ЕЦБ внезапно тества киберсигурността на над 100 европейски банки

Регулаторният орган констатира слабите места в защитата на финансовите институции.

Европейската централна банка (ЕЦБ) приключи мащабния стрес тест за киберсигурност на европейските банки, който започна през януари 2024 г. Регулаторът провери готовността на финансовите институции да устоят и да се възстановят от сериозни кибератаки.

В теста участваха 109 банки под прекия надзор на ЕЦБ. Всички институции попълниха специален въпросник и предоставиха документация за анализ. Освен това 28 банки бяха подложени на по-задълбочени тестове, включително практически тестове за възстановяване на ИТ структурата с доказателства за успешно прилагане, както и на надзорни посещения.

Сценарият на стрес теста включваше сериозен, но правдоподобен инцидент, свързан с киберсигурността: всички превантивни мерки за защита се оказаха неефективни и кибератаката сериозно повреди базите данни на ключовите системи на банките. Основната цел беше да се оцени способността за реагиране на атаката и за възстановяване след инцидента.

Резултатите показаха, че банките като цяло разполагат с необходимите механизми за реакция, но има области за подобрение. ЕЦБ призова банките да подобрят плановете си за непрекъсваемост на дейността при кризи, да усъвършенстват методите си за комуникация с всички заинтересовани страни и да разработят по-ефективни стратегии за възстановяване на ИТ след кибератаки. Банките бяха посъветвани да обмислят по-широк спектър от сценарии за киберрискове и да оценяват по-добре зависимостта от критични трети страни – доставчици на ИТ услуги.

Регулаторният орган констатира увеличаване на броя на киберинцидентите в банковия сектор. Тази тенденция е свързана с нарастващото геополитическо напрежение и предизвикателствата на цифровизацията.

Струва си да се отбележи, че провеждането на подобни стрес тестове е редовна практика на ЕЦБ. В съответствие с член 100 от Директивата за капиталовите изисквания надзорните стрес тестове се провеждат всяка година. На всеки две години ЕЦБ участва в общоевропейски стрес тест, координиран от Европейския банков орган. През останалите години ЕЦБ организира целеви стрес тестове по конкретни теми.

ЕЦБ подчертава, че установяването и отстраняването на слабостите в системите за оперативна устойчивост на банките, включително защитата от киберрискове, е надзорен приоритет за периода 2024-2026 г. Резултатите от стрес теста ще бъдат използвани в процеса на надзорен преглед и оценка (SREP) през 2024 г. Резултатът от теста обаче няма да се отрази на капиталовите изисквания на банките, тъй като основният фокус беше поставен върху оперативните аспекти.

Надзорните органи предоставиха индивидуална обратна връзка на всяка банка и ще работят с нея за отстраняване на установените слабости. Някои финансови институции вече са започнали да подобряват системите си за киберсигурност или планират да го направят в близко бъдеще.

ЕЦБ възнамерява да продължи да работи с поднадзорните банки за укрепване на киберустойчивостта им. Регулаторът ще насърчава финансовите институции да спазват надзорните изисквания, включително да разполагат с адекватни планове за непрекъсваемост на дейността, комуникациите и възстановяването.