Zašto je ESB proveo testiranje kibernetičke otpornosti?
ESB provodi godišnja nadzorna testiranja otpornosti na stres u skladu s člankom 100. Direktive o kapitalnim zahtjevima i svake dvije godine sudjeluje u testiranju otpornosti na stres na razini EU‑a koje koordinira Europsko nadzorno tijelo za bankarstvo (engl. European Banking Authority, EBA). U godinama u kojima EBA ne provodi testiranje otpornosti na stres na razini EU‑a, ESB provodi ciljana testiranja otpornosti na stres usmjerena na određenu vrstu rizika i u tome surađuje s nacionalnim nadzornim tijelima.
Posljednjih godina znatno se povećao broj kibernetičkih napada i banke su u velikoj mjeri izložene kibernetičkim prijetnjama, koje se stalno mijenjaju. U sklopu nadzornih prioriteta za razdoblje od 2024. do 2026. ESB od nadziranih banaka traži da ostvare daljnji napredak u digitalnoj transformaciji i izgradnji snažnih okvira operativne otpornosti kako bi se mogle oduprijeti kibernetičkim napadima i brzo se oporaviti u slučaju velikog kibernetičkog incidenta.
Na kojem se scenariju zasnivalo testiranje?
U scenariju se pretpostavilo da je, nakon zaobilaženja odnosno neuspjeha preventivnih mjera i mjera zaštite, kibernetički napad izazvao poremećaj redovitog poslovanja banaka. Banke su testirale svoje mjere odgovora i oporavka, uključujući aktivaciju hitnih postupaka i planova postupanja u kriznim situacijama te ponovnu uspostavu redovitog poslovanja. Nadzorna tijela potom su procijenila u kojoj su se mjeri banke mogle nositi s takvim scenarijem. Testiranjem se stoga nije procjenjivala sposobnost banaka da spriječe kibernetički napad, nego njihova sposobnost da odgovore na kibernetički napad i da se od njega oporave.
Kakve su informacije banke dostavile ESB‑u?
Procjena je provedena na dvije razine: uz standardnu procjenu provedena je i opsežnija procjena s dodatnim zahtjevima. U standardnoj procjeni sudjelovala je 81 banka. Svaka od njih morala je ispuniti upitnik i potkrijepiti navode, među ostalim obavijestima iz izvješćivanja o kibernetičkim incidentima u sklopu SSM‑a, unaprijed utvrđenim dokumentima kao što su interne politike i postupci povezani s IKT rizikom te rezultatima prošlih testova oporavka IT sustava na temelju scenarija koji je sličan scenariju testiranja kibernetičke otpornosti u sklopu SSM‑a u 2024. Preostalih 28 banaka u kojima je provedena opsežnija procjena moralo je, osim navedenoga, provesti i stvarni test oporavka IT sustava u skladu sa scenarijem testiranja kibernetičke otpornosti u sklopu SSM‑a u 2024. i dokazati njegov uspješan ishod. Radi dodatnog osiguranja kvalitete obavljene su i provjere u prostorijama tih banaka.
Kako su banke odabrane za opsežniju procjenu?
U uzorak opsežnije procjene uključeni su različiti poslovni modeli i različite države kako bi se primjereno prikazao bankovni sustav europodručja. Odabir uzorka nije se temeljio na profilu kibernetičkog rizika uključenih banaka.
Kako će se ESB služiti nalazima testiranja?
Testiranjem su u prvom redu dobivene kvalitativne informacije. Nalazi testiranja pridonijet će širem postupku nadzorne provjere i ocjene u 2024. Po završetku testiranja svakoj je banci dostavljeno izvješće specifično za pojedinačnu banku s preporukama za poboljšanje. Provedbu tih preporuka pratit će zajednički nadzorni timovi u sklopu redovitih nadzornih aktivnosti. Budući da je riječ o testiranju otpornosti na stres koje nije usmjereno na kapital banaka, njegovi rezultati neće utjecati na preporuku u sklopu drugog stupa.