Articolul 7
Evaluarea riscurilor asociate externalizării în cloud
Art. 7 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) Societatea adoptă o abordare proporțională cu natura, amploarea și complexitatea riscurilor inerente serviciilor externalizate către furnizorii de servicii de tip cloud și include evaluarea impactului potențial al fiecărei externalizări în cloud, în special asupra riscurilor operațional și reputațional.
(2) În cazul externalizării unor funcții sau activități operaționale critice sau semnificative către furnizorii de servicii de tip cloud, societatea:
a) ține seama de beneficiile și costurile preconizate ale acordului de externalizare în cloud, inclusiv compararea riscurilor semnificative care pot fi reduse sau cărora li se poate aplica un management mai eficient cu riscurile semnificative care pot apărea ca urmare a acordului de externalizare în cloud;
b) evaluează, după caz, necesitățile, toate riscurile, precum și limitările capacității de control care decurg din:
(i) serviciul cloud selectat și modelele public/privat/hibrid/ comunitar de implementare propuse;
(ii) migrarea și/sau implementarea;
(iii) datele și sistemele aferente activităților externalizate sau avute în vedere pentru a fi externalizate, senzitivitatea acestora și măsurile de securitate necesare;
(iv) stabilitatea politică și situația de securitate a statelor membre din Uniunea Europeană sau a statelor terțe din care sunt sau pot fi furnizate serviciile externalizate și în care datele sunt sau ar putea fi stocate;
(v) legislația în vigoare, inclusiv legislația privind protecția datelor;
(vi) dispozițiile de aplicare a legii în vigoare;
(vii) dispozițiile din legislația privind insolvența care s-ar aplica în cazul incapacității unui furnizor de servicii de tip cloud și impedimentele care ar putea apărea în caz de recuperare urgentă a datelor societății;
(viii) riscurile asociate externalizării în lanț, inclusiv:
1. riscurile suplimentare care pot apărea în cazul în care subcontractantul este situat într-un stat terț sau într-un alt stat decât furnizorul de servicii de tip cloud;
2. riscul ca lanțurile lungi și complexe de externalizare să diminueze capacitatea societăților de a avea control asupra funcțiilor sau activităților operaționale critice sau semnificative;
3. capacitatea Autorității de Supraveghere Financiară (A.S.F.) de supraveghere a acestora;
(ix) riscul de concentrare global al societății din expunerea la același furnizor de servicii de tip cloud, inclusiv:
1. externalizarea către un furnizor de servicii de tip cloud care nu este ușor de substituit;
2. existența mai multor acorduri de externalizare cu același furnizor de servicii de tip cloud.
(3) Atunci când societatea ia cunoștință de deficiențe și/sau modificări semnificative ale serviciilor furnizate sau ale situației furnizorului de servicii de tip cloud, aceasta analizează evaluarea riscurilor sau efectuează o nouă evaluare a riscurilor.