndigheter ska även använda andra informationskällor för att göra denna bedömning, inbegripet följande i tillämpliga fall: a. Självbedömningar av IKT-risker och kontroller (om detta föreskrivs i IKU-informationen). b. Ledningsinformation som rör IKT-risker som ingetts till institutets ledningsorgan, t.ex. periodisk IKT-rapportering och rapportering som grundas på enskilda incidenter (inbegripet i databasen över operativa förluster), uppgifter om exponering för IKT-risker från institutets riskhanteringsfunktion. c. IKT-relaterade interna och externa granskningsresultat som rapporterats till institutets revisionskommitté.

3.2 Identifiering av väsentliga IKT-risker

38.Behöriga myndigheter ska identifiera de väsentliga IKT-risker som institutet är eller kan bli exponerat för genom att följa stegen nedan.

3.2.1 Granskning av institutets IKT-riskprofil

39.Vid granskning av institutets IKT-riskprofil ska de behöriga myndigheterna beakta all relevant information om institutets IKT-riskexponering, inbegripet information enligt punkt 37 och de väsentliga brister och svagheter som identifierats i IKT-organisationen liksom institutomfattande kontroller enligt kapitel 2 i dessa riktlinjer, och i förekommande fall granska denna information på ett proportionerligt sätt. Som en del av denna granskning ska de behöriga myndigheterna beakta följande:

a. Möjlig påverkan från en allvarlig störning i institutets IKT-system på det finansiella systemet, antingen på nationell eller på internationell nivå. b. Huruvida institutet kan vara föremål för IKT-säkerhetsrisker eller IKT-risker med avseende på tillgänglighet och kontinuitet på grund av beroendet av internet, införandet av ett stort antal innovativa IKT-lösningar eller andra affärsdistributionskanaler som kan öka sannolikheten att det utsätts för cyber-attacker. c. Huruvida institutet kan vara mer exponerat för IKT-säkerhetsrisker, IKT-risker med avseende på tillgänglighet och kontinuitet, IKT-dataintegritetsrisker eller risker förknippade med IKTändringar på grund av att systemet är komplext (t.ex. till följd av fusioner eller förvärv) eller föråldrat. d. Huruvida institutet genomför väsentliga ändringar i sitt IKT-system och/eller sina IKTfunktioner (t.ex. till följd av fusioner, förvärv, avyttringar eller utbyte av centrala IKT-system), vilket kan påverka IKT-systemens stabilitet eller korrekta funktion på ett negativt sätt och medföra väsentliga IKT-risker med avseende på tillgänglighet och kontinuitet, IKTsäkerhetsrisker, risker förknippade med IKT-förändringar eller IKT-dataintegritetsrisker. e. Huruvida institutet har utkontrakterat IKT-tjänster eller IKT-system inom eller utom gruppen som innebär att det kan exponeras för väsentliga IKT-risker på grund av utkontraktering. f. Huruvida institutet genomför åtgärder för att kraftigt minska IKT-kostnaderna, vilket kan leda till en minskning av nödvändiga IKT-investeringar, resurser och it-expertis och kan öka exponeringen för alla typer av IKT-risker i klassificeringen. g. Huruvida lokaliseringen av viktiga IKT-verksamheter/datacentraler (t.ex. regioner, länder) kan exponera institutet för naturkatastrofer (t.ex. översvämningar, jordbävningar), politisk instabilitet eller arbetsmarknadskonflikter och civila oroligheter som kan leda till väsentligt ökade IKT-risker med avseende på tillgänglighet och kontinuitet och IKT-säkerhetsrisker.

3.2.2 Granskning av kritiska IKT-system och IKT-tjänster

40.Som ett led i processen med att identifiera de IKT-risker som kan ha en betydande inverkan på institutet ska de behöriga myndigheterna granska dokumentation från institutet och bilda sig en uppfattning om vilka IKT-system och IKT-tjänster som är avgörande för att institutets väsentliga verksamhet ska fungera på ett tillfredsställande sätt samt med avseende på tillgänglighet, kontinuitet och säkerhet.

41.I detta syfte ska de behöriga myndigheterna granska den metod och de processer som institutet tillämpar för att identifiera kritiska IKT-system och IKT-tjänster, med beaktande av att institutet kan anse att vissa IKT-system och IKT-tjänster är avgörande av hänsyn till kontinuiteten och tillgängligheten samt ur säkerhets- (t.ex. förebyggande av bedrägerier) och/eller konfidentialitetsperspektiv (t.ex. konfidentiella uppgifter). De behöriga myndigheterna ska i sin granskning beakta att kritiska IKT-system och IKT-tjänster ska uppfylla minst ett av följande villkor: a. De ska stödja institutets kärnverksamhet och distributionskanaler (t.ex. uttagsautomater, webbaserade och mobila banktjänster). b. De ska stödja väsentliga styrningsprocesser och affärsfunktioner, inbegripet riskhantering (t.ex. riskhanterings- och likviditetsförvaltningssystem).

c. De ska omfattas av särskilda rättsliga eller lagstadgade krav (om sådana finns) enligt vilka det föreskrivs ökad tillgänglighet, motståndskraft, konfidentialitet eller säkerhet (t.ex. dataskyddslagstiftning eller eventuella mål för återställningstid [RTO], den maximala tid inom vilken ett system eller en process ska återställas efter en incident, och mål för återställning av data [RPO], den maximala period under vilken data kan förloras vid en incident) för vissa viktiga tjänster (i förekommande fall). d. De bearbetar eller lagrar konfidentiella eller känsliga uppgifter för vilka obehörig åtkomst väsentligen kan påverka institutets rykte, finansiella resultat eller sundheten och kontinuiteten i verksamheten (t.ex. databaser med känsliga kunduppgifter).

e. De ska tillhandahålla grundläggande funktioner som är väsentliga för att institutet ska kunna fungera korrekt (t.ex. telefon- och anslutningstjänster, IKT och cyber-säkerhetstjänster).

3.2.3 Identifiering av väsentliga IKT-risker för kritiska IKT-system och IKT-tjänster

42.Med beaktande av den granskning av institutets IKT-riskprofil och kritiska IKT-system och IKT-tjänster som genomförts ovan ska de behöriga myndigheterna bilda sig en uppfattning om de väsentliga IKTrisker som, enligt deras bedömning, kan ha en betydande negativ inverkan på institutets kritiska IKTsystem och IKT-tjänster.

43.Vid bedömningen av IKT-riskernas möjliga påverkan på ett instituts kritiska IKT-system och IKT-tjänster ska de behöriga myndigheterna beakta följande: a. Den finansiella påverkan, inbegripet (men inte begränsat till) förlust av medel eller tillgångar, möjlig ersättning till kunder, rättsliga kostnader och kostnader för avhjälpande, skadestånd för avtalsbrott, utebliven vinst.

b. Risken för verksamhetsstörningar, med beaktande av (men inte begränsat till) hur kritiska de finansiella tjänster som påverkas är, det möjliga antal kunder och/eller filialer och anställda som påverkas.

c. Den potentiella påverkan på institutets anseende, beroende på hur kritiska banktjänster eller operativa verksamheter som påverkas är (t.ex. stöld av kunduppgifter), den externa profilen/synligheten för de IKT-system och IKT-tjänster som påverkas (t.ex. mobila eller webbaserade banksystem, försäljningsställe, uttagsautomater eller betalningssystem).

d. Påverkan av lagstiftningen, inbegripet lagstiftarens möjlighet till offentlig kritik, böter eller till och med ändring av tillstånd.

e. Den strategiska påverkan på institutet, till exempel om strategiska produkter eller affärsplaner äventyras eller stjäls.

44.Behöriga myndigheter ska sedan kartlägga de IKT-risker som identifierats och som anses vara väsentliga i följande IKT-riskkategorier för vilka ytterligare riskbeskrivningar och exempel tillhandahålls i bilagan. Behöriga myndigheter ska beakta IKT-riskerna i bilagan som en del av bedömningen enligt kapitel 3:

a. IKT-risk med avseende på tillgänglighet och kontinuitet

b. IKT-säkerhetsrisk c. Risk förknippad med IKT-ändringar d. IKT-dataintegritetsrisk e. IKT-risk vid uppdragsavtal

Kartläggningen ska hjälpa de behöriga myndigheterna att fastställa vilka risker som är väsentliga (i förekommande fall) och ska därför omfattas av en närmare och/eller mer långtgående granskning under följande bedömningssteg.

3.3 Bedömning av kontrollerna för att minska väsentliga IKT-risker

45.För att bedöma institutets resterande IKT-riskexponering ska de behöriga myndigheterna granska hur institutet identifierar, övervakar, bedömer och minskar de väsentliga risker som de behöriga myndigheterna har identifierat vid bedömningen ovan.

46.Mot denna bakgrund ska de behöriga myndigheterna – för de identifierade väsentliga IKT-riskerna – granska tillämpliga a. policyer, processer och trösklar för risktolerans för IKT-riskhantering, b. ramverk för organisatorisk förvaltning och tillsyn, c. omfattning och resultat av den interna revisionen, och d. IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats.

47.Vid bedömningen ska resultatet från analysen av den övergripande riskhanteringen och ramen för intern kontroll som avses i kapitel 5 i EBA:s ÖUP-riktlinjer beaktas, samt institutets styrning och strategi såsom behandlas i kapitel 2 i dessa riktlinjer, eftersom väsentliga brister som identifierats på dessa områden kan påverka institutets förmåga att hantera och minska sin IKT-riskexponering. I förekommande fall ska de behöriga myndigheterna även använda informationskällorna i punkt 37 i dessa riktlinjer.

48.Behöriga myndigheter ska genomföra följande bedömningssteg på ett sätt som står i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och genom att göra en översyn som står i proportion till institutets riskprofil.

3.3.1 Policyer, förfaranden och trösklar för tolerans för IKT-riskhantering

49.Behöriga myndigheter ska granska huruvida institutet har lämpliga policyer, förfaranden och tröskelvärden för tolerans för de väsentliga IKT-risker som identifierats. Dessa kan vara del av ramverket för hantering av operativ risk eller ett separat dokument. Vid denna bedömning ska de behöriga myndigheterna beakta följande: a. Om riskhanteringspolicyn är formaliserad och godkänd av ledningsorganet och innehåller tillräcklig vägledning om institutets IKT-riskaptit och om de huvudsakliga mål som eftersträvas vad gäller IKT-riskhantering och/eller tillämpade tröskelvärden för IKTrisktolerans. Relevant policy för hantering av IKT-risker ska också kommuniceras till alla berörda intressenter.

b. Om den tillämpliga policyn omfattar alla väsentliga element för riskhanteringen av de identifierade väsentliga IKT-riskerna. c. Om institutet har infört en process och underliggande förfaranden för identifiering (t.ex. självbedömningar av risker och kontroller, analys av riskscenarier) liksom övervakning av de aktuella väsentliga IKT-riskerna. d. Om institutet rapporterar om hanteringen av IKT-risker och lämnar information i tid till verkställande ledningen och ledningsorganet och gör det möjligt för verkställande ledningen och/eller ledningsorganet att bedöma och övervaka huruvida institutets planer och åtgärder för att reducera IKT-riskerna är förenliga med den godkända riskaptiten och/eller toleransnivåerna (i förekommande fall) och att granska förändringar av väsentliga IKT-risker.

3.3.2 Ram för organisatorisk förvaltning och tillsyn

50.Behöriga myndigheter ska bedöma hur de tillämpliga rollerna och ansvarsområdena för riskhantering är införlivande och integrerade i den interna organisationen för att förvalta och övervaka de väsentliga IKTrisker som identifierats. I detta avseende ska de behöriga myndigheterna bedöma huruvida institutet uppvisar följande:

a. Tydliga roller och ansvarsområden för identifiering, bedömning, övervakning, minskning, rapportering och tillsyn av de aktuella väsentliga IKT-riskerna. b. Roller och ansvarsområden avseende risk som är tydligt kommunicerade, fördelade och inbyggda i alla relevanta delar (t.ex. affärsområden, it) och att det finns organisationsprocesser, inbegripet roller och ansvarsområden för insamling och sammanställning av riskinformation och rapportering av denna till verkställande ledningen och/eller ledningsorganet. c. IKT-riskhanteringsåtgärder som vidtas med tillräckliga och i kvalitativt hänseende lämpliga personalresurser och tekniska resurser. För att bedöma trovärdigheten i de tillämpliga planerna för riskreducering ska de behöriga myndigheterna även bedöma huruvida institutet har avsatt tillräckliga finansiella resurser och/eller andra resurser som krävs för deras genomförande. d. Lämplig uppföljning och lämpliga åtgärder från ledningsorganet vad gäller viktiga resultat från de oberoende kontrollfunktionerna med avseende på risken/riskerna, med beaktande av en möjlig delegering av vissa aspekter till en kommitté, om det finns en sådan. e. Undantag från tillämpliga IKT-bestämmelser och policyer noteras och är föremål för en dokumenterad granskning och rapportering genom den oberoende kontrollfunktionen med fokus på de relaterade riskerna.

3.3.3 Omfattning och resultat från den interna revisionen

51.Behöriga myndigheter ska överväga huruvida funktionen för internrevision är effektiv vad gäller revisionen av det tillämpliga IKT-riskkontrollramverket, genom att granska huruvida a. revisionen av riskkontrollramverket görs med den kvalitet, det djup och den frekvens som står i proportion till institutets storlek, verksamhet och IKT-riskprofil,

b. revisionsplanen innefattar revision av de kritiska IKT-risker som institutet identifierat, c. viktiga resultat från IKT-revisionen, inbegripet överenskomna åtgärder, rapporteras till ledningsorganet, och om d. resultat från IKT-revisionen, inbegripet överenskomna åtgärder, följs upp och lägesrapporter granskas med regelbundna mellanrum av verkställande ledningen och/eller revisionskommittén.

3.3.4 IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats

52.För de väsentliga IKT-risker som har identifierats ska de behöriga myndigheterna bedöma huruvida institutet har specifika kontroller för att hantera dessa risker. Följande avsnitt innehåller en ickeuttömmande förteckning över de specifika kontroller som ska övervägas vid bedömning av de väsentliga risker som har identifierats enligt punkt 3.2.3 och som har kartlagts till följande IKT-riskkategorier: a. IKT-risker med avseende på tillgänglighet och kontinuitet. b. IKT-säkerhetsrisker. c. Risker förknippade med IKT-ändringar. d. IKT-dataintegritetsrisker. e. IKT-risker vid uppdragsavtal.

(a) Kontroller för att hantera väsentliga IKT-risker med avseende på tillgänglighet och kontinuitet

53.Utöver kraven i EBA:s ÖUP-riktlinjer (punkterna 297–281) ska de behöriga myndigheterna bedöma huruvida institutet har ett lämpligt ramverk för att identifiera, förstå, mäta och minska IKT-risker med avseende på tillgänglighet och kontinuitet.

54.Vid denna bedömning ska de behöriga myndigheterna särskilt beakta huruvida ramverket

a. identifierar de kritiska IKT-processer och de relevanta stödjande IKT-system som ska vara del av resiliens- och kontinuitetsplanerna med följande:

i. En omfattande analys av beroenden mellan de kritiska affärsprocesserna och stödsystemen. ii. Fastställande av återställningsmål för de stödjande IKT-systemen (t.ex. typiskt fastställda genom verksamheten och/eller bestämmelser vad gäller RTO och RPO). iii. Lämplig beredskapsplanering för att möjliggöra tillgänglighet, kontinuitet och återställning av kritiska IKT-system och tjänster för att minimera avbrott i institutets verksamhet inom acceptabla gränser.

b. Huruvida ramverket har policyer och standarder för resiliens, kontinuitet och operativa kontroller som omfattar följande:

i. Åtgärder för att undvika att ett enskilt scenario eller en enskild incident eller katastrof påverkar både IKT-produktionssystem och reservsystem.

ii. IKT-backup- och återställningsprocesser för kritisk programvara och data som säkerställer att dessa säkerhetskopior lagras på en säker och tillräckligt avlägsen plats, så att en incident eller katastrof inte kan förstöra eller förvanska dessa kritiska data. iii. Övervakningssystem så att incidenter som rör tillgänglighet eller kontinuitet kan upptäckas i tid. iv. En dokumenterad process för hantering och eskalering av incidenter som också tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation.

v. Fysiska åtgärder såväl för att skydda institutets kritiska IKT-infrastruktur (t.ex. datacentraler) från miljörisker (t.ex. översvämning och andra naturkatastrofer) och säkerställa en lämplig operativ miljö för IKT-systemen (t.ex. luftkonditionering).

vi. Processer, roller och ansvarsområden för att säkerställa att även utkontrakterade IKT-system och IKT-tjänster omfattas av tillräcklig resiliens och kontinuitetslösningar och planer.

vii. Planering av IKT-prestanda och kapacitet samt övervakningslösningar för kritiska IKT-system och IKT-tjänster med fastställda krav på tillgänglighet, för att upptäcka viktiga begränsningar i prestanda och kapacitet i rätt tid.

viii. Lösningar för att skydda kritisk internetverksamhet eller kritiska tjänster (t.ex. e-banktjänster), när det är nödvändigt och lämpligt, mot överbelastnings- och andra cyber-attacker från internet i syfte att förhindra eller störa åtkomst till denna verksamhet och dessa tjänster.

c. Huruvida ramverket testar lösningar för tillgänglighet och kontinuitet mot en rad realistiska scenarier, inbegripet cyber-attacker, omställningstester (fail-over) och tester av backup för kritisk programvara och data, som

i. är planerade, formaliserade och dokumenterade, och testresultaten används för att öka effektiviteten i lösningar som avser tillgänglighet och kontinuitet,

ii. innefattar berörda parter och funktioner inom organisationen, såsom hantering av affärsområden, inbegripet arbetsgrupper som är ansvariga för kontinuitets-, incident- och krishantering, samt relevanta externa intressenter i ekosystemet,

iii. ledningsorgan och verkställande ledning är delaktiga i på ett lämpligt sätt (t.ex. som en del av en krishanteringsgrupp), vilka också får information om testresultat.

