+Emergency Change Management

Emergency Change Management

Define procedures for documenting, reevaluating, assessing, and approving the implementation of emergency changes, including workarounds and patches.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 8 1.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení operací IKT. Tyto politiky a postupy stanoví, jak finanční subjekty provozují, monitorují, kontrolují a obnovují svá aktiva v oblasti IKT, včetně dokumentace operací IKT.
EULAW Článek 8 2.

Politiky a postupy pro operace IKT uvedené v odstavci 1 obsahují všechny tyto prvky:

a) 

popis aktiv v oblasti IKT, včetně všech následujících údajů:

i) 

požadavky na bezpečnou instalaci, údržbu, konfiguraci a deinstalaci systému IKT;

ii) 

požadavky týkající se správy informačních aktiv využívaných aktivy v oblasti IKT, včetně jejich zpracování a jejich používání, a to jak automatizovaného, tak manuálního;

iii) 

požadavky týkající se identifikace a kontroly původních systémů IKT;

b) 

kontroly a monitorování systémů IKT, včetně všech následujících položek:

i) 

požadavky na zálohování a obnovu systémů IKT;

ii) 

požadavky na časové plánování s ohledem na vzájemné závislosti mezi systémy IKT;

iii) 

protokoly pro auditní stopu a informace systémového protokolu;

iv) 

požadavky na zajištění toho, aby provádění interního auditu a dalších testů co nejméně narušovalo obchodní činnost;

v) 

požadavky na oddělení produkčních prostředí IKT od vývojových, testovacích a jiných neprodukčních prostředí;

vi) 

požadavky na provádění vývoje a testování v prostředích, která jsou oddělena od produkčního prostředí;

vii) 

požadavky na provádění vývoje a testování v produkčním prostředí;

c) 

řešení chyb systémů IKT, včetně všech následujících položek:

i) 

postupy a protokoly pro řešení chyb;

ii) 

kontakty pro účely podpory a eskalace, včetně kontaktů na externí podporu v případě neočekávaných provozních nebo technických problémů;

iii) 

postupy pro restartování, zpětné obnovení („rollback“) a obnovu systému IKT, které se použijí v případě narušení systému IKT.

Pro účely písm. b) bodu v) se oddělení týká všech složek prostředí, včetně účtů, dat nebo spojení, jak požaduje čl. 13 první podostavec písm. a).

Pro účely písmene b) bodu vii) musí politiky a postupy uvedené v odstavci 1 stanovit, že případy, kdy je testování prováděno v produkčním prostředí, jsou jasně stanoveny, odůvodněny, jsou časově omezené a jsou schváleny příslušnou funkcí v souladu s čl. 16 odst. 6. Během vývojových a testovacích činností v produkčním prostředí finanční subjekty zajistí dostupnost, důvěrnost, integritu a hodnověrnost systémů IKT a produkčních dat.
EULAW Článek 17 1.

V rámci ochranných opatření pro zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů finanční subjekty zahrnou do postupů řízení změn v oblasti IKT uvedených v čl. 9 odst. 4 písm. e) nařízení (EU) 2022/2554 v souvislosti se všemi změnami softwarových, hardwarových a firmwarových komponent, systémů nebo bezpečnostních parametrů všechny následující prvky:

a) 

ověření, zda byly splněny požadavky na bezpečnost IKT;

b) 

mechanismy zajišťující nezávislost funkcí, které schvalují změny, a funkcí, které jsou odpovědné za žádosti o tyto změny a jejich provádění;

c) 

jasný popis úloh a povinností, aby bylo zajištěno, že:

i) 

změny jsou upřesněny a plánovány;

ii) 

je navržen odpovídající přechod;

iii) 

změny jsou kontrolovaně testovány a dokončovány;

iv) 

je účinným způsobem zajištěna kvalita;

d) 

dokumentace a podrobné informování o změnách, včetně:

i) 

účelu a oblasti působnosti změny;

ii) 

lhůty pro provedení změny;

iii) 

očekávaných výsledků;

e) 

určení záložních postupů a odpovědnosti, včetně postupů a odpovědnosti za zrušení změn nebo obnovu po neúspěšně provedených změnách;

f) 

postupy, protokoly a nástroje pro řízení nouzových změn, které poskytují odpovídající záruky;

g) 

postupy pro dokumentování, přehodnocování, posuzování a schvalování nouzových změn po jejich zavedení, včetně náhradních řešení a oprav;

h) 

určení potenciálního dopadu změny na stávající bezpečnostní opatření v oblasti IKT a posouzení, zda taková změna vyžaduje přijetí dodatečných bezpečnostních opatření v oblasti IKT.
EULAW Článek 17 2.
Ústřední protistrany a centrální depozitáře cenných papírů podrobí po provedení významných změn ve svých systémech IKT své systémy IKT přísnému testování pomocí simulace zátěžových podmínek.

Ústřední protistrany podle potřeby zapojí do přípravy a provádění testování uvedeného v prvním pododstavci:

a) 

členy clearingového systému a klienty;

b) 

interoperabilní ústřední protistrany;

c) 

ostatní zúčastněné strany.

Centrální depozitáře cenných papírů podle potřeby zapojí do přípravy a provádění testování uvedeného v prvním pododstavci:

a) 

uživatele;

b) 

poskytovatele kritické technické infrastruktury a kritických služeb;

c) 

jiné centrální depozitáře cenných papírů;

d) 

jiné tržní infrastruktury;

e) 

všechny ostatní instituce, s nimiž centrální depozitáře cenných papírů ve své politice zachování provozu IKT identifikovaly vzájemné závislosti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.