+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 11 1

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 a na základě požadavků na identifikaci uvedených v článku 8 finanční subjekty zavedou ucelenou politiku zachování provozu IKT, která může být přijata jako specifická politika tvořící nedílnou součást celkové politiky zachování provozu finančního subjektu.
EULAW Článek 11 6

6.   V rámci svého komplexního řízení rizika v oblasti IKT finanční subjekty:

a)

alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce;

b)

testují plány krizové komunikace zavedené podle článku 14.

Pro účely prvního pododstavce písm. a) finanční subjekty, jiné než mikropodniky, zahrnou do plánů testování scénáře kybernetických útoků a přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení nutná ke splnění povinností stanovených v článku 12.

Finanční subjekty pravidelně přezkoumávají svoji politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT, přičemž zohlední výsledky testů provedených v souladu s prvním pododstavcem a doporučeními vyplývajícími z auditních kontrol nebo přezkumů provedených orgány dohledu.
EULAW Článek 11 2

2.   Finanční subjekty uplatňují politiku zachování provozu IKT prostřednictvím specializovaných, vhodných a zdokumentovaných úprav, plánů, postupů a mechanismů zaměřených na:

a)

zajištění kontinuity zásadních nebo důležitých funkcí finančního subjektu;

b)

rychlou, vhodnou a účinnou reakci na všechny incidenty související s IKT a jejich vyřešení, a to tak, aby byly omezeny škody a byla prioritně obnovena činnost a aktivována opatření na obnovu;

c)

neprodlenou aktivaci specializovaných plánů uvádějících do chodu izolační opatření, procesy a technologie odpovídající různým typům incidentů souvisejících s IKT a zamezující dalším škodám, jakož i přizpůsobené postupy reakce a obnovy v souladu s článkem 12;

d)

odhad předběžných dopadů, škod a ztrát;

e)

zavedení opatření v oblasti komunikace a krizového řízení, která zajistí předání aktualizovaných informací všem příslušným interním zaměstnancům a externím zainteresovaným stranám podle článku 14 a jejich oznámení příslušným orgánům v souladu s článkem 19.
EULAW Článek 11 4

4.   Finanční subjekty zavedou, udržují a pravidelně testují odpovídající plány zachování provozu IKT, zejména s ohledem na zásadní nebo důležité funkce zajišťované externě nebo nasmlouvané prostřednictvím ujednání s poskytovateli služeb IKT z řad třetích stran.
EULAW Článek 11 5

5.   V rámci celkové politiky zachování provozu provádějí finanční subjekty analýzu dopadu na činnost, pokud jde o jejich expozice vůči závažným narušením činnosti. V rámci analýzy dopadu na činnost finanční subjekty posoudí potenciální dopad závažných narušení činnosti pomocí kvantitativních a kvalitativních kritérií, případně s využitím interních a externích dat a analýzy scénářů. Analýza dopadu na činnost zohlední, jak zásadní jsou určené a zmapované obchodní funkce, podpůrné procesy, závislosti na třetích stranách a informační aktiva a jejich vzájemné závislosti. Finanční subjekty zajistí, aby aktiva v oblasti IKT a služby IKT byly navrhovány a využívány v plném souladu s analýzou dopadu na činnost, zejména s ohledem na odpovídající zajištění redundance všech zásadních složek.
EULAW Článek 11 7

7.   Finanční subjekty, jiné než mikropodniky, zavedou funkci řízení krizí, jež v případě aktivace jejich plánů zachování provozu IKT nebo plánů reakce a obnovy v oblasti IKT stanoví mimo jiné jednoznačné postupy pro řízení interní a externí krizové komunikace podle článku 14.
EULAW Článek 11 8

8.   Finanční subjekty vedou snadno dostupné záznamy činnosti před výpadky a během výpadků po aktivaci plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT.
EULAW Článek 11 9

9.   Centrální depozitáři cenných papírů poskytnou příslušným orgánům kopie výsledků testů zachování provozu IKT nebo podobných cvičení.
EULAW Článek 11 10

10.   Finanční subjekty, jiné než mikropodniky, oznamují příslušným orgánům na jejich žádost odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT.
EULAW Článek 14 1

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty zavedou krizové komunikační plány umožňující odpovědné informování klientů, protistran a případně veřejnosti alespoň o závažných incidentech souvisejících s IKT nebo zranitelnostech.
EULAW Článek 24 1.

