+Annual Framework Review and Audit Process

Annual Framework Review and Audit Process

The effectiveness of the risk management framework is monitored based on the risk exposure over time to critical or important business functions. Implement a reviewing and auditing process, with a minimum yearly review of the framework, triggered by major ICT incidents, regulator instructions, or major audit findings. 

The tasks of verifying compliance with ICT risk management requirements may be outsourced to intra-group or external undertakings. In case of such outsourcing, the financial entity remains fully responsible for the verification of compliance with the ICT risk management requirements.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Article 6 1

1.   Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience.
EULAW Article 6 2

2.   The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that are necessary to duly and adequately protect all information assets and ICT assets, including computer software, hardware, servers, as well as to protect all relevant physical components and infrastructures, such as premises, data centres and sensitive designated areas, to ensure that all information assets and ICT assets are adequately protected from risks including damage and unauthorised access or usage.
EULAW Article 6 3

3.   In accordance with their ICT risk management framework, financial entities shall minimise the impact of ICT risk by deploying appropriate strategies, policies, procedures, ICT protocols and tools. They shall provide complete and updated information on ICT risk and on their ICT risk management framework to the competent authorities upon their request.
EULAW Article 6 4

4.   Financial entities, other than microenterprises, shall assign the responsibility for managing and overseeing ICT risk to a control function and ensure an appropriate level of independence of such control function in order to avoid conflicts of interest. Financial entities shall ensure appropriate segregation and independence of ICT risk management functions, control functions, and internal audit functions, according to the three lines of defence model, or an internal risk management and control model.
EULAW Article 6 5

5.   The ICT risk management framework shall be documented and reviewed at least once a year, or periodically in the case of microenterprises, as well as upon the occurrence of major ICT-related incidents, and following supervisory instructions or conclusions derived from relevant digital operational resilience testing or audit processes. It shall be continuously improved on the basis of lessons derived from implementation and monitoring. A report on the review of the ICT risk management framework shall be submitted to the competent authority upon its request.
EULAW Article 6 7

7.   Based on the conclusions from the internal audit review, financial entities shall establish a formal follow-up process, including rules for the timely verification and remediation of critical ICT audit findings.
EULAW Article 6 9

9.   Financial entities may, in the context of the digital operational resilience strategy referred to in paragraph 8, define a holistic ICT multi-vendor strategy, at group or entity level, showing key dependencies on ICT third-party service providers and explaining the rationale behind the procurement mix of ICT third-party service providers.
EULAW Article 6 10

10.   Financial entities may, in accordance with Union and national sectoral law, outsource the tasks of verifying compliance with ICT risk management requirements to intra-group or external undertakings. In case of such outsourcing, the financial entity remains fully responsible for the verification of compliance with the ICT risk management requirements.
EULAW Article 8 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall identify, classify and adequately document all ICT supported business functions, roles and responsibilities, the information assets and ICT assets supporting those functions, and their roles and dependencies in relation to ICT risk. Financial entities shall review as needed, and at least yearly, the adequacy of this classification and of any relevant documentation.
EULAW Article 9 1

1.   For the purposes of adequately protecting ICT systems and with a view to organising response measures, financial entities shall continuously monitor and control the security and functioning of ICT systems and tools and shall minimise the impact of ICT risk on ICT systems through the deployment of appropriate ICT security tools, policies and procedures.
EULAW Член 9 (4)

Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти:

а) 

разработват и документират политика за сигурност на информацията, в която определят правила за защита на наличността, автентичността, цялостността и поверителността на данните, информационните активи и активите на ИКТ, включително тези на техните клиенти, когато е приложимо;

б) 

създават, следвайки подход, при който се отчита рискът, стабилна структура за управление на мрежите и инфраструктурата с помощта на подходящи техники, методи и протоколи, което може да включва използването на автоматизирани механизми за обособяване на засегнатите при кибератаки информационни активи;

в) 

