RS2015-07 (ČNB)

Mohou úvěrové instituce využívat při svém podnikání tzv. cloud computing? - Česká národní banka Úvod Dohled a regulace Legislativní základna Stanoviska k regulaci finančního trhu Mohou úvěrové instituce využívat při svém podnikání tzv. cloud computing? Pojem "cloud computing" je v odpovědi na tento dotaz použit ve smyslu modelu uplatňovaného v oblasti informačních a komunikačních systémů a technologií, který umožní získat síťový přístup ke konfigurovatelným výpočetním prostředkům (např. sítě, servery, datová úložiště, aplikace a služby), které jsou sdíleny větším množstvím uživatelů a jejichž kapacita je poskytována a opět uvolňována s minimální pracností a intervencí poskytovatele1). Z výše uvedeného vymezení cloud computingu vyplývá, že v případě jeho využití úvěrovou institucí by se jednalo o funkcionalitu informačního a komunikačního systému úvěrové instituce [§ 7 odst. 1 písm. d) vyhlášky], přičemž požadavky na informační a komunikační systémy úvěrových institucí stanoví především část druhá hlava I vyhlášky, v rámci požadavků na řídicí a kontrolní systém úvěrové instituce.  Pokud jde o využívání cloud computingu úvěrovými institucemi, právní předpisy upravující výkon činnosti úvěrových institucí toto nezakazují. Povinností úvěrové instituce však je zajistit i v případě využívání cloud computingu soulad výkonu svých činností se všemi relevantními požadavky právních předpisů.  Z vyhlášky vyplývá, že případné využívání cloud computingu úvěrovou institucí naplňuje veškeré znaky outsourcingu výkonu určitých činností úvěrové instituce, jak je vymezen v § 12 odst. 1 vyhlášky. Konkrétní způsob využívání cloud computingu úvěrovou institucí tedy musí být především v souladu s požadavky vyhlášky na využívání outsourcingu, včetně požadavků na řízení rizik spojených s využíváním outsourcingu. Tyto požadavky vyplývají zejména z § 12, § 31, § 40 a § 107 a přílohy č. 6 a 7 vyhlášky. Pokud se úvěrová instituce rozhodne využívat cloud computing, vztahují se na takto vykonávané činnosti i další požadavky vyhlášky na řádný a obezřetný výkon činností úvěrové instituce.  Úvěrová instituce je např. povinna  rozpoznávat a řídit rizika spjatá s novými nebo nestandardními produkty, službami a technologiemi, resp. s cloud computingem, včetně rizik spjatých s jeho začleňováním do stávajících činností a struktur úvěrové instituce [§ 34 odst. 1 vyhlášky],  provést analýzu rizik cloud computingu [příloha č. 6 bod 17 vyhlášky] a následně využívat výsledky analýzy rizik cloud computingu např. pro účely řízení rizik informačních a komunikačních systémů a technologií [příloha č. 6, část Informační systémy a technologie vyhlášky] a kontroly poskytovatele outsourcingu [§ 12 písm. d) vyhlášky], např. z hlediska bezpečnostního monitoringu a řízení bezpečnostních incidentů v souvislosti s cloud computingem,  zajistit zavedení, udržování a uplatňování bezpečnostních zásad pro cloud computing [§ 18 odst. 1 písm. h) vyhlášky], ve kterých vždy upřesní hlavní zásady a postupy pro zajištění důvěrnosti, integrity a dostupnosti informací [příloha č. 6 bod 15 písm. b) vyhlášky],  zajistit zavedení, udržování a uplatňování účinných zásad a postupů řízení rizika outsourcingu v oblasti cloud computingu [příloha č. 7 vyhlášky],  zajistit zpětnou vysledovatelnost a rekonstruovatelnost schvalovacích a rozhodovacích procesů a kontrolních a dalších významných činností [§ 11 odst. 2 vyhlášky] spojených s využíváním cloud computingu, například činností týkajících se přípravy a schvalování smluvního vztahu,  promítnout zásady a postupy využívání cloud computingu a s tím souvisejících řídicích, kontrolních a dalších činností do svých vnitřních předpisů a pravidelně prověřovat, zda vnitřní předpisy a jí zvolené uznávané standardy jsou aktuální a v souladu s dalšími požadavky vyhlášky a jiných právních předpisů [§ 10 odst. 1 a 5 vyhlášky]. V souladu s § 9 vyhlášky je úvěrová instituce povinna i v případě využívání cloud computingu plnit požadavky vyhlášky na řídicí a kontrolní systém a jeho součásti také s přihlédnutím k povaze, rozsahu a složitosti činností a dalším relevantním skutečnostem. Tomu odpovídá, aby úvěrová instituce v případě využívání cloud computingu pro plné nebo částečné zpracování klientských dat nebo finančních transakcí atp. plně dodržovala všechny příslušné obezřetnostní požadavky vyhlášky. Případné přiměřené zmírnění je akceptovatelné pouze v ostatních případech, např. pokud jde o využití cloud computingu pro účely podpory spolupráce a sdílení informací v rámci úvěrové instituce. Vzhledem k dynamickému rozvoji informačních a komunikačních technologií je vysoce relevantní také požadavek téhož ustanovení vyhlášky přihlížet k vývoji prostředí, ve kterém úvěrová instituce podniká. Závěrem zmiňujeme, že úvěrová instituce je rovněž povinna, v souladu s § 10 odst. 3 písm. a) bod 1 vyhlášky, dodržovat i při využívání cloud computingu právní povinnosti, které jí vyplývají z jiných právních předpisů (mimo působnost České národní banky), např. pokud jde o pravidla ochrany osobních údajů a zajišťování kybernetické bezpečnosti. ----------- 1 Definice převzatá od Národního ústavu pro normalizaci a technologie USA NIST (2009): "Cloud computing is a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction."  http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf Datum zveřejnění: 4. 12. 2015 Platnost od: 4. 12. 2015 do: neurčeno Typ dokumentu: Stanovisko Upravuje oblast: Řídicí a kontrolní systém, Úvěrové instituce Seznam souvisejících předpisů: • Vyhláška č. 163/2014 Sb., o výkonu činnosti bank, spořitelních a úvěrních družstev a obchodníků s cennými papíry (vyhláška č. 163/2014 Sb.) Relevantní ustanovení: § 7, § 12, § 31, § 40 a § 107 a příloha č. 6 a 7 vyhlášky č. 163/2014 Sb. ID: RS2015-07 Exportovat do pdf Strategie dohledu Co nového v dohledu Legislativní základna Banky a družstevní záložny Pojišťovny, zajišťovny a pojišťovací zprostředkovatelé Penzijní společnosti a fondy, zprostředkovatelé penzijních produktů Obchodníci s cennými papíry, investiční zprostředkovatelé Investiční společnosti a investiční fondy Platební instituce a instituce elektronických peněz, poskytovatelé platebních služeb malého rozsahu a vydavatelé elektronických peněz malého rozsahu Finanční konglomeráty Obchodní systémy, vypořádání, evidence a ochrana trhu Emise, nabídky převzetí a vytěsnění Směnárny Legalizace výnosů z trestné činnosti Obchodování s OTC deriváty, sekuritizace a crowdfunding Prodeje na krátko Ozdravné postupy a řešení krize Ochrana spotřebitele a spotřebitelský úvěr Správci nevýkonných úvěrů Sdělení klíčových informací (PRIIPs) Udržitelné finance Panevropský osobní penzijní produkt (PEPP) Digitální provozní odolnost Kryptoaktiva Ostatní (audit, ratingové agentury, indexy) Výkon dohledu Mezinárodní aktivity v oblasti regulace a dohledu DORA – Digitální provozní odolnost finančního trhu Seznamy a evidence Souhrnné informace o finančním sektoru Informace uveřejňované emitenty Informace o krátkých pozicích Centrální registr úvěrů Dohledový whistleblowing Finanční inovace Ochrana spotřebitele