Articolul 5
Principii generale de guvernanță pentru externalizarea în cloud
Art. 5 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) Fără a aduce atingere art. 274 alin. (3) din Regulamentul delegat nr. 35/2015, conducerea se asigură că deciziile de a externaliza funcții sau activități operaționale critice sau semnificative către furnizorii de servicii de tip cloud se bazează pe o evaluare detaliată a riscurilor aferente acordului și a cel puțin următoarelor:
a) riscul TIC;
b) riscul privind continuitatea activității;
c) riscul juridic;
d) riscul de conformitate;
e) riscul de concentrare;
f) riscul operațional;
g) riscul asociat fazei de migrare a datelor și/sau fazei de implementare, după caz.
(2) Societățile țin cont în cadrul ORSA de modificările din profilul de risc asociate acordurilor de externalizare în cloud a funcțiilor sau activităților operaționale critice sau semnificative către furnizorii de servicii de tip cloud.
(3) Serviciile cloud se utilizează în concordanță cu politicile și procedurile interne ale societății, actualizate atunci când este necesar și ținând cont de cel puțin următoarele:
a) strategia TIC;
b) strategia de securitate a informațiilor;
c) strategia managementului riscului operațional.