Finanční subjekty zahrnou do své politiky zachování provozu IKT uvedené v čl. 11 odst. 1 nařízení (EU) 2022/2554 všechny následující prvky:

a) 

popis:

i) 

cílů politiky zachování provozu IKT, včetně vzájemného vztahu mezi zachováním provozu IKT a celkovým zachováním provozu, a to s ohledem na výsledky analýzy dopadu na činnost uvedené v čl. 11 odst. 5 nařízení (EU) 2022/2554;

ii) 

rozsahu opatření, plánů, postupů a mechanismů pro zajištění zachování provozu IKT, včetně omezení a výjimek;

iii) 

časového rámce, na který se mají opatření, plány, postupy a mechanismy pro zajištění zachování provozu IKT vztahovat;

iv) 

kritérií pro aktivaci a deaktivaci plánů zachování provozu IKT, plánů reakce a obnovy v oblasti IKT a plánů krizové komunikace;

b) 

ustanovení týkající se:

i) 

řízení a organizace provádění politiky zachování provozu IKT, včetně úloh, povinností a postupů eskalace, které zajistí, že budou k dispozici dostatečné zdroje;

ii) 

souladu mezi plány zachování provozu IKT a plány celkového zachování provozu s ohledem přinejmenším na všechny následující prvky:

1) 

možné scénáře selhání, včetně scénářů uvedených v čl. 26 odst. 2 tohoto nařízení,

2) 

cíle obnovy, které stanoví, že finanční subjekt musí být po narušení schopen obnovit provoz svých zásadních nebo důležitých funkcí v rámci cílové doby a okamžiku obnovy;

iii) 

vypracování plánů zachování provozu IKT pro případy vážného narušení provozu a stanovení priorit opatření pro zachování provozu IKT s využitím přístupu založeného na posouzení rizik;

iv) 

vypracování, testování a přezkoumání plánů reakce a obnovy v oblasti IKT v souladu s články 25 a 26 tohoto nařízení;

v) 

přezkumu účinnosti zavedených opatření, plánů, postupů a mechanismů pro zachování provozu IKT v souladu s článkem 26 tohoto nařízení;

vi) 

uvedení politiky zachování provozu IKT do souladu s:

1) 

komunikační politikou podle čl. 14 odst. 2 nařízení (EU) 2022/2554,

2) 

opatřeními v oblasti komunikace a krizové komunikace uvedenými v čl. 11 odst. 2 písm. e) nařízení (EU) 2022/2554.
EULAW Článek 24 2.

Kromě požadavků uvedených v odstavci 1 ústřední protistrany zajistí, aby jejich politika zachování provozu IKT:

a) 

obsahovala maximální dobu obnovy jejich zásadních funkcí, která není delší než dvě hodiny;

b) 

zohledňovala vnější vazby a vzájemné závislosti v rámci finančních infrastruktur, včetně obchodních systémů, jejichž clearing provádí ústřední protistrana, systémů vypořádání obchodů s cennými papíry a platebních systémů a úvěrových institucí využívaných ústřední protistranou nebo propojenou ústřední protistranou;

c) 

vyžadovala, aby byla zavedena opatření:

i) 

k zajištění zachování zásadních nebo důležitých funkcí ústřední protistrany na základě scénářů havárií;

ii) 

k udržování sekundárního místa zpracování, které je schopno zajistit zachování stejných zásadních nebo důležitých funkcí ústřední protistrany, jaké zajišťuje primární místo;

iii) 

k udržování sekundárního obchodního místa nebo zajištění okamžitého přístupu k němu, aby zaměstnanci mohli zajistit zachování služby v případě, že primární obchodní místo nebude k dispozici;

iv) 

ke zvážení, zda jsou zapotřebí další místa zpracování, zejména pokud různorodost rizikových profilů primárního a sekundárního místa neposkytuje dostatečnou jistotu, že cíle zachování provozu ústřední protistrany budou splněny ve všech scénářích.

Pro účely písmene a) dokončí ústřední protistrany postupy a platby ke konci dne v požadovaném čase a v požadovaný den za všech okolností.