прилагат политики, които ограничават физическия или логическия достъп до информационните активи и активите на ИКТ единствено до необходимото с оглед на законните и одобрени функции и дейности, като за тази цел създават набор от политики, процедури и механизми за контрол на правата на достъп, и гарантират разумното им управление;

г) 

прилагат политики и протоколи за стабилни механизми за удостоверяване на автентичността, като използват съответните стандарти и специални системи за проверки и предпазни мерки за криптографските ключове, с които данните са криптирани след одобрено тяхно класифициране и извършена оценка на риска в областта на ИКТ;

д) 

прилагат документирани политики, процедури и контролни механизми за управление на промените в ИКТ — включително на промените в софтуера, хардуера, компонентите на фърмуера, параметрите на системите или сигурността — които почиват на подход с оценка на риска и са неразделна част от цялостния процес на управление на промените от страна на финансовия субект с цел да се гарантира контролираното записване, тестване, оценяване, одобряване, прилагане и проверяване на всички промени в системите на ИКТ;

е) 

разполагат с подходящи и обстойни документирани политики за коригиране и актуализиране.

За целите на първа алинея, буква б) финансовите субекти разработват инфраструктурата за мрежова връзка така, че да бъде възможно моменталното ѝ изваждане от експлоатация или сегментиране, за да се сведе до минимум и да се предотврати разпространяването на даден проблем, особено при взаимосвързаните финансови процеси.

За целите на първа алинея, буква д) процесът на управление на промените в ИКТ се одобрява от подходяща йерархична стълбица и за него се въвеждат специални протоколи.
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 3

3.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall implement associated ICT response and recovery plans which, in the case of financial entities other than microenterprises, shall be subject to independent internal audit reviews.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 12 1

1.   For the purpose of ensuring the restoration of ICT systems and data with minimum downtime, limited disruption and loss, as part of their ICT risk management framework, financial entities shall develop and document:

(a)

backup policies and procedures specifying the scope of the data that is subject to the backup and the minimum frequency of the backup, based on the criticality of information or the confidentiality level of the data;

(b)

restoration and recovery procedures and methods.
EULAW Article 12 2

2.   Financial entities shall set up backup systems that can be activated in accordance with the backup policies and procedures, as well as restoration and recovery procedures and methods. The activation of backup systems shall not jeopardise the security of the network and information systems or the availability, authenticity, integrity or confidentiality of data. Testing of the backup procedures and restoration and recovery procedures and methods shall be undertaken periodically.
EULAW Article 12 3

3.   When restoring backup data using own systems, financial entities shall use ICT systems that are physically and logically segregated from the source ICT system. The ICT systems shall be securely protected from any unauthorised access or ICT corruption and allow for the timely restoration of services making use of data and system backups as necessary.

For central counterparties, the recovery plans shall enable the recovery of all transactions at the time of disruption to allow the central counterparty to continue to operate with certainty and to complete settlement on the scheduled date.

Data reporting service providers shall additionally maintain adequate resources and have back-up and restoration facilities in place in order to offer and maintain their services at all times.
EULAW Article 13 3

3.   Lessons derived from the digital operational resilience testing carried out in accordance with Articles 26 and 27 and from real life ICT-related incidents, in particular cyber-attacks, along with challenges faced upon the activation of ICT business continuity plans and ICT response and recovery plans, together with relevant information exchanged with counterparts and assessed during supervisory reviews, shall be duly incorporated on a continuous basis into the ICT risk assessment process. Those findings shall form the basis for appropriate reviews of relevant components of the ICT risk management framework referred to in Article 6(1).
EULAW Article 13 5

5.   Senior ICT staff shall report at least yearly to the management body on the findings referred to in paragraph 3 and put forward recommendations.
EULAW Article 13 7

7.   Financial entities, other than microenterprises, shall monitor relevant technological developments on a continuous basis, also with a view to understanding the possible impact of the deployment of such new technologies on ICT security requirements and digital operational resilience. They shall keep up-to-date with the latest ICT risk management processes, in order to effectively combat current or new forms of cyber-attacks.
EULAW Article 14 2