(b) Kontroller för att hantera väsentliga IKT-säkerhetsrisker

55.Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-säkerhetsrisker. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande: a. Klart definierade roller och ansvarsområden avseende i. den person/de personer och/eller kommittéer som är ansvariga för den dagliga IKTsäkerhetshanteringen och utarbetandet av de övergripande IKT-säkerhetspolicyerna, med beaktande av det oberoende som de behöver, ii. utformning, genomförande, hantering och övervakning av IKT-säkerhetskontroller, iii. skydd av kritiska IKT-system och IKT-tjänster, exempelvis genom att anta en process för bedömning av sårbarhet, uppdateringsprocess av programvara, klientskydd (t.ex. antivirusprogram), system för upptäckt av intrång (IDS) och för förhindrande av intrång (IPS), iv. övervakning, klassificering och hantering av externa eller interna IKT-säkerhetsincidenter, inbegripet incidenthantering och återupptagande och återställning av IKT-system och IKTtjänster, samt v. regelbundna och förebyggande bedömningar av hot för att bibehålla lämpliga säkerhetskontroller.

b. En IKT-säkerhetspolicy som beaktar och, i förekommande fall, följer internationellt erkända IKTsäkerhetsstandarder och IKT-säkerhetsprinciper (t.ex. principen om begränsad behörighet, dvs. en begränsning av åtkomsten till den miniminivå som medger normala funktioner för hantering av åtkomsträttigheter och principen om ”försvar på djupet”, dvs. säkerhetsmekanismer i flera nivåer för att öka systemets säkerhet i sin helhet för utformning av en säkerhetsstruktur). c. Ett förfarande för att identifiera IKT-system och IKT-tjänster i proportion till säkerhetskraven som återspeglar den potentiella risken för bedrägerier och/eller möjligt missbruk av konfidentiella uppgifter tillsammans med dokumenterade förväntningar på säkerhet som ska följas för dessa identifierade system, tjänster och uppgifter i proportion till institutets risktolerans och med övervakning för ett korrekt genomförande. d. En dokumenterad process för hantering och eskalering av säkerhetsincidenter som tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation. e. Loggning av användare och administrativa åtgärder för att möjliggöra effektiv övervakning och snabb upptäckt och hantering av otillåten aktivitet, för att bistå vid eller genomföra tekniska undersökningar av säkerhetsincidenter. Institutet ska ha en loggningspolicy som definierar lämpliga typer av loggar som ska tillämpas och deras lagringstid. f. Medvetandehöjande och informationskampanjer eller initiativ för att informera samtliga nivåer i institutet om säker användning och skydd av institutets IKT-system och de huvudsakliga IKTsäkerhetsriskerna (och andra risker) som de ska vara medvetna om, särskilt vad gäller befintliga och framväxande it-hot (t.ex. datavirus, möjligt internt eller externt missbruk eller attacker, cyberattacker) och deras roll när det gäller att minska säkerhetsöverträdelserna.

g. Lämpliga fysiska säkerhetsåtgärder (t.ex. kameraövervakningssystem, inbrottslarm, säkerhetsdörrar) för att förhindra otillåten fysisk åtkomst till kritiska och känsliga IKT-system (t.ex. datacentraler). h. Åtgärder för att skydda IKT-systemen från attacker från internet (dvs. cyber-attacker) eller andra externa nätverk (t.ex. traditionella telefonförbindelser eller förbindelser med betrodda partner). Behöriga myndigheter bör granska huruvida institutets ramverk beaktar följande: i. En process och lösningar för att bibehålla en fullständig och uppdaterad kartläggning och överblick över alla utåtriktade anslutningspunkter i nätverket (t.ex. webbplatser, internetapplikationer, wifi, fjärråtkomst) genom vilka tredje parter skulle kunna bryta sig in i de interna IKT-systemen. ii. Noggrant hanterade och övervakade säkerhetsåtgärder (t.ex. brandväggar, proxyservrar, e-postreläer, antivirus och innehållskontroll) för att säkra inkommande och utgående nätverkstrafik (t.ex. e-post) och de utgående nätverksförbindelser genom vilka tredje parter skulle kunna ta sig in i de interna IKT-systemen. iii. Processer och lösningar för att säkra webbplatser och applikationer som kan attackeras direkt från internet och/eller utifrån, vilka kan fungera som ingångspunkt till de interna IKTsystemen. I allmänhet omfattar detta en kombination av erkända säkra utvecklingsmetoder, härdning av IKT-system och metoder för att upptäcka sårbarheter, och/eller införande av ytterligare säkerhetslösningar som till exempel brandväggar för applikationer och/eller system för upptäckt av intrång (IDS) och/eller system för förhindrande av intrång (IPS). iv. Periodisk penetrationstestning för att bedöma hur effektiva de genomförda IKTsäkerhetsåtgärderna och processerna är. Dessa tester ska genomföras av anställda och/eller externa experter med nödvändiga kunskaper, med dokumenterade testresultat och slutsatser som rapporteras till verkställande ledningen och/eller ledningsorganet. Vid behov och i förekommande fall ska institutet lära sig från dessa tester var det kan förbättra säkerhetskontrollerna och processerna ytterligare och/eller få bättre försäkran för deras effektivitet.

(c) Kontroller för att hantera risker förknippade med väsentliga IKT-ändringar

56.Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska risker vid IKT-förändringar i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska omfatta de risker som är förknippade med utveckling, testning och godkännande av IKT-systemförändringar, inbegripet utveckling och förändringar av programvara, innan de införs i produktionsmiljön, och säkerställa en lämplig förvaltning av IKT-livscykeln. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

a. Dokumenterade processer för hantering och kontroll av ändringar av IKT-systemen (t.ex. konfigurering och uppdateringshantering) och data (t.ex. korrigering av programfel och justering av uppgifter), varigenom tillräcklig IKT-riskhantering säkerställs för viktiga IKT-förändringar som väsentligen kan påverka institutets riskprofil eller riskexponering.