Pro účely písmene c) bodu i) se opatření uvedená v tomto písmenu týkají dostupnosti odpovídajících lidských zdrojů, maximální doby výpadku zásadních funkcí a převzetí a obnovy na sekundárním místě.

Pro účely písmene c) bodu ii) musí mít sekundární místo zpracování uvedené v tomto písmenu profil rizika souvisejícího se zeměpisnou polohou odlišný od profilu primárního místa.
EULAW Článek 24 3.

Kromě požadavků uvedených v odstavci 1 centrální depozitáře cenných papírů zajistí, aby jejich politika zachování provozu IKT:

a) 

zohledňovala veškeré vazby a vzájemné závislosti s uživateli, poskytovateli kritické technické infrastruktury a kritických služeb, jinými centrálními depozitáři cenných papírů a dalšími tržními infrastrukturami;

b) 

vyžadovala, aby její opatření pro zachování provozu IKT zajistila, že cílová doba obnovy jejich zásadních nebo důležitých funkcí nebude delší než dvě hodiny.
EULAW Článek 24 4.

Kromě požadavků uvedených v odstavci 1 obchodní systémy zajistí, aby jejich politika zachování provozu IKT zajišťovala, že:

a) 

obchodování může být obnoveno přibližně do dvou hodin od rušivého incidentu;

b) 

maximální množství údajů, které může být ztraceno z jakékoli IT služby obchodního systému po rušivém incidentu, se blíží nule.
EULAW Článek 25 1.
Při testování plánů zachování provozu IKT v souladu s čl. 11 odst. 6 nařízení (EU) 2022/2554 finanční subjekty zohlední analýzu dopadu na činnost finančního subjektu a posouzení rizik v oblasti IKT uvedené v čl. 3 odst. 1 písm. b) tohoto nařízení.
EULAW Článek 25 2.

Finanční subjekty prostřednictvím testování svých plánů zachování provozu IKT uvedeného v odstavci 1 posoudí, zda jsou schopny zajistit zachování svých zásadních nebo důležitých funkcí. Toto testování:

a) 

je prováděno na základě testovacích scénářů, které simulují potenciální narušení, včetně odpovídajícího souboru závažných, ale pravděpodobných scénářů;

b) 

v příslušných případech zahrnuje testování služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran;

c) 

v případě finančních subjektů jiných než mikropodniky, jak je uvedeno v čl. 11 odst. 6 druhém pododstavci nařízení (EU) 2022/2554, zahrnuje scénáře přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení;

d) 

je navrženo tak, aby zpochybňovalo předpoklady, na nichž jsou založeny plány zachování provozu, včetně systému správy a řízení a plánů krizové komunikace;

e) 

obsahuje postupy pro ověření schopnosti zaměstnanců finančních subjektů, poskytovatelů služeb IKT z řad třetích stran, systémů IKT a služeb IKT adekvátně reagovat na scénáře, jež jsou řádně zohledněny v souladu s čl. 26 odst. 2.

Pro účely písmene a) musí finanční subjekty do testování vždy zahrnout scénáře zvažované pro vypracování plánů zachování provozu.

Pro účely písmene b) finanční subjekty důkladně zváží scénáře spojené s platební neschopností nebo selháním poskytovatelů služeb IKT z řad třetích stran nebo případně s politickými riziky v jurisdikcích poskytovatelů služeb IKT z řad třetích stran.

Pro účely písmene c) se testováním ověří, zda lze po dostatečně dlouhou dobu řádně vykonávat alespoň zásadní nebo důležité funkce a zda lze obnovit jejich běžný režim.
EULAW Článek 25 3.

Nad rámec požadavků uvedených v odstavci 2 zapojí ústřední protistrany do testování svých plánů zachování provozu IKT uvedeného v odstavci 1:

a) 

členy clearingového systému;

b) 

externí poskytovatele;

c) 

příslušné instituce ve finanční infrastruktuře, s nimiž ústřední protistrany ve svých politikách zachování provozu identifikovaly vzájemné závislosti.
EULAW Článek 25 4.

