+Раздел 2
---+Член 3 Управление на риска в областта на ИКТ

Раздел 2

Раздел 2

1. Преглед

,
Член 3 Управление на риска в областта на ИКТ

Член 3

Управление на риска в областта на ИКТ

Финансовите субекти разработват, документират и прилагат политики и процедури за управление на риска в областта на ИКТ, които съдържат всички изброени по-долу елементи:

а) 

указание за одобрението на нивото на толерантност към риска в областта на ИКТ, установено в съответствие с член 6, параграф 8, буква б) от Регламент (ЕС) 2022/2554;

б) 

процедура и методика за провеждане на оценка на риска в областта на ИКТ, при която се установяват:

i) 

уязвимите места и заплахите, които засягат или може да засегнат поддържаните работни функции, системите на ИКТ и активите на ИКТ, поддържащи тези функции;

ii) 

количествените или качествените показатели за измерване на въздействието и вероятността от наличието на уязвимите места и заплахите, посочени в точка i);

в) 

процедурата за идентифициране, прилагане и документиране на мерките за третиране на риска в областта на ИКТ във връзка с идентифицираните и оценените рискове в областта на ИКТ, включително определянето на мерките за третиране на риска в областта на ИКТ, необходими за привеждане на рисковете в областта на ИКТ в рамките на нивото на толерантност към риска, посочено в буква а);

г) 

за остатъчните рискове в областта на ИКТ, които все още съществуват след прилагането на мерките за третиране на риска в областта на ИКТ, посочени в буква в):

i) 

разпоредбите относно установяването на тези остатъчни рискове в областта на ИКТ;

ii) 

разпределянето на ролите и отговорностите относно:

1) 

поемането на остатъчните рискове в областта на ИКТ, които надвишават нивото на толерантност към риска на финансовия субект, посочено в буква а);

2) 

за процеса на преглед, посочен в точка iv) от настоящата буква г);

iii) 

изготвяне на опис на поетите остатъчни рискове в областта на ИКТ, включително обосновка за тяхното поемане;

iv) 

разпоредбите относно извършвания поне веднъж годишно преглед на поетите остатъчни рискове в областта на ИКТ, включително:

1) 

установяването на всички промени в остатъчните рискове в областта на ИКТ;

2) 

оценката на наличните мерки за намаляване на риска;

3) 

оценката на това дали причините, обосноваващи поемането на остатъчни рискове в областта на ИКТ, са все още валидни и приложими към датата на прегледа;

д) 

разпореди относно наблюдението на:

i) 

всички промени в рисковете в областта на ИКТ и обстановката по отношение на киберзаплахите;

ii) 

вътрешни и външни уязвими места и заплахи:

iii) 

риск в областта на ИКТ за финансовия субект, който позволява своевременно откриване на промени, които биха могли да повлияят на рисковия му профил в областта на ИКТ;

е) 

разпоредби относно процес, с който да се гарантира, че са взети предвид всички промени в стратегията на финансовия субект във връзка със стопанската му дейност и в стратегията му за оперативна устойчивост на цифровите технологии.

За целите на параграф 1, буква в), посочената в същата буква процедура гарантира:

а) 

наблюдението на ефективността на приложените мерки за третиране на риска в областта на ИКТ;

б) 

оценката дали са постигнати установените нива на толерантност към риска за финансовия субект;

в) 

оценката дали финансовия субект е предприел действия за коригиране и подобряване на тези мерки, когато това е необходимо.

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти