+Business Impact analysis

Business Impact analysis

Perform a comprehensive Business Impact Analysis (BIA) of exposures to severe business disruptions. The BIA should be done by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW Член 24 1.

Финансовите субекти включват в своята политика за непрекъснатост на дейността на ИКТ, посочена в член 11, параграф 1 от Регламент (ЕС) 2022/2554, всички посочени по-долу елементи:

а) 

описание на:

i) 

целите на политиката за непрекъснатост на дейността на ИКТ, включително взаимовръзката между ИКТ и цялостната непрекъснатост на дейността, и като се вземат предвид резултатите от анализа на въздействието върху дейността (АВД), посочен в член 11, параграф 5 от Регламент (ЕС) 2022/2554;

ii) 

обхватът на правилата, плановете, процедурите и механизмите за непрекъснатост на дейността на ИКТ, включително ограниченията и изключенията;

iii) 

времевата рамка, която трябва да се обхване от правилата, плановете, процедурите и механизмите за непрекъснатост на дейността на ИКТ;

iv) 

критериите за задействане и спиране на действието на плановете за непрекъснатост на дейността на ИКТ, плановете за реакция и възстановяване на ИКТ и плановете за комуникация при кризи;

б) 

разпоредби относно:

i) 

управлението и организацията на прилагането на политиката за непрекъснатост на дейността на ИКТ, включително роли, отговорности и процедури за пренасочване на управлението на инциденти, гарантиращи наличието на достатъчно ресурси;

ii) 

съответствието между плановете за непрекъснатост на дейността на ИКТ и цялостните планове за непрекъснатост на дейността, отнасящи се най-малко до всички изброени по-долу елементи:

1) 

потенциални сценарии за неизправност, включително сценариите, посочени в член 26, параграф 2 от настоящия регламент;

2) 

цели за възстановяването на информацията, в които се посочва, че след смущения финансовият субект е в състояние да възстанови изпълнението на своите критични или важни функции в рамките на целевото време за възстановяване на информацията и целевата точка на възстановяване;

iii) 

разработването на план за непрекъснатост на дейността на ИКТ за сериозни смущения в дейността като част от тези планове и отдаването на приоритет на действия за непрекъснатост на дейността на ИКТ с използване на подход, при който се отчита рискът;

iv) 

разработването, тестването и прегледа на планове за реакция и възстановяване на ИКТ в съответствие с членове 25 и 26 от настоящия регламент;

v) 

прегледа на ефективността на въведените правила, планове, процедури и механизми за непрекъснатост на дейността на ИКТ в съответствие с член 26 от настоящия регламент;

vi) 

привеждането в съответствие на политиката за непрекъснатост на дейността на ИКТ с:

1) 

с комуникационната политика, посочена в член 14, параграф 2 от Регламент (ЕС) 2022/2554;

2) 

действията за комуникация и действията за комуникация при криза, посочени в член 11, параграф 2, буква д) от Регламент (ЕС) 2022/2554.
EULAW Член 24 2.

В допълнение към посочените в параграф 1 изисквания, централните контрагенти гарантират, че в тяхната политика за непрекъснатост на дейността на ИКТ:

а) 

се съдържа максимален срок за възстановяване на техните критични функции, който не е по-дълъг от 2 часа;

б) 

се вземат предвид външни връзки и взаимозависимости в рамките на финансовите инфраструктури, включително места за търговия, преминаващи клиринг чрез централния контрагент, системи за сетълмент на ценни книжа и плащания и кредитни институции, използвани от централния контрагент или свързан централен контрагент;

в) 

изисквания, че са въведени правила за:

i) 

осигуряване на непрекъснатостта на критични или важни функции на централния контрагент въз основа на сценарии за бедствия;

ii) 

поддържане на допълнителен обект за обработка, който е идентичен на основния обект и е в състояние да осигури непрекъснатост на критичните или важните функции на централния контрагент;

iii) 

поддържане или осигуряване на незабавен достъп до допълнителен обект за обработка с цел да се позволи на служителите да осигурят непрекъснатост на услугата, ако основното място на стопанска дейност не е достъпно;

iv) 

разглеждане на необходимостта от изграждане на допълнителни обекти за обработка особено когато диверсификацията на рисковите профили на основния и алтернативния обект не е достатъчна, за да гарантира изцяло, че целите по отношение на непрекъснатостта на стопанската дейност на централните контрагенти ще бъдат изпълнени при всички сценарии.