Kromě požadavků uvedených v odstavci 2 centrální depozitáře cenných papírů zapojí do testování svých plánů zachování provozu IKT uvedeného v odstavci 1 ve vhodných případech:

a) 

uživatele centrálních depozitářů cenných papírů;

b) 

poskytovatele kritické technické infrastruktury a kritických služeb;

c) 

jiné centrální depozitáře cenných papírů;

d) 

jiné tržní infrastruktury;

e) 

všechny ostatní instituce, s nimiž centrální depozitáře cenných papírů ve své politice zachování provozu identifikovaly vzájemné závislosti.
EULAW Článek 25 5.
Výsledky testování uvedeného v odstavci 1 finanční subjekty zdokumentují. Veškeré zjištěné nedostatky vyplývající z tohoto testování se analyzují, řeší a oznamují vedoucímu orgánu.
EULAW Článek 26 1.

Při vypracovávání plánů reakce a obnovy v oblasti IKT uvedených v čl. 11 odst. 3 nařízení (EU) 2022/2554 finanční subjekty zohlední výsledky analýzy dopadu na činnost finančního subjektu. Tyto plány reakce a obnovy v oblasti IKT:

a) 

specifikují podmínky, které vedou k jejich aktivaci nebo deaktivaci, a případné výjimky z této aktivace nebo deaktivace;

b) 

popisují, jaká opatření mají být přijata k zajištění dostupnosti, integrity, kontinuity a obnovy alespoň u systémů a služeb IKT, které podporují zásadní nebo důležité funkce finančního subjektu;

c) 

jsou navrženy tak, aby splňovaly cíle pro obnovu operací finančních subjektů;

d) 

jsou zdokumentovány a zpřístupněny zaměstnancům zapojeným do provádění plánů reakce a obnovy v oblasti IKT a jsou v případě nouze snadno dostupné;

e) 

poskytují krátkodobé i dlouhodobé možnosti obnovy, včetně částečné obnovy systémů;

f) 

stanoví cíle plánů reakce a obnovy v oblasti IKT a podmínky pro to, aby mohlo být konstatováno úspěšné provedení těchto plánů.

Pro účely písmene d) finanční subjekty jasně určí úlohy a povinnosti.
EULAW Článek 26 2.

V plánech reakce a obnovy v oblasti IKT uvedených v odstavci 1 se určí příslušné scénáře, včetně scénářů závažných narušení činnosti a zvýšené pravděpodobnosti výskytu narušení. V těchto plánech jsou vypracovány scénáře založené na aktuálních informacích o hrozbách a na zkušenostech z předchozích případů narušení činnosti. Finanční subjekty řádně zohlední všechny následující scénáře:

a) 

kybernetické útoky a přechod z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení;

b) 

scénáře, při nichž se kvalita poskytování zásadní nebo důležité funkce sníží na nepřijatelnou úroveň nebo selže úplně, a potenciální dopad platební neschopnosti nebo jiných selhání jakéhokoli příslušného poskytovatele služeb IKT z řad třetích stran;

c) 

částečné nebo úplné selhání prostor, včetně kancelářských a obchodních prostor a datových center;

d) 

závažné selhání aktiv v oblasti IKT nebo komunikační infrastruktury;

e) 

nedostupnost kritického počtu zaměstnanců nebo zaměstnanců odpovědných za zajištění zachování provozu;

f) 

dopad změny klimatu a událostí souvisejících se zhoršováním životního prostředí, přírodních katastrof, pandemií a fyzických útoků, včetně vniknutí a teroristických útoků;

g) 

útoky zevnitř;

h) 

politická a sociální nestabilita, a to i případně v jurisdikci poskytovatele služeb IKT z řad třetích stran a v místě, kde jsou uloženy a zpracovávány údaje;

i) 

rozsáhlé výpadky proudu.
EULAW Článek 26 3.
Pokud primární opatření pro obnovu nebudou v krátkodobém horizontu proveditelná z důvodu nákladů, rizik, logistiky nebo nepředvídaných okolností, zváží se v plánech reakce a obnovy v oblasti IKT uvedených v odstavci 1 alternativní možnosti.
EULAW Článek 26 4.
V rámci plánů reakce a obnovy v oblasti IKT uvedených v odstavci 1 finanční subjekty zváží a zavedou opatření pro zajištění kontinuity s cílem zmírnit selhání poskytovatelů služeb IKT z řad třetích stran, kteří poskytují služby IKT podporující zásadní nebo důležité funkce finančního subjektu.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.