|
+Článek 27 2. |
Článek 27 2.Finanční subjekty uvedou ve zprávě podle odstavce 1 všechny následující informace:
a)
úvodní část, která:
i)
jasně identifikuje finanční subjekt, jenž je předmětem zprávy, a v příslušných případech popisuje strukturu jeho skupiny;
ii)
popisuje kontext zprávy z hlediska povahy, rozsahu a složitosti služeb, činností a operací finančního subjektu, jeho organizace, určených zásadních funkcí, strategie, hlavních probíhajících projektů nebo činností, vztahů a jeho závislosti na interních a smluvních službách a systémech IKT nebo důsledků, které by měla úplná ztráta nebo závažné zhoršení těchto systémů z hlediska zásadních nebo důležitých funkcí a efektivity trhu;
iii)
shrnuje hlavní změny, k nimž došlo v rámci pro řízení rizika v oblasti IKT od předložení předchozí zprávy;
iv)
poskytuje shrnující přehled o současném a krátkodobém rizikovém profilu IKT, prostředí hrozeb, vyhodnocené účinnosti kontrolních mechanismů a o stavu zabezpečení finančního subjektu;
b)
datum schválení zprávy vedoucím orgánem finančního subjektu;
c)
popis důvodu přezkumu rámce pro řízení rizika v oblasti IKT v souladu s čl. 6 odst. 5 nařízení (EU) 2022/2554;
d)
datum počátku a konce období přezkumu;
e)
funkce, která je za přezkum odpovědná;
f)
popis hlavních změn a zlepšení rámce pro řízení rizika v oblasti IKT, k nimž došlo od předchozího přezkumu;
g)
shrnutí zjištění z přezkumu a podrobná analýza a posouzení závažnosti slabých míst, nedostatků a mezer v rámci pro řízení rizika v oblasti IKT zjištěných během období přezkumu;
h)
popis opatření k odstranění zjištěných slabých míst, nedostatků a mezer, zahrnující všechny tyto prvky:
i)
souhrn opatření přijatých k nápravě zjištěných slabých míst, nedostatků a mezer;
ii)
předpokládaný termín provedení opatření a termíny související s vnitřní kontrolou provádění, včetně informací o stavu provádění těchto opatření ke dni vypracování zprávy s případným vysvětlením, zda existuje riziko, že termíny nebudou dodrženy;
iii)
nástroje, které mají být použity, a určení funkce, jež bude odpovědná za provádění opatření, a informace o tom, zda se jedná o interní nebo externí nástroje a funkce;
iv)
popis dopadu změn plánovaných v těchto opatřeních na rozpočtové, lidské a materiální zdroje finančního subjektu, včetně zdrojů určených na provádění nápravných opatření;
v)
v příslušných případech informace o postupu informování příslušného orgánu;
vi)
v případě, že se na zjištěná slabá místa, nedostatky nebo mezery nevztahují nápravná opatření, podrobné vysvětlení kritérií použitých k analýze dopadu těchto slabých míst, nedostatků nebo mezer za účelem vyhodnocení souvisejícího zbytkového rizika v oblasti IKT a kritérií použitých k přijetí souvisejícího zbytkového rizika;
i)
informace o plánovaném dalším vývoji rámce pro řízení rizika v oblasti IKT;
j)
závěry vyplývající z přezkumu rámce pro řízení rizika v oblasti IKT;
k)
informace o předchozích přezkumech, včetně těchto informací:
i)
seznam předchozích přezkumů;
ii)
v relevantních případech stav provádění nápravných opatření stanovených v poslední zprávě;
iii)
v případě, že se nápravná opatření navržená v předchozích přezkumech ukázala jako neúčinná nebo způsobila neočekávané problémy, popis toho, jak by tato nápravná opatření mohla být zlepšena, nebo popis těchto neočekávaných problémů;
l)
zdroje informací použité při vypracování zprávy, včetně všech následujících údajů:
i)
u finančních subjektů jiných než mikropodniky podle čl. 6 odst. 6 nařízení (EU) 2022/2554 výsledky interních auditů;
ii)
výsledky posouzení dodržování předpisů;
iii)
výsledky testování digitální provozní odolnosti a případně výsledky pokročilého testování nástrojů, systémů a procesů IKT na základě penetračního testování na základě hrozeb;
iv)
externí zdroje. Pro účely písmene c), pokud byl přezkum zahájen na základě pokynů orgánů dohledu nebo závěrů vyvozených z příslušných procesů testování digitální provozní odolnosti nebo auditu, musí zpráva obsahovat výslovné odkazy na tyto pokyny nebo závěry, které umožní identifikovat důvod zahájení přezkumu. Pokud byl přezkum zahájen v návaznosti na incidenty související s IKT, obsahuje zpráva seznam všech incidentů souvisejících s IKT a analýzu hlavních příčin těchto incidentů. Pro účely písmene f) musí popis obsahovat analýzu dopadu změn na strategii digitální provozní odolnosti finančního subjektu, na jeho interní kontrolní rámec v oblasti IKT a na jeho pravidla řízení rizika v oblasti IKT. 1. Přehled
1.1 Odkazy1.2 Identifikované požadavky1.3 Související standardy2. Identifikované požadavky
3. Související standardy
|