За целите на буква а) централните контрагенти завършват при всички обстоятелства процедурите и плащанията в края на деня в необходимия час и ден.

За целите на буква в), точка i) посочените в същата буква правила се отнасят до наличието на необходимите човешки ресурси, максималната продължителност на прекъсване на критичните функции, както и преминаването към и възстановяването на допълнителен обект.

За целите на буква в), точка ii) допълнителният обект за обработка, посочен в същата буква, има географски рисков профил, който е различен от този на основния обект.
EULAW Член 24 3.

В допълнение към посочените в параграф 1 изисквания централните депозитари на ценни книжа гарантират, че в тяхната политика за непрекъснатост на дейността на ИКТ:

а) 

се вземат предвид всички връзки и взаимозависимости с ползватели, доставчици на критични комунални услуги и доставчици на критични услуги, различни от централни депозитари на ценни книжа и други пазарни инфраструктури;

б) 

се изисква правилата им за непрекъснатост на дейността на ИКТ да гарантират, че целевото време за възстановяване на техните критични или важни функции няма да бъде по-дълго от 2 часа.
EULAW Член 24 4.

В допълнение към посочените в параграф 1 изисквания, местата за търговия гарантират, че в тяхната политика за непрекъснатост на дейността на ИКТ се гарантира, че:

а) 

търговията може да бъде възобновена в рамките на или до 2 часа след водещ до смущения инцидент;

б) 

максималното количество данни, което може да бъде загубено от която и да е ИТ услуга на мястото на търговия след водещ до смущения инцидент, е почти нулево.
EULAW Член 25 1.
При тестването на плановете за непрекъснатост на дейността на ИКТ в съответствие с член 11, параграф 6 от Регламент (ЕС) 2022/2554 финансовите субекти вземат предвид анализа на въздействието върху дейността (АВД) на финансовия субект и оценката на риска в областта на ИКТ, посочена в член 3, параграф 1, буква б) от настоящия регламент.
EULAW Член 25 2.

Чрез тестването на своите планове за непрекъснатост на дейността на ИКТ, посочени в параграф 1, финансовите субекти преценяват дали плановете са в състояние да осигурят непрекъснатостта на критичните или важните функции на финансовия субект. Посоченото тестване:

а) 

се извършва въз основа на тестови сценарии, при които се симулират потенциални смущения, включително подходящ набор от тежки, но правдоподобни сценарии;

б) 

включва тестване на услугите в областта на ИКТ, предоставяни от трети страни доставчици на услуги в областта на ИКТ, когато е приложимо;

в) 

що се отнася до финансовите субекти, различни от микропредприятия, както е посочено в член 11, параграф 6, втора алинея от Регламент (ЕС) 2022/2554 — съдържа сценарии на преминаване от първична инфраструктура на ИКТ към възпроизвеждащия я капацитет, резервни копия и възпроизвеждащи системи;

г) 

е разработено така, че да постави под съмнение допусканията, на които се основават плановете за непрекъснатост на дейността, включително правилата за управление и планове за комуникация при кризи;

д) 

съдържа процедури за проверка на способността за адекватна реакция на служителите на финансовите субекти, на третите страни доставчици на услуги в областта на ИКТ, на системите на ИКТ и на услугите в областта на ИКТ по отношение на надлежно взетите предвид сценарии в съответствие с член 26, параграф 2.

За целите на буква а) финансовите субекти винаги включват в тестването сценариите, взети предвид при разработването на плановете за непрекъснатост на дейността.

За целите на буква б) финансовите субекти надлежно вземат предвид сценарии, свързани с изпадането в несъстоятелност или възникването на други проблеми при трети страни доставчици на услуги в областта на ИКТ или свързани с политическия риск в юрисдикциите на трети страни доставчици на услуги в областта на ИКТ, когато е приложимо.

За целите на буква в) при тестването се проверява дали най-малко критичните или важните функции могат да изпълняват по подходящ начин за достатъчен период от време и дали нормалното функциониране може да бъде възстановено.
EULAW Член 25 3.

В допълнение към посочените в параграф 2 изисквания, при тестването на своите планове за непрекъснатост на дейността на ИКТ, посочени в параграф 1, централните контрагенти включват като участници:

а) 

клирингови членове;

б) 

външни доставчици;

в) 

съответните институции във финансовата инфраструктура, с които централните контрагенти са установили взаимозависимости в своите политики за непрекъснатост на дейността.
EULAW Член 25 4.

В допълнение към посочените в параграф 2 изисквания, при тестването на своите планове за непрекъснатост на дейността на ИКТ, посочени в параграф 1, централните депозитари на ценни книжа по целесъобразност включват като участници:

а) 

ползватели на централните депозитари на ценни книжа;

б) 

доставчици на критични комунални услуги и доставчици на критични услуги;

в) 

други централни депозитари на ценни книжа;

г) 

други пазарни инфраструктури;

д) 

всички други институции, по отношение на които централните депозитари на ценни книжа са установили взаимозависимости в политиката си за осигуряване на непрекъснатост на дейността.
EULAW Член 25 5.
Финансовите субекти документират резултатите от посоченото в параграф 1 тестване. Всички установени недостатъци, произтичащи от това тестване, се анализират, отстраняват се и се докладват на ръководния орган.
EULAW Член 26 1.

При разработването на плановете за реакция и възстановяване на ИКТ, посочени в член 11, параграф 3 от Регламент (ЕС) 2022/2554, финансовите субекти вземат предвид резултатите от анализа на въздействието върху дейността (АВД) на финансовия субект. С тези планове за реакция и възстановяване на ИКТ се постига следното:

а) 

посочват се условията, които налагат тяхното активиране или деактивиране, както и всички изключения за такова активиране или деактивиране;

б) 

описват се действията, които трябва да бъдат предприети, за да се гарантират наличността, цялостността, непрекъснатостта и възстановяването поне на системи на ИКТ и услуги в областта на ИКТ, поддържащи критични или важни функции на финансовия субект;

в) 

разработват се така, че да отговарят на целите за възстановяване на дейността на финансовите субекти;

г) 

документират се и се предоставят на служителите, участващи в изпълнението на плановете за реакция и възстановяване на ИКТ, и са лесно достъпни при извънредна ситуация;

д) 

предвиждат се както краткосрочни, така и дългосрочни възможности за възстановяване, включително частично възстановяване на системите;

е) 

определят се целите на плановете за реакция и възстановяване на ИКТ и условията за деклариране на успешното изпълнение на тези планове.

За целите на буква г) финансовите субекти ясно определят ролите и отговорностите.
EULAW Член 26 2.

В посочените в параграф 1 планове за реакция и възстановяване на ИКТ се определят съответните сценарии, включително сценарии на сериозни смущения в стопанската дейност и по-голяма вероятност от появата на смущения. В тези планове се разработват сценарии въз основа на актуална информация за заплахи и на поуки, извлечени от предишни случаи на смущения в дейността. Финансовите субекти надлежно вземат предвид всички изброени по-долу сценарии:

а) 

кибератаки и преминаване от първична инфраструктура на ИКТ към възпроизвеждащия я капацитет, резервни копия и възпроизвеждащи системи;

б) 

сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо, както и потенциалното въздействие на изпадането в несъстоятелност или възникването на други проблеми при съответните трети страни доставчици на услуги в областта на ИКТ;

в) 

частична или пълна повреда на помещенията, включително офиси и търговски помещения и центрове за данни;

г) 

значителна повреда на активи на ИКТ или комуникационна инфраструктура;

д) 

липсата на критичен брой служители или на служители, отговарящи за осигуряване на непрекъснатостта на дейността;

е) 

въздействието на събития, свързани с изменението на климата и разрушаване на околната среда, природни бедствия, пандемии и физически нападения, включително прониквания и терористични нападения;

ж) 

вътрешни атаки;

з) 

политическа и социална нестабилност, включително, когато е приложимо, в юрисдикцията на трета страна доставчик на услуги в областта на ИКТ и мястото, където данните се съхраняват и обработват;

и) 

широкоразпространени прекъсвания на електрозахранването.
EULAW Член 26 3.
Когато първичните мерки за възстановяване може да не са осъществими в краткосрочен план поради разходи, рискове, логистика или непредвидени обстоятелства, в посочените в параграф 1 планове за реакция и възстановяване на ИКТ се разглеждат алтернативни варианти.
EULAW Член 26 4.
Като част от посочените в параграф 1 планове за реакция и възстановяване на ИКТ финансовите субекти обмислят и прилагат мерки за непрекъснатост за намаляване на повредите при трети страни доставчици на услуги в областта на ИКТ, поддържащи критични и важни функции на финансовия субект.