2.   As part of the ICT risk management framework, financial entities shall implement communication policies for internal staff and for external stakeholders. Communication policies for staff shall take into account the need to differentiate between staff involved in ICT risk management, in particular the staff responsible for response and recovery, and staff that needs to be informed.
EULAW Article 24 1

1.   For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience testing programme as an integral part of the ICT risk-management framework referred to in Article 6.
EULAW Article 28 2

2.   As part of their ICT risk management framework, financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, shall adopt, and regularly review, a strategy on ICT third-party risk, taking into account the multi-vendor strategy referred to in Article 6(9), where applicable. The strategy on ICT third-party risk shall include a policy on the use of ICT services supporting critical or important functions provided by ICT third-party service providers and shall apply on an individual basis and, where relevant, on a sub-consolidated and consolidated basis. The management body shall, on the basis of an assessment of the overall risk profile of the financial entity and the scale and complexity of the business services, regularly review the risks identified in respect to contractual arrangements on the use of ICT services supporting critical or important functions.
EULAW Article 28 3

3.   As part of their ICT risk management framework, financial entities shall maintain and update at entity level, and at sub-consolidated and consolidated levels, a register of information in relation to all contractual arrangements on the use of ICT services provided by ICT third-party service providers.

The contractual arrangements referred to in the first subparagraph shall be appropriately documented, distinguishing between those that cover ICT services supporting critical or important functions and those that do not.

Financial entities shall report at least yearly to the competent authorities on the number of new arrangements on the use of ICT services, the categories of ICT third-party service providers, the type of contractual arrangements and the ICT services and functions which are being provided.

Financial entities shall make available to the competent authority, upon its request, the full register of information or, as requested, specified sections thereof, along with any information deemed necessary to enable the effective supervision of the financial entity.

Financial entities shall inform the competent authority in a timely manner about any planned contractual arrangement on the use of ICT services supporting critical or important functions as well as when a function has become critical or important.
EULAW Член 1 Цялостен рисков профил и сложност

Член 1

Цялостен рисков профил и сложност

При разработването и прилагането на посочените в дял II политики, процедури, протоколи и инструменти за сигурност на ИКТ и на посочената в дял III опростена рамка за управление на риска в областта на ИКТ се вземат предвид размерът и цялостният рисков профил на финансовия субект, както и естеството, мащабът и елементите на повишаване или намаляване на сложността на неговите услуги, дейности и операции, включително елементи, свързани с:

а) 

криптиране и криптография;

б) 

сигурност на основаните на ИКТ операции;

в) 

сигурност на мрежата;

г) 

управление на проекти в областта на ИКТ и на промените в ИКТ;

д) 

потенциалното въздействие на риска в областта на ИКТ върху поверителността, цялостността и наличността на данните и на смущенията в непрекъснатостта и наличността на дейностите на финансовия субект.
EULAW Член 2 1.

Финансовите субекти гарантират, че техните политики за сигурност на ИКТ, сигурност на информацията и свързаните с тях процедури, протоколи и инструменти, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, са включени в рамката им за управление на риска в областта на ИКТ. Финансовите субекти установяват определените в настоящата глава политики, процедури, протоколи и инструменти за сигурност на ИКТ, които:

а) 

гарантират сигурността на мрежите;

б) 

съдържат защитни механизми срещу проникване и срещу злоупотреба с данни;

в) 

запазват, включително чрез използването на техники за криптиране, наличността, автентичността, цялостността и поверителността на данните;

г) 

осигуряват точното и бързо предаване на данните без съществени смущения и неоправдано забавяне.
EULAW Член 2 2.

