Den officielle tekst
(21)
For at bevare den fulde kontrol med IKT-risiko er det nødvendigt, at finansielle enheder har omfattende kapaciteter, der muliggør en stærk og effektiv IKT-risikostyring, og specifikke mekanismer og politikker med henblik på håndtering af alle IKT-relaterede hændelser og indberetning af større IKT-relaterede hændelser. På samme måde bør finansielle enheder indføre politikker for test af IKT-systemer, -kontroller og -processer samt for håndtering af IKT-tredjepartsrisici. Standarden for digital operationel modstandsdygtighed for finansielle enheder bør højnes, samtidig med at der også skabes mulighed for en forholdsmæssigt afpasset anvendelse af krav til visse finansielle enheder, især mikrovirksomheder, og finansielle enheder, der er omfattet af en forenklet ramme for IKT-risikostyring. For at muliggøre et effektivt tilsyn med arbejdsmarkedsrelaterede pensionskasser, der er forholdsmæssigt og imødekommer behovet for at mindske de administrative byrder for de kompetente myndigheder, bør de relevante nationale tilsynsmæssige rammer med hensyn til sådanne finansielle enheder tage højde for deres størrelse og samlede risikoprofil samt karakteren, omfanget og kompleksiteten af deres tjenester, aktiviteter og operationer, selv hvis de relevante tærskler i artikel 5 i Europa-Parlamentets og Rådets direktiv (EU) 2016/2341 (10) overskrides. Navnlig bør tilsynsaktiviteterne primært fokusere på behovet for at imødegå alvorlige risici i forbindelse med IKT-risikostyring i en bestemt enhed.
Kompetente myndigheder bør også fastholde en årvågen, men forholdsmæssig, tilgang til tilsynet med arbejdsmarkedsrelaterede pensionskasser, som i overensstemmelse med artikel 31 i direktiv (EU) 2016/2341 outsourcer en betydelig del af deres centrale forretningsområder såsom kapitalforvaltning, aktuarmæssig beregning, regnskab og dataforvaltning til tjenesteydere.