b. Specifikationer avseende den nödvändiga ansvarsuppdelningen under de olika faserna i processen för de IKT-ändringar som genomförs (t.ex. utformning och utveckling av lösningar, testning och godkännande av ny programvara och/eller ändringar, införande i produktionsmiljön, liksom rättning av programfel), med fokus på de genomförda lösningarna och ansvarsuppdelningen för att hantera och kontrollera ändringar i IKT-produktionssystemen och data från IKT-personalen (t.ex. utvecklare, IKT-systemadministratörer, databasadministratörer) eller någon annan part (t.ex. användare, tjänsteleverantörer). c. Testmiljöer som korrekt avspeglar produktionsmiljöerna. d. Ett tillgångsregister av befintliga applikationer och IKT-system i produktionsmiljön, liksom i test- och utvecklingsmiljön, vilket innebär att de ändringar som krävs (t.ex. versionsuppdateringar eller uppgraderingar, systemuppdateringar, ändring av konfiguration) kan hanteras, genomföras och övervakas på ett korrekt sätt för de IKT-system som berörs. e. En process för att övervaka och hantera de använda IKT-systemens livscykel, för att säkerställa att de fortsätter att uppfylla och stödja de faktiska kraven från affärsverksamheten och riskhanteringen och att säkerställa att de IKT-lösningar och IKT-system som används fortfarande stödjs av leverantören, samt att detta åtföljs av lämpliga processer för systemutveckling. f. Ett kontrollsystem för källkod och lämpliga processer för att hindra otillåtna ändringar i källkoden för internt utvecklad programvara. g. Ett förfarande för att genomföra en säkerhets- och sårbarhetsgranskning av nya eller väsentligen ändrade IKT-system och programvara innan de tas i bruk och exponeras för eventuella cyberattacker. h. En process och lösningar för att förhindra otillåtet eller oavsiktligt utlämnande av konfidentiella uppgifter vid utbyte, arkivering, kassering eller förstörelse av IKT-system. i. Ett oberoende gransknings- och valideringsförfarande för att minska riskerna för mänskliga misstag vid genomförande av ändringar i IKT-systemen som kan ha väsentliga negativa effekter på institutets tillgänglighet, kontinuitet eller säkerhet (t.ex. viktiga ändringar i brandväggskonfiguration), eller institutets säkerhet (t.ex. ändringar av brandväggarna).

(d) Kontroller för att hantera väsentliga IKT-dataintegritetsrisker

57.Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-dataintegritetsrisker i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska beakta de risker som har samband med bevarandet av integriteten hos de uppgifter som lagras och bearbetas av IKT-systemen. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramen beaktar följande:

a. En policy som definierar roller och ansvarsområden för hantering av integriteten hos uppgifterna i 6 7 8 IKT-systemen (t.ex. datautvecklare, databehandlare , dataförvarare och ägare/förvaltare till data ) och som ger vägledning om vilka uppgifter som är avgörande från ett dataintegritetsperspektiv och ska vara föremål för särskilda IKT-kontroller (t.ex. automatiska kontroller för ingångsvalidering, kontroller av dataöverföring, avstämning etc.) eller granskningar (t.ex. kontroll av överensstämmelse med dataarkitektur) under de olika faserna i IKT-datans livscykel.

b. En dokumenterad dataarkitektur, datamodell och/eller lexikon som validerats av relevanta intressenter från affärsverksamheten och it-verksamheten och som stödjer den nödvändiga samstämmigheten hos uppgifter mellan IKT-systemen och säkerställer att dataarkitekturen, datamodellen och/eller lexikonet överensstämmer med affärs- och riskhanteringsbehoven. c. En policy rörande den tillåtna användningen och beroendet av anveckling, särskilt med avseende på identifiering, registrering och dokumentering av viktiga lösningar för anveckling (t.ex. vid bearbetning av viktiga uppgifter) och de förväntade säkerhetsnivåerna för att förhindra otillåtna ändringar, både i själva verktyget och i de uppgifter som lagras där. d. Dokumenterade processer för hantering av avvikelser för att lösa identifierade problem rörande IKT-dataintegritet i överensstämmelse med hur kritiska och känsliga de är.

58.För övervakade institut som omfattas av principerna i BCBS 239 om effektiv sammanställning av riskdata och riskrapportering ska de behöriga myndigheterna granska institutets riskanalys av sin egen riskrapportering och förmåga att sammanställa uppgifter i jämförelse med principerna och den dokumentation som tagits fram, med beaktande av tidsfristen för genomförandet och övergångsbestämmelserna i dessa principer.

(e) Kontroller för att hantera väsentliga IKT-risker vid uppdragsavtal

59.Behöriga myndigheter ska bedöma huruvida institutets strategi om uppdragsavtal, i överensstämmelse med kraven i CEBS riktlinjer om uppdragsavtal (2006) samt kravet i punkt 85 d i EBA:s ÖUP-riktlinjer, tillämpas på ett tillfredsställande sätt på IKT-uppdragsavtal, inbegripet uppdragsavtal inom gruppen där

IKT-tjänster tillhandahålls inom gruppen. De behöriga myndigheterna ska vid bedömningen av IKT-risker vid uppdragsavtal beakta att dessa risker även kan omfattas som en del av bedömningen av de inneboende operativa riskerna enligt punkt 240 j i EBA:s ÖUP-riktlinjer, för att undvika dubbelarbete eller dubbelräkning.

60.Behöriga myndigheter ska särskilt bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå och mäta IKT-risker vid uppdragsavtal, och i synnerhet har kontroller och en kontrollmiljö för att minska risker i samband med väsentliga utkontrakterade IKT-tjänster som är proportionerliga till institutets storlek, verksamhet och IKT-riskprofil, och som omfattar följande:

a. En bedömning av vilken påverkan som IKT-utkontrakteringen får på institutets riskhantering med avseende på användningen av tjänsteleverantörer (t.ex. leverantörer av molntjänster) och deras tjänster under upphandlingsprocessen som är dokumenterad och beaktas av verkställande ledningen eller ledningsorganet vid beslutet att utkontraktera tjänsten eller inte. Institutet ska granska policyer för IKT-riskhantering och IKT-kontroller och tjänsteleverantörens kontrollmiljö för att säkerställa att de uppfyller institutets interna riskhanteringsmål och riskaptit. Denna granskning ska uppdateras regelbundet under uppdragsavtalets löptid, med beaktande av de utkontrakterade tjänsternas karaktär. b. Övervakning av de IKT-risker som de utkontrakterade tjänsterna medför under uppdragsavtalets löptid som en del av institutets riskhantering och som ingår i institutets rapportering om IKTriskhantering (t.ex. rapportering om kontinuitet och säkerhet). c. Övervakning och jämförelse av de erhållna servicenivåerna med de avtalade servicenivåer som ska vara del av uppdragsavtalet eller servicenivåavtalet. d. Tillräckligt med personal, resurser och kompetens för att övervaka och hantera IKT-riskerna från de utkontrakterade tjänsterna.