Финансовите субекти гарантират, че посочените в параграф 1 политики за сигурност на ИКТ:

а) 

са приведени в съответствие с целите за сигурност на информацията на финансовия субект, включени в стратегията за оперативна устойчивост на цифровите технологии, посочена в член 6, параграф 8 от Регламент (ЕС) 2022/2554;

б) 

указват датата на официалното одобрение от страна на ръководния орган на политиките за сигурност на ИКТ;

в) 

съдържат показатели и мерки за:

i) 

наблюдение на прилагането на политиките, процедурите, протоколите и инструментите за сигурност на ИКТ;

ii) 

документиране на изключенията от посоченото прилагане;

iii) 

гарантиране на осигуряването на оперативната устойчивост на цифровите технологии на финансовия субект в случай на посочените в точка ii) изключения;

г) 

конкретизират отговорностите на служителите на всички равнища, за да се гарантира сигурността на ИКТ на финансовия субект;

д) 

посочват последиците от неспазване от страна на служителите на финансовия субект на политиките за сигурност на ИКТ, когато свързани с това разпоредби не са предвидени в други политики на финансовия субект;

е) 

включват списък на документацията, която трябва да се поддържа;

ж) 

доуточняват правилата за разделяне на функциите в контекста на модела на трите защитни слоя или на друга вътрешна система за управление и контрол на риска, според случая, с цел да се избегнат конфликти на интереси;

з) 

разглеждат водещи практики и, когато е приложимо, стандарти, определени в член 2, точка 1 от Регламент (ЕС) № 1025/2012;

и) 

установяват ролите и отговорностите за разработването, прилагането и поддържането на политиките, процедурите, протоколите и инструментите за сигурност на ИКТ;

й) 

се преразглеждат в съответствие с член 6, параграф 5 от Регламент (ЕС) 2022/2554;

к) 

вземат предвид съществените промени, засягащи финансовия субект, включително съществените промени в дейностите или процесите на финансовия субект, в обстановка по отношение на киберзаплахите или в приложимите правни задължения.
EULAW Член 3 Управление на риска в областта на ИКТ

Член 3

Управление на риска в областта на ИКТ

Финансовите субекти разработват, документират и прилагат политики и процедури за управление на риска в областта на ИКТ, които съдържат всички изброени по-долу елементи:

а) 

указание за одобрението на нивото на толерантност към риска в областта на ИКТ, установено в съответствие с член 6, параграф 8, буква б) от Регламент (ЕС) 2022/2554;

б) 

процедура и методика за провеждане на оценка на риска в областта на ИКТ, при която се установяват:

i) 

уязвимите места и заплахите, които засягат или може да засегнат поддържаните работни функции, системите на ИКТ и активите на ИКТ, поддържащи тези функции;

ii) 

количествените или качествените показатели за измерване на въздействието и вероятността от наличието на уязвимите места и заплахите, посочени в точка i);

в) 

процедурата за идентифициране, прилагане и документиране на мерките за третиране на риска в областта на ИКТ във връзка с идентифицираните и оценените рискове в областта на ИКТ, включително определянето на мерките за третиране на риска в областта на ИКТ, необходими за привеждане на рисковете в областта на ИКТ в рамките на нивото на толерантност към риска, посочено в буква а);

г) 

за остатъчните рискове в областта на ИКТ, които все още съществуват след прилагането на мерките за третиране на риска в областта на ИКТ, посочени в буква в):

i) 

разпоредбите относно установяването на тези остатъчни рискове в областта на ИКТ;

ii) 

разпределянето на ролите и отговорностите относно:

1) 

поемането на остатъчните рискове в областта на ИКТ, които надвишават нивото на толерантност към риска на финансовия субект, посочено в буква а);

2) 

за процеса на преглед, посочен в точка iv) от настоящата буква г);

iii) 

изготвяне на опис на поетите остатъчни рискове в областта на ИКТ, включително обосновка за тяхното поемане;

iv) 

разпоредбите относно извършвания поне веднъж годишно преглед на поетите остатъчни рискове в областта на ИКТ, включително:

1) 

установяването на всички промени в остатъчните рискове в областта на ИКТ;

2) 

оценката на наличните мерки за намаляване на риска;

3) 

оценката на това дали причините, обосноваващи поемането на остатъчни рискове в областта на ИКТ, са все още валидни и приложими към датата на прегледа;

д) 

разпореди относно наблюдението на:

i) 

всички промени в рисковете в областта на ИКТ и обстановката по отношение на киберзаплахите;

ii) 

вътрешни и външни уязвими места и заплахи:

iii) 

риск в областта на ИКТ за финансовия субект, който позволява своевременно откриване на промени, които биха могли да повлияят на рисковия му профил в областта на ИКТ;

е) 

разпоредби относно процес, с който да се гарантира, че са взети предвид всички промени в стратегията на финансовия субект във връзка със стопанската му дейност и в стратегията му за оперативна устойчивост на цифровите технологии.

За целите на параграф 1, буква в), посочената в същата буква процедура гарантира:

а) 

наблюдението на ефективността на приложените мерки за третиране на риска в областта на ИКТ;

б) 

оценката дали са постигнати установените нива на толерантност към риска за финансовия субект;

в) 

оценката дали финансовия субект е предприел действия за коригиране и подобряване на тези мерки, когато това е необходимо.
EULAW Член 8 1.
Като част от политиките, процедурите, протоколите и инструментите за сигурност на ИКТ, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, финансовите субекти разработват, документират и прилагат политики и процедури за управление на основаните на ИКТ операции. С тези политики и процедури се определя начинът, по който финансовите субекти управляват, наблюдават, контролират и възстановяват своите активи на ИКТ, включително документирането на основаните на ИКТ операции.
EULAW Член 8 2.

Посочените в параграф 1 политики и процедури за основани на ИКТ операции съдържат всички изброени по-долу елементи:

а) 

описание на активите на ИКТ, включително всички изброени по-долу елементи:

i) 

изисквания относно сигурното инсталиране, поддържане, конфигуриране и деинсталиране на дадена система на ИКТ;

ii) 

изисквания относно управлението на информационни активи, използвани от активи на ИКТ, включително тяхната обработка и употреба, както автоматизирано, така и ръчно;

iii) 

изисквания относно идентифицирането и контрола на наследените системи на ИКТ;

б) 

механизми за контрол и наблюдение на системи на ИКТ, включително всички изброени по-долу елементи:

i) 

изисквания за резервни копия и възстановяване на системи на ИКТ;

ii) 

изисквания за планиране, като се взема предвид взаимозависимостта между системите на ИКТ;

iii) 

протоколи за одитна следа и информация за регистриране в система;

iv) 

изисквания, с които се гарантира, че извършването на вътрешен одит и друго тестване свеждат до минимум смущенията в стопанските дейности;

v) 

изисквания за отделяне на продукционните среди на ИКТ от среди за разработка, тестване и други непродукционни среди;

vi) 

изисквания за провеждане на разработването и тестването в среди, които са отделени от продукционната среда;

vii) 

изисквания за провеждане на разработването и тестването в продукционни среди;

в) 

отстраняване на грешки относно системи на ИКТ, включително всички изброени по-долу елементи:

i) 

процедури и протоколи за отстраняване на грешки;

ii) 

договори за поддръжка и пренасочване на управлението на инциденти, включително външни договори за поддръжка в случай на неочаквани оперативни или технически проблеми;

iii) 

процедури за рестартиране, премахване и възстановяване на система на ИКТ, които се използват в случай на смущение на система на ИКТ.

За целите на буква б), точка v) при отделянето се вземат предвид всички компоненти на средата, включително профили, данни или връзки, както се изисква в член 13, първа алинея, буква а).

За целите на буква б), точка vii) в посочените в параграф 1 политики и процедури се предвижда, че случаите, в които се извършва тестване в продукционна среда, са ясно идентифицирани, обосновани, за ограничени периоди от време са и са одобрени от съответната функция в съответствие с член 16, параграф 6. По време на дейностите по разработване и тестване в продукционна среда финансовите субекти гарантират наличността, поверителността, цялостността и автентичността на системите на ИКТ и на данните в продукционната среда.