+Член 15 Допълнително хармонизиране на инструментите, методите, процесите и политиките за управление на риска в областта на ИКТ
---+Article 15 (a)
---+Article 15 (b)
---+Article 15 (c)
---+Article 15 (d)
---+Article 15 (e)
---+Article 15 (f)
---+Article 15 (g)
---+Article 15 2
---+Article 15 3
---+Article 15 4

Член 15 Допълнително хармонизиране на инструментите, методите, процесите и политиките за управление на риска в областта на ИКТ

Член 15

Допълнително хармонизиране на инструментите, методите, процесите и политиките за управление на риска в областта на ИКТ

В рамките на съвместния комитет и в консултации с Агенцията на Европейския съюз за киберсигурност (ENISA) ЕНО разработват общи проекти на регулаторни технически стандарти с оглед на следното:

а) 

определяне на допълнителните елементи, които да бъдат включени в посочените в член 9, параграф 2 стратегии, политики, процедури, протоколи и инструменти за сигурност на ИКТ, така че мрежите да бъдат сигурни, да се създадат подходящи механизми срещу проникване и срещу злоупотреба с данните, да се запазят, включително чрез криптиране, наличността, автентичността, цялостността и поверителността на данните, както и да се осигури точното и бързо предаване на данните, без съществени смущения и неоправдано забавяне;

б) 

разработване на допълнителни компоненти на посочените в член 9, параграф 4, буква в) механизми за контрол на правата на управление на достъпа и на свързаната с тях политика за човешките ресурси, в които се определят правата на достъп, процедурите за предоставяне и отнемане на права, както и за наблюдаване на необичайното поведение във връзка с риска в областта на ИКТ чрез подходящи показатели за моделите на използване на мрежата, за часовите пояси, за дейността, свързана с информационните технологии, и за неизвестните устройства;

в) 

доразработване на посочените в член 10, параграф 1 механизми за бързо откриване на необичайните дейности, както и на посочените в член 10, параграф 2 критерии за задействане на процесите за откриване на инциденти при ИКТ и за реакция;

г) 

доуточняване на компонентите на посочената в член 11, параграф 1 политика за непрекъснатост на дейността на ИКТ;

д) 

доуточняване на изискванията за тестване на посочените в член 11, параграф 6 планове за непрекъснатост на дейността на ИКТ с цел тестването надлежно да обхваща всички сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо, както и надлежно да отчита потенциалното въздействие на изпадането в несъстоятелност или възникването на други проблеми при съответните трети страни доставчици на услуги в областта на ИКТ, а когато е приложимо — и политическия риск в юрисдикциите на съответните доставчици;

е) 

доуточняване на компонентите на посочените в член 11, параграф 3 планове за реакция и възстановяване на ИКТ;

ж) 

доуточняване на съдържанието и формата на посочения в член 6, параграф 5 доклад за прегледа на рамката за управление на риска в областта на ИКТ;

Когато разработват тези проекти на регулаторни технически стандарти, ЕНО вземат предвид размера и цялостния рисков профил на финансовия субект и естеството, мащаба и сложността на неговите услуги, дейности и операции, като същевременно надлежно отчитат всяка специфична характеристика, произтичаща от различното естество на дейностите в различните сектори на финансовите услуги.

ЕНО предават на Комисията тези проекти на регулаторни технически стандарти до 17 януари 2024 г.

На Комисията се делегират правомощия да допълни настоящия регламент, като приеме посочените в първа алинея регулаторни технически стандарти в съответствие с членове 10—14 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010.

1. Преглед

,
Article 15 (a)

specify further elements to be included in the ICT security policies, procedures, protocols and tools referred to in Article 9(2), with a view to ensuring the security of networks, enable adequate safeguards against intrusions and data misuse, preserve the availability, authenticity, integrity and confidentiality of data, including cryptographic techniques, and guarantee an accurate and prompt data transmission without major disruptions and undue delays;
Article 15 (b)

develop further components of the controls of access management rights referred to in Article 9(4), point (c), and associated human resource policy specifying access rights, procedures for granting and revoking rights, monitoring anomalous behaviour in relation to ICT risk through appropriate indicators, including for network use patterns, hours, IT activity and unknown devices;
Article 15 (c)

develop further the mechanisms specified in Article 10(1) enabling a prompt detection of anomalous activities and the criteria set out in Article 10(2) triggering ICT-related incident detection and response processes;
Article 15 (d)

specify further the components of the ICT business continuity policy referred to in Article 11(1);
Article 15 (e)

specify further the testing of ICT business continuity plans referred to in Article 11(6) to ensure that such testing duly takes into account scenarios in which the quality of the provision of a critical or important function deteriorates to an unacceptable level or fails, and duly considers the potential impact of the insolvency, or other failures, of any relevant ICT third-party service provider and, where relevant, the political risks in the respective providers’ jurisdictions;
Article 15 (f)

specify further the components of the ICT response and recovery plans referred to in Article 11(3);
Article 15 (g)

specifying further the content and format of the report on the review of the ICT risk management framework referred to in Article 6(5);
Article 15 2

When developing those draft regulatory technical standards, the ESAs shall take into account the size and the overall risk profile of the financial entity, and the nature, scale and complexity of its services, activities and operations, while duly taking into consideration any specific feature arising from the distinct nature of activities across different financial services sectors.
Article 15 3

The ESAs shall submit those draft regulatory technical standards to the Commission by 17 January 2024.
Article 15 4

Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in the first paragraph in accordance with Articles 10 to 14 of Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010.

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти