+Emergency Change Management

Emergency Change Management

Define procedures for documenting, reevaluating, assessing, and approving the implementation of emergency changes, including workarounds and patches.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Член 8 1.
Като част от политиките, процедурите, протоколите и инструментите за сигурност на ИКТ, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, финансовите субекти разработват, документират и прилагат политики и процедури за управление на основаните на ИКТ операции. С тези политики и процедури се определя начинът, по който финансовите субекти управляват, наблюдават, контролират и възстановяват своите активи на ИКТ, включително документирането на основаните на ИКТ операции.
EULAW Член 8 2.

Посочените в параграф 1 политики и процедури за основани на ИКТ операции съдържат всички изброени по-долу елементи:

а) 

описание на активите на ИКТ, включително всички изброени по-долу елементи:

i) 

изисквания относно сигурното инсталиране, поддържане, конфигуриране и деинсталиране на дадена система на ИКТ;

ii) 

изисквания относно управлението на информационни активи, използвани от активи на ИКТ, включително тяхната обработка и употреба, както автоматизирано, така и ръчно;

iii) 

изисквания относно идентифицирането и контрола на наследените системи на ИКТ;

б) 

механизми за контрол и наблюдение на системи на ИКТ, включително всички изброени по-долу елементи:

i) 

изисквания за резервни копия и възстановяване на системи на ИКТ;

ii) 

изисквания за планиране, като се взема предвид взаимозависимостта между системите на ИКТ;

iii) 

протоколи за одитна следа и информация за регистриране в система;

iv) 

изисквания, с които се гарантира, че извършването на вътрешен одит и друго тестване свеждат до минимум смущенията в стопанските дейности;

v) 

изисквания за отделяне на продукционните среди на ИКТ от среди за разработка, тестване и други непродукционни среди;

vi) 

изисквания за провеждане на разработването и тестването в среди, които са отделени от продукционната среда;

vii) 

изисквания за провеждане на разработването и тестването в продукционни среди;

в) 

отстраняване на грешки относно системи на ИКТ, включително всички изброени по-долу елементи:

i) 

процедури и протоколи за отстраняване на грешки;

ii) 

договори за поддръжка и пренасочване на управлението на инциденти, включително външни договори за поддръжка в случай на неочаквани оперативни или технически проблеми;

iii) 

процедури за рестартиране, премахване и възстановяване на система на ИКТ, които се използват в случай на смущение на система на ИКТ.

За целите на буква б), точка v) при отделянето се вземат предвид всички компоненти на средата, включително профили, данни или връзки, както се изисква в член 13, първа алинея, буква а).

За целите на буква б), точка vii) в посочените в параграф 1 политики и процедури се предвижда, че случаите, в които се извършва тестване в продукционна среда, са ясно идентифицирани, обосновани, за ограничени периоди от време са и са одобрени от съответната функция в съответствие с член 16, параграф 6. По време на дейностите по разработване и тестване в продукционна среда финансовите субекти гарантират наличността, поверителността, цялостността и автентичността на системите на ИКТ и на данните в продукционната среда.
EULAW Член 17 1.

Като част от защитните механизми за запазване на наличността, автентичността, цялостността и поверителността на данните финансовите субекти включват в управлението на промените в ИКТ процедурите, посочени в член 9, параграф 4, буква д) от Регламент (ЕС) 2022/2554, по отношение на всички промени в софтуера, хардуера, компонентите на софтуера на производителя, системите или параметрите за сигурност всички изброени по-долу елементи:

а) 

проверка дали са изпълнени изискванията за сигурност на ИКТ;

б) 

механизми за гарантиране на независимостта на функциите, които одобряват промените, и функциите, отговарящи за искането и прилагането на тези промени;

в) 

ясно описание на ролите и отговорностите, за да се гарантира, че:

i) 

промените са определени и планирани;

ii) 

предвиден е подходящ преход;

iii) 

промените се тестват и се финализират по контролиран начин;

iv) 

налице е ефективно осигуряване на качеството;

г) 

документацията и съобщаването на подробности за промените, включително:

i) 

целта и обхвата на промяната;

ii) 

срокът за прилагането на промяната;

iii) 

очакваните резултати:

д) 

идентифицирането на аварийните процедури и отговорности, включително процедури и отговорности за прекъсване прилагането на промени или възстановяване при неуспешно приложени промени;

е) 

процедурите, протоколите и инструментите за управление на промени при извънредни ситуации, които предоставят подходящи защитни механизми;

ж) 

процедурите за документиране, повторно оценяване, оценяване и одобрение на промени при извънредни ситуации след тяхното прилагане, включително временни решения и корекции;

з) 

идентифицирането на потенциалното въздействие на промяната върху съществуващите мерки за сигурност на ИКТ и оценка дали такава промяна изисква приемането на допълнителни мерки за сигурност на ИКТ.
EULAW Член 17 2.
След като са направили значителни промени в своите системи на ИКТ, централните контрагенти и централните депозитари на ценни книжа подлагат своите системи на ИКТ на строго тестване чрез симулиране на неблагоприятни условия.

При проектирането и провеждането на тестването, посочено в първа алинея, централните контрагенти по целесъобразност включват като участници:

а) 

клирингови членове и клиенти;

б) 

централни контрагенти, сключили споразумение за оперативна съвместимост с друг централен контрагент;

в) 

други заинтересовани страни.

При проектирането и провеждането на тестването, посочено в първа алинея, централните депозитари на ценни книжа по целесъобразност включват като участници:

а) 

ползватели;

б) 

доставчици на критични комунални услуги и доставчици на критични услуги;

в) 

други централни депозитари на ценни книжа;

г) 

други пазарни инфраструктури;

д) 

всички други институции, по отношение на които централните депозитари на ценни книжа са установили взаимозависимости в политиката си за осигуряване на непрекъснатост на дейността на ИКТ.