+Článek 33 Úkoly hlavního orgánu dohledu
---+Článek 33 1
---+Článek 33 2
---+Článek 33 3
---+Článek 33 4
---+Článek 33 5

Článek 33 Úkoly hlavního orgánu dohledu

-

1. Přehled

,
Článek 33 1

1.   Hlavní orgán dohledu jmenovaný v souladu s čl. 31 odst. 1 písm. b) vykonává dohled nad přidělenými kritickými poskytovateli služeb IKT z řad třetích stran a je pro účely všech záležitostí souvisejících s dohledem hlavním kontaktním místem pro tyto kritické poskytovatele služeb IKT z řad třetích stran.
Článek 33 2

2.   Pro účely odstavce 1 hlavní orgán dohledu posoudí, zda jednotliví kritičtí poskytovatelé služeb IKT z řad třetích stran zavedli komplexní, jasná a účinná pravidla, postupy, mechanismy a ujednání pro řízení rizika v oblasti IKT, které mohou představovat pro finanční subjekty.

Posouzení uvedené v prvním pododstavci se zaměří především na služby IKT poskytované kritickým poskytovatelem služeb IKT z řad třetích stran, které podporují zásadní nebo důležité funkce finančních subjektů. Je-li to nezbytné pro řešení všech relevantních rizik, toto posouzení se rozšíří na služby IKT podporující jiné než zásadní nebo důležité funkce.
Článek 33 3

3.   Posouzení uvedené v odstavci 2 se vztahuje na:

a)

požadavky v oblasti IKT k zajištění zejména bezpečnosti, dostupnosti, kontinuity, škálovatelnosti a kvality služeb, které kritický poskytovatel služeb IKT z řad třetích stran dodává finančním subjektům, jakož i schopnost nepřetržitě dodržovat vysoké standardy pro dostupnost, hodnověrnost, integritu a důvěrnost, údajů;

b)

fyzické zabezpečení přispívající k zajištění bezpečnosti v oblasti IKT, včetně zabezpečení prostor, zařízení a datových center;

c)

procesy řízení rizika, včetně politik pro řízení rizika v oblasti IKT, politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT;

d)

systém správy a řízení, včetně organizační struktury s jasným, transparentním a konzistentním rozdělením odpovědnosti a pravidly odpovědnosti umožňující účinné řízení rizika v oblasti IKT;

e)

identifikaci, sledování a rychlé hlášení významných incidentů souvisejících s IKT finančním subjektům a řízení a řešení těchto incidentů, zejména kybernetických útoků;

f)

mechanismus pro přenositelnost dat a přenositelnost a interoperabilitu aplikací, který zajistí účinný výkon práv finančních subjektů na vypovězení smlouvy;

g)

testování systémů, infrastruktury a kontrol v oblasti IKT;

h)

audity v oblasti IKT;

i)

použití příslušných vnitrostátních a mezinárodních norem vztahujících se na poskytování služeb IKT daného kritického poskytovatele služeb IKT z řad třetích stran finančním subjektům.
Článek 33 4

4.   Na základě posouzení uvedeného v odstavci 2 a v koordinaci se společnou sítí dohledu uvedenou v čl. 34 odst. 1 přijme hlavní orgán dohledu jasný, podrobný a odůvodněný individuální plán dohledu popisující roční cíle v oblasti dohledu a hlavní opatření v oblasti dohledu plánovaná pro každého kritického poskytovatele služeb IKT z řad třetích stran. Tento plán je každoročně předkládán kritickému poskytovateli služeb IKT z řad třetích stran.

Před přijetím plánu dohledu hlavní orgán dohledu předloží jeho návrh kritickému poskytovateli služeb IKT z řad třetích stran.

Po obdržení návrhu plánu dohledu může kritický poskytovatel služeb IKT z řad třetích stran do 15 kalendářních dnů předložit odůvodněné prohlášení dokládající očekávaný dopad na zákazníky, kteří jsou subjekty mimo oblast působnosti tohoto nařízení, a případně formulovat řešení ke zmírnění rizik.
Článek 33 5

5.   Po přijetí ročních plánů dohledu uvedených v odstavci 4 a jejich oznámení kritickým poskytovatelům služeb IKT z řad třetích stran mohou příslušné orgány přijímat opatření týkající se takových kritických poskytovatelů služeb IKT z řad třetích stran pouze po dohodě s hlavním orgánem dohledu.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy