+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 7 Systémy, protokoly a nástroje IKT

Za účelem řešení a řízení rizika v oblasti IKT finanční subjekty používají a udržují aktualizované systémy, protokoly a nástroje IKT, které jsou:
EULAW Článek 8 1

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty identifikují, klasifikují a náležitě zdokumentují veškeré obchodní funkce, úlohy a povinnosti podporované IKT, informační aktiva a aktiva v oblasti IKT podporující tyto funkce a jejich úlohy a závislosti ve vztahu k rizikům v oblasti IKT. Finanční subjekty podle potřeby a alespoň jednou ročně přezkoumají přiměřenost této klasifikace a veškeré příslušné dokumentace.
EULAW Článek 8 5

5.   Finanční subjekty identifikují a dokumentují veškeré procesy závislé na poskytovatelích služeb IKT z řad třetích stran a identifikují vzájemná propojení s poskytovateli služeb IKT z řad třetích stran, kteří poskytují služby podporující zásadní nebo důležité funkce.
EULAW Článek 8 6

6.   Pro účely odstavců 1, 4 a 5 vedou finanční subjekty příslušné soupisy a pravidelně je aktualizují pokaždé, když dojde k jakékoli velké změně podle odstavce 3.
EULAW Článek 4 1.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou politiku správy aktiv v oblasti IKT.
EULAW Článek 4 2.

Politika správy aktiv v oblasti IKT uvedená v odstavci 1:

a) 

stanoví sledování a řízení životního cyklu aktiv v oblasti IKT identifikovaných a klasifikovaných v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554;

b) 

stanoví, aby finanční subjekt vedl záznamy o všech následujících skutečnostech:

i) 

jedinečný identifikátor každého aktiva v oblasti IKT;

ii) 

informace o fyzickém nebo logickém umístění všech aktiv v oblasti IKT;

iii) 

klasifikace všech aktiv v oblasti IKT ve smyslu čl. 8 odst. 1 nařízení (EU) 2022/2254;

iv) 

totožnost vlastníků aktiv v oblasti IKT;

v) 

obchodní funkce nebo služby podporované daným aktivem v oblasti IKT;

vi) 

požadavky na zachování provozu IKT, včetně cílů, pokud jde o dobu obnovy a bod dosažení obnovy;

vii) 

zda aktivum v oblasti IKT může být nebo je vystaveno vnějším sítím, včetně internetu;

viii) 

vazby a vzájemné závislosti mezi aktivy v oblasti IKT a obchodními funkcemi využívajícími jednotlivá aktiva v oblasti IKT;

ix) 

v příslušných případech pro všechna aktiva v oblasti IKT data ukončení poskytování pravidelných, rozšířených a přizpůsobených služeb podpory poskytovaných poskytovatelem služeb IKT z řad třetích stran, po jejichž uplynutí již tato aktiva v oblasti IKT nejsou jejich dodavatelem nebo poskytovatelem služeb IKT z řad třetích stran podporována;

c) 

pro finanční subjekty jiné než mikropodniky stanoví, aby tyto finanční subjekty vedly záznamy o informacích nezbytných k provedení zvláštního posouzení rizik v oblasti IKT u všech původních systémů IKT ve smyslu čl. 8 odst. 7 nařízení (EU) 2022/2554.
EULAW Článek 5 1.
Finanční subjekty vypracují, zdokumentují a zavedou postup pro správu aktiv v oblasti IKT.
EULAW Článek 5 2.

Postup pro správu aktiv v oblasti IKT uvedený v odstavci 1 stanoví kritéria pro provedení posouzení kritičnosti informačních aktiv a aktiv v oblasti IKT podporujících obchodní funkce. Při tomto posouzení se zohlední:

a) 

rizika v oblasti IKT související s těmito obchodními funkcemi a jejich závislost na informačních aktivech nebo aktivech v oblasti IKT;

b) 

to, jak by ztráta důvěrnosti, integrity a dostupnosti těchto informačních aktiv a aktiv v oblasti IKT ovlivnila obchodní procesy a činnosti finančních subjektů.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.