+Член 10 2.

Член 10 2.

С посочените в параграф 1 процедури за управление на уязвими места се постига следното:

а) 

установяват се и се актуализират подходящи и надеждни информационни ресурси за изграждане и поддържане на осведомеността относно уязвимите места;

б) 

гарантира се извършването на автоматизирано сканиране за уязвимите места и оценки на активите на ИКТ, като честотата и обхватът на тези дейности са съизмерими с класификацията, установена в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554, и с цялостния рисков профил на актива на ИКТ;

в) 

проверява се дали:

i) 

трети страни доставчици на услуги в областта на ИКТ се справят с уязвимите места, свързани с предоставяните на финансовия субект услуги в областта на ИКТ;

ii) 

тези доставчици на услуги докладват своевременно на финансовия субект поне за критичните уязвими места и статистически данни и тенденции;

г) 

проследява се използването на:

i) 

библиотеки на трети страни, включително библиотеки с отворен код, използвани от услуги в областта на ИКТ, поддържащи критични или важни функции;

ii) 

услуги в областта на ИКТ, разработени от самия финансов субект или специално персонализирани или разработени за финансовия субект от трета страна доставчик на услуги в областта на ИКТ;

д) 

установяват се процедури за отговорно уведомяване на клиентите, контрагентите и на обществеността за уязвими места;

е) 

отдава се приоритет на внедряването на корекции и други мерки за намаляване на риска с цел отстраняване на установените уязвими места;

ж) 

наблюдава се и се проверява отстраняването на уязвимите места;

з) 

изискват се записване на всички открити уязвими места, засягащи системите на ИКТ, и наблюдение на намирането на решение за тях.

За целите на буква б) финансовите субекти извършват поне веднъж седмично автоматизирано сканиране за уязвими места и оценки на активи на ИКТ за активите на ИКТ, поддържащи критични или важни функции.

За целите на буква в) финансовите субекти искат от трети страни доставчици на услуги в областта на ИКТ да проучат съответните уязвими места, да определят първопричините и да приложат подходящи действия за намаляване на риска.

За целите на буква г), когато е подходящо и в сътрудничество с трета страна доставчик на услуги в областта на ИКТ, финансовите субекти наблюдават версията и възможните актуализации на библиотеките на трети страни. Когато се използват готови за употреба (стандартизирани) активи на ИКТ или компоненти на активи на ИКТ, придобити и използвани при осъществяването на услуги в областта на ИКТ, които не поддържат критични или важни функции, финансовите субекти проследяват доколкото е възможно използването на библиотеки на трети страни, включително библиотеки с отворен код.

За целите на буква е) финансовите субекти вземат предвид критичната значимост на уязвимото място, установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и рисковия профил на активите на ИКТ, засегнати от установените уязвими места.

1. Преглед

,

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти
NOREA Resource Management
Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).
NOREA Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.
NOREA Patch Management
Identify and evaluate available ICT assets (e.g., software and hardware) patches and updates using automated tools, to the extent possible. Deploy patches to address identified vulnerabilities. Prioritize the deployment of patches and other mitigation measures based on the criticality of the vulnerability and the classification and risk profile of the affected assets. Establish emergency procedures for patching and updating ICT assets. Test and deploy ICT asset patches and updates. Set due dates for the installation of ICT asset patches and updates, and establish escalation procedures in case the due dates cannot be met. In cases where no patches can be applied or are available, identify and implement alternative mitigation measures within the set due dates.