3.4 Resultatsammanfattning och betygsättning

61.Efter bedömningen ovan ska de behöriga myndigheterna bilda sig en uppfattning om institutets IKT-risk. Denna uppfattning ska återges i en resultatsammanfattning som de behöriga myndigheterna ska beakta vid betygsättningen av operativ risk i tabell 6 i EBA:s ÖUP-riktlinjer. Behöriga myndigheter ska grunda sin uppfattning på väsentliga IKT-risker med beaktande av följande överväganden som ska ingå i bedömningen av den operativa risken:

a. Risköverväganden: i. Institutets IKT-riskprofil och riskexponering, ii. de identifierade kritiska IKT-systemen och IKT-tjänsterna, liksom iii. hur allvarlig IKT-risken är avseende kritiska IKT-system.

b. Överväganden avseende hantering och kontroll: i. Huruvida institutets policy och strategi för IKT-riskhantering är förenliga med dess övergripande strategi och riskaptit.

ii. Huruvida det organisatoriska ramverket för IKT-riskhantering är stabil med tydliga ansvarsområden och en tydlig uppdelning av uppgifter mellan risktagare och riskhanterings-

och kontrollfunktioner. iii. Huruvida mätnings-, övervaknings- och rapporteringssystemen för IKT-risker är lämpliga.

iv. Huruvida kontrollramverken för väsentliga IKT-risker är sunda.

62. Om de behöriga myndigheterna anser att IKT-risken är väsentlig och den behöriga myndigheten

beslutar att bedöma och betygsätta denna risk som en underkategori till den operativa risken, anges

överväganden för betygsättning av IKT-risken i tabellen nedan (tabell 1).

Tabell 1: Tillsynsöverväganden vid betygsättning av IKT-risk

Riskbetyg Tillsynsmyndighetens Överväganden för inneboende risk Överväganden för lämplig uppfattning hantering och lämpliga kontroller

1 Det finns ingen • De informationskällor som ska

identifierbar risk för beaktas enligt punkt 37 har inte

en betydande visat någon betydande IKTinverkan på riskexponering. institutets stabilitet • Institutets IKT-riskprofil samt

till följd av granskningen av de kritiska IKT-

inneboende risknivå systemen och de väsentliga IKToch riskhanterings- riskerna för IKT-systemen och

och IKT-tjänsterna har inte visat kontrollfunktioner. några väsentliga IKT-risker. 2 Det finns en låg risk • De informationskällor som ska

för betydande beaktas enligt punkt 37 har inte

inverkan på visat någon betydande IKT- • Institutets policy och institutets stabilitet riskexponering. strategi för IKT-risker är till följd av • Institutets IKT-riskprofil samt förenliga med dess inneboende risknivå granskningen av de kritiska IKTövergripande strategi och och riskhanterings- systemen och de väsentliga IKTriskaptit. och riskerna för IKT-systemen och • Det organisatoriska kontrollfunktioner. IKT-tjänsterna har visat en ramverket för IKT-risker är begränsad exponering för IKTstabilt med tydliga risker (dvs. inte mer än 2 av 5 i ansvarsområden och en de fastställda IKTtydlig uppdelning av riskkategorierna). uppgifter mellan 3 Det finns en • De informationskällor som ska risktagare och medelhög risk för beaktas enligt punkt 37 har visat riskhanterings- och betydande inverkan tecken på möjlig betydande IKTkontrollfunktioner. på institutets riskexponering. • Mätnings-, övervakningsstabilitet till följd av • Institutets IKT-riskprofil samt och inneboende risknivå granskningen av de kritiska IKT-

och riskhanterings- systemen och de väsentliga IKT- rapporteringssystemen och riskerna för IKT-systemen och för IKT-risker är lämpliga. kontrollfunktioner. IKT-tjänsterna har visat en • Kontrollramen för IKTförhöjd exponering för IKT-risker risker är sund. (dvs. 3 eller mer av 5 i de fastställda IKT-riskkategorierna). 4 Det finns en hög risk • De informationskällor som ska för betydande beaktas enligt punkt 37 har visat inverkan på ett flertal tecken på väsentlig institutets stabilitet IKT-riskexponering. till följd av • Institutets IKT-riskprofil samt inneboende risknivå granskningen av de kritiska IKToch riskhanterings- systemen och de väsentliga IKToch riskerna för IKT-systemen och kontrollfunktioner. IKT-tjänsterna har visat en hög exponering för IKT-risker (dvs. 4 eller 5 av 5 i de fastställda IKTriskkategorierna).

Bilaga – Klassificering av IKT-risker

Fem IKT-riskkategorier med en icke-uttömmande förteckning över IKT-risker som potentiellt är mycket allvarliga och/eller med operativa, anseendemässiga eller finansiella konsekvenser

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

IKT-risker med Bristande Brist på resurser (t.ex. hårdvara, mjukvara, personal, • Kapacitetsbrist kan påverka överföringshastigheten avseende på kapacitetshantering tjänsteleverantörer) kan leda till en oförmåga att och nätverkets tillgänglighet (internet) för tjänster tillhandahålla tjänster för att möta affärsbehov, såsom webbaserade banktjänster.

tillgänglighet

systemavbrott, försämrad service och/eller • Brist på personal (intern eller från tredje part) kan

och kontinuitet

operativa fel. medföra systemavbrott och/eller operativa fel. IKT-systemfel Bristande tillgänglighet på grund av fel i hårdvara. • Fel/brister vid lagring (hårddiskar), servrar eller annan IKT-utrustning, t.ex. beroende på bristande underhåll. Bristande tillgänglighet på grund av fel i mjukvara • En oändlig loop i applikationsprogramvaran hindrar och programfel. utförandet av transaktionen. • Driftsavbrott på grund av fortsatt användning av föråldrade IKT-system och lösningar som inte längre uppfyller de aktuella kraven vad gäller tillgänglighet och motståndskraft och/eller inte längre stödjs av leverantören. Bristande planering Brister i planerad IKT-tillgänglighet och/eller • Skillnader i konfiguration mellan den primära och av IKT-kontinuitet kontinuitetslösningar och/eller återställning (t.ex. sekundära datacentralen kan leda till att och återställning reservdatacentral ) vid aktivering i samband med en reservdatacentralen är oförmöget att tillhandahålla incident. den planerade kontinuiteten för tjänsten. Störande och Attacker med olika syften (t.ex. aktivism, • Distribuerade överbelastningsattacker (Distributed skadliga it-attacker utpressning) som leder till en överbelastning av Denial of Service attacks) utförs genom att ett stort system och nätverk och förhindrar åtkomst för antal datorsystem på internet som kontrolleras av legitima användare till onlinetjänster. en hackare skickar ett stort antal förfrågningar som

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

förefaller legitima till internettjänster (t.ex. ebanktjänster). IKT- Cyber-attacker och Attacker som genomförs från internet eller Olika typer av attacker: andra externa IKT- utomstående nätverk i olika syften (t.ex. bedrägeri, • APT (avancerat ihållande hot) för att ta över

säkerhetsrisker

baserade attacker spionage, aktivism/sabotage, cyber-terrorism) med kontrollen av interna system eller stjäla information användning av olika metoder (t.ex. social (t.ex. information som hör samman med manipulation, försök till intrång genom utnyttjande identitetskapning, kreditkortsinformation). av svagheter, användning av sabotageprogram) som • Sabotageprogram (t.ex. utpressningsprogram) som leder till ett övertagande av kontrollen över interna krypterar data i utpressningssyfte. IKT-system. • Infiltrering av IKT-system med trojaner för att genomföra illvilliga handlingar i systemet på ett dolt sätt. • Utnyttjande av svagheter i IKT-systemet och/eller i (webb)applikationer (t.ex. SQL-injektion ...) för att få åtkomst till interna IKT-system. Genomförande av bedrägliga • Attacker mot betalnings- eller e-banktjänster i syfte betalningstransaktioner av hackare genom att bryta att genomföra obehöriga transaktioner. sig igenom eller kringgå säkerheten vid e-banking • Upprättande och utskick av bedrägliga och betalningstjänster och/eller genom att attackera betalningstransaktioner inifrån institutets interna och utnyttja säkerhetsbrister i institutets interna betalningssystem (t.ex. bedrägliga betalningssystem. Swiftmeddelanden). Utförande av bedrägliga värdepapperstransaktioner • ”Pump and dump”-attacker där den som utför av hackare genom att bryta sig igenom eller kringgå attacken får tillgång till kundernas säkerheten vid e-banktjänster som även ger tillgång värdepapperskonton genom e-banktjänster och till kundens värdepapperskonto. placerar bedrägliga köp- eller säljorder för att påverka marknadspriset och/eller göra vinst på grundval av tidigare upprättade värdepapperspositioner. Attacker på kommunikationsförbindelser och • Avlyssning av oskyddade överföringar av konversationer av alla typer eller på IKT-system i autentiseringsdata i klartext. syfte att samla in information och/eller begå bedrägerier.

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

Bristande intern IKT- Obehörig åtkomst till kritiska IKT-system inifrån • Installation av keyloggers för att stjäla användar-id säkerhet institutet i olika syften (t.ex. bedrägeri, och lösenord för att få obehörig åtkomst till genomförande och döljande av oseriös konfidentiella uppgifter och/eller begå bedrägerier. handelsverksamhet, datastöld, aktivism/sabotage) • Knäcka/gissa svaga lösenord för att få olaglig eller genom ett flertal metoder (t.ex. missbruk och/eller utökad åtkomst. utökning av privilegier, identitetskapning, social • Systemadministratörer använder operativsystem ingenjörskonst, utnyttjande av svagheter i IKT- eller databasverktyg (för direkta modifieringar av systemet, användning av sabotageprogram). databaser) för att begå bedrägerier. Olovliga IKT-manipulationer på grund av otillräckliga • Underlåtenhet att avaktivera eller radera onödiga processer och kontroller för IKT- konton såsom sådana från personal som har bytt behörighetshantering. tjänst och/eller har lämnat institutet, inbegripet gäster eller leverantörer som inte längre behöver åtkomst, vilka ger obehörig tillgång till IKTsystemen. • Beviljande av höga behörigheter, som medger obehörig åtkomst och/eller gör det möjligt att dölja oseriös verksamhet. Säkerhetshot på grund av bristande medvetenhet, • Anställda som luras att ge stöd till en attack (dvs. varvid anställda inte förstår, försummar eller social manipulation). misslyckas med att följa policyer och regler för IKT- • Dålig praxis avseende autentiseringsuppgifter: säkerhet. delning av lösenord, användning av lösenord som är ”lätta” att gissa, användning av samma lösenord i många olika syften, etc. • Lagring av okrypterade konfidentiella uppgifter i bärbara datorer och bärbara datalagringslösningar (t.ex. usb-minnen) som kan tappas bort eller bli stulna. Obehörig lagring eller överföring av konfidentiella • Personer som stjäl eller avsiktligt läcker eller uppgifter utanför institutet. smugglar ut konfidentiella uppgifter till obehöriga personer eller till allmänheten. Bristande fysisk IKT- Missbruk eller stöld av IKT-tillgångar genom fysisk • Fysiska inbrott i kontorsbyggnader och/eller säkerhet tillgång som vållar skada, förlust av tillgångar eller datacentraler för att stjäla IKT-utrustning (t.ex.

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

data eller för att möjliggöra andra hot. datorer, bärbara datorer, lagringslösningar) och/eller att kopiera uppgifter genom fysisk tillgång till IKT-system. Uppsåtlig eller oavsiktlig skada på fysiska IKT- • Fysisk terrorism (dvs. terroristbomber) eller tillgångar som orsakas av terrorism, olyckor eller sabotage av IKT-tillgångar. olyckliga/felaktiga manipulationer från institutets • Förstörelse av datacentral genom brand, personal och/eller från tredje part (leverantörer, vattenskada eller andra faktorer. reparatörer). Otillräckligt fysiskt skydd mot naturkatastrofer som • Jordbävningar, extrem hetta, stormar, massiva leder till delvis eller komplett förstörelse av IKT- snöstormar, översvämningar, bränder, blixtnedslag. system/datacentraler på grund av naturkatastrofer. Risker Bristande kontroll Incidenter som orsakas av oupptäckta fel eller • Idrifttagande av programvara som inte testats förknippade vid förändringar av svagheter beroende på ändringen (t.ex. oförutsedda tillräckligt eller konfigureringar med oväntade IKT-system och IKT- effekter av en ändring eller en dåligt hanterad negativa effekter på data (t.ex. förvanskning,

med IKT-

utveckling ändring på grund av bristande testning eller radering) och/eller IKT-systemets prestanda (t.ex.

ändringar

bristande praxis vid hantering av ändringar) av t.ex. avbrott, försämrad prestanda). programvara, IKT-system eller uppgifter. • Okontrollerade förändringar av IKT-system eller uppgifter i produktionsmiljön. • Idrifttagande av IKT-system och internetapplikationer med dålig säkerhet, vilket ger hackare möjlighet att attackera de internettjänster som tillhandahålls och/eller att bryta sig in i de interna IKT-systemen. • Okontrollerade ändringar i källkoden för internt utvecklad programvara. • Otillräcklig testning på grund av att det saknas lämpliga provningsmiljöer. Bristande IKT- En svag IKT-arkitektur vid utformning, upprättande • Bristande hantering av ändringar i IKT-system, arkitektur och underhåll av IKT-system (t.ex. programvara, programvara och/eller data över en längre period maskinvara, uppgifter) kan, med tiden, leda till som leder till komplexa, oenhetliga och komplexa, svåra och rigida IKT-system som är svåra svårhanterade IKT-system och arkitektur, vilket att hantera, inte längre motsvarar affärsbehoven leder till mycket negativ påverkan på verksamheten

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

och underpresterar jämfört med de faktiska och riskhanteringen (t.ex. brist på flexibilitet och riskhanteringsbehoven. smidighet, IKT-incidenter och fel, höga operativa kostnader, försvagad IKT-säkerhet och motståndskraft, minskad datakvalitet och rapporteringsförmåga). • Stora anpassningar och utökning av kommersiella programvarupaket med internt utvecklad programvara, vilket ger en oförmåga att införliva framtida versioner och uppdateringar av den kommersiella programvaran och risken att leverantören inte längre tillhandahåller någon support. Otillräcklig Misslyckande att åstadkomma en lämplig • Föråldrade IKT-system som inte är uppdaterade och livscykelshantering inventering av alla IKT-tillgångar med stöd för och i kan medföra negativ påverkan på verksamheten och hantering av kombination med en sund praxis avseende livscykel och riskhanteringen (t.ex. bristande flexibilitet och uppdateringar och hantering av uppdateringar. Detta leder till smidighet, IKT-driftavbrott, minskad IKT-säkerhet otillräckligt uppdaterade (och således mer sårbara) och motståndskraft). och föråldrade IKT-system som kanske inte uppfyller affärsbehoven och riskhanteringsbehoven. IKT- Felaktig IKT- På grund av system-, kommunikations- och/eller • It-systemfel vid satsbearbetning som orsakar dataintegritetsr databearbetning applikationsfel eller brister, eller en felaktigt felaktiga saldon på kundernas bankkonton. eller hantering genomförd process för extrahering, överföring och • Felaktigt genomförda förfrågningar.

isker

laddning av data, kan uppgifter förvanskas eller • Dataförlust på grund av fel vid datareplikering förloras. (backup). Felaktigt utformade Fel som rör avsaknad av eller ineffektiva kontroller • Bristande eller ogiltig formatering/validering av kontroller för av automatiska indata för godkännande (t.ex. för indata i applikationer och/eller användargränssnitt. datavalidering i IKT- uppgifter som använts från tredje part), överföring • Avsaknad av kontroller som rör avstämningar av system och hantering av data och kontroller av utdata i IKT- uppgifter om producerade resultat. system (t.ex. validitetskontroller av resultat, • Avsaknad av kontroller av genomförda processer avstämningar av uppgifter). för dataextrahering (t.ex. databasförfrågningar) som leder till felaktiga uppgifter. • Användning av felaktiga externa uppgifter.

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

Bristande kontroll av Datafel som beror på avsaknad av kontroll huruvida • Utvecklare eller databasadministratörer som har dataförändringar i datamanipulationer som genomförs vid direkt tillgång till och kan ändra data i IKT- IKT-driftsystem idrifttagningen av IKT-system är korrekta och driftsystem på ett okontrollerat sätt, t.ex. vid en berättigade. IKT-incident.

Bristande Dataarkitektur, datamodeller, dataflöde eller • Förekomst av olika kunddatabaser per produkt eller utformning och/eller datalexikon som hanteras bristfälligt kan leda till affärsenhet med olika definitioner och fält för data hantering av flera versioner av samma data i IKT-system som inte vilket leder till inkonsekventa kunddata som är dataarkitektur, längre än konsekventa på grund av datamodeller svåra att jämföra på nivån för hela finansinstitutet dataflöde, eller datadefinitioner som tillämpas på olika sätt eller gruppen. datamodeller eller och/eller skillnader i den underliggande datalexikon datagenereringen och ändringsprocessen. IKT-risker vid Bristande Avsaknad av kritiskt utkontrakterade IKT-tjänster, • Viktiga tjänster är inte tillgängliga till följd av fel i uppdragsavtal motståndskraft hos telekommunikationstjänster och allmännyttiga leverantörernas (utkontrakterade) IKT-system eller en tredje part eller tjänster. IKT-applikationer. tjänst från en annan Förlust eller förvanskning av kritiska/känsliga • Störningar av telekommunikationslänkar. gruppenhet uppgifter som anförtrotts tjänsteleverantören. • Bristande strömförsörjning. Otillräcklig styrning Väsentligt försämrad service eller fel på grund av • Dåliga processer för hantering av incidenter, av uppdragsavtal ineffektiv beredskap eller ineffektiva avtalskontrollmekanismer och garantier som är kontrollprocesser hos den tjänsteleverantör som inbyggda i avtalet med tjänsteleverantören och som erhållit uppdragsavtalet. ökar beroendet av tredje parter och leverantörer. Ineffektiv styrning vid utkontraktering kan ge brister • Otillräcklig kontroll av hantering av ändringar på lämplig kompetens och kapacitet att fullt ut avseende tjänsteleverantörens IKT-miljö kan leda identifiera, bedöma, minska och övervaka IKT- till väsentligt nedsatt service eller fel. riskerna och kan begränsa institutets operativa kapacitet. Bristande säkerhet Tjänsteleverantörens IKT-system kan hackas, vilket • Tjänsteleverantörer hackas av kriminella eller hos tredje part eller har direkt påverkan på de utkontrakterade terrorister som en ingångspunkt till institutets IKTen annan enhet tjänsterna eller kritiska/konfidentiella data som system eller för att få tillgång till/förstöra kritiska inom gruppen lagras hos tjänsteleverantören. eller känsliga uppgifter som lagras hos Personal från tjänsteleverantörer får obehörig tjänsteleverantören. åtkomst till kritiska/känsliga data som lagras hos • Illvilliga insiderpersoner från tjänsteleverantörens

IKT- IKT-risker (icke- Riskbeskrivning Exempel

riskkategorier uttömmande )

tjänsteleverantören. sida försöker stjäla och sälja känsliga uppgifter.