Critical and Important Functions

1.   Finanční subjekty mají spolehlivý, ucelený a dobře zdokumentovaný rámec pro řízení rizika v oblasti IKT jako součást svého celkového systému řízení rizika, který jim umožňuje řešit toto riziko rychle, účinně a komplexně a zajistit vysokou míru digitální provozní odolnosti.

2.   Rámec pro řízení rizika v oblasti IKT obsahuje přinejmenším strategie, politiky, postupy, protokoly a nástroje IKT, jež jsou nezbytné pro řádnou a přiměřenou ochranu všech informačních aktiv a aktiv v oblasti IKT, včetně počítačového softwaru, hardwaru, serverů a rovněž všech relevantních fyzických součástí a infrastruktur, jako jsou místnosti, datová centra a citlivé určené prostory, aby byla zajištěna vhodná ochrana všech informačních aktiv a aktiv v oblasti IKT před riziky, včetně poškození a neoprávněného přístupu nebo použití.

3.   Finanční subjekty v souladu se svým rámcem pro řízení rizika v oblasti IKT minimalizují dopad rizika v oblasti IKT zaváděním vhodných strategií, politik, postupů, protokolů a nástrojů. Poskytují úplné a aktualizované informace o riziku v oblasti IKT a o svém rámci pro řízení rizika v oblasti IKT na žádost příslušných orgánů.

4.   Finanční subjekty, jiné než mikropodniky, pověří odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistí odpovídající úroveň nezávislosti této kontrolní funkce, aby nedocházelo ke střetům zájmů. Finanční subjekty zajistí náležité oddělení a nezávislost vedoucích funkcí, kontrolních funkcí a interních auditních funkcí v oblasti rizika IKT podle modelu tří linií obrany nebo interního modelu řízení a kontroly rizika.

5.   Rámec pro řízení rizika v oblasti IKT se zdokumentuje a reviduje alespoň jednou ročně nebo pravidelně v případě mikropodniků a rovněž po výskytu závažného incidentu souvisejícího s IKT a na základě pokynů dohledu nebo závěrů vyvozených na základě příslušných testů či auditů digitální provozní odolnosti. Je průběžně zdokonalován na základě zkušeností z jeho provádění a sledování. Zpráva o přezkumu rámce pro řízení rizika v oblasti IKT se na žádost předkládá příslušnému orgánu.

7.   Na základě závěrů z interního auditu zavedou finanční subjekty formální následný postup, včetně pravidel pro včasné ověření a nápravu kritických zjištění auditu IKT.

9.   Finanční subjekty mohou v kontextu strategie digitální provozní odolnosti uvedené v odstavci 8 definovat ucelenou strategii více dodavatelů IKT, a to na úrovni skupiny nebo subjektu, v níž budou uvedeny klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran a vysvětleny důvody kombinovaného využívání poskytovatelů služeb IKT z řad třetích stran.

10.   Finanční subjekty mohou v souladu s unijními a vnitrostátními odvětvovými právními předpisy externě zadat úkoly ověřování souladu s požadavky na řízení rizika v oblasti IKT podnikům uvnitř skupiny nebo externím podnikům. V případě takového externího zadání nese za ověřování souladu s požadavky na řízení rizika v oblasti IKT i nadále plnou odpovědnost finanční subjekt.

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty identifikují, klasifikují a náležitě zdokumentují veškeré obchodní funkce, úlohy a povinnosti podporované IKT, informační aktiva a aktiva v oblasti IKT podporující tyto funkce a jejich úlohy a závislosti ve vztahu k rizikům v oblasti IKT. Finanční subjekty podle potřeby a alespoň jednou ročně přezkoumají přiměřenost této klasifikace a veškeré příslušné dokumentace.

1.   Pro účely odpovídající ochrany systémů IKT a s ohledem na organizaci opatření reakce finanční subjekty nepřetržitě sledují a kontrolují bezpečnost a fungování systémů a nástrojů IKT a minimalizují dopad rizika v oblasti IKT na systémy IKT prostřednictvím zavedení vhodných nástrojů, politik a postupů v oblasti bezpečnosti IKT.

4.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty:

Pro účely prvního pododstavce písm. b) finanční subjekty navrhnou infrastrukturu připojení k síti umožňující jeho okamžité přerušení nebo segmentaci s cílem minimalizovat šíření krize a zabránit jejímu vzniku, zejména u vzájemně propojených finančních procesů.

Pro účely prvního pododstavce písm. e) jsou postupy řízení změn v oblasti IKT schvalovány příslušnými liniemi vedení a platí pro ně specifické protokoly.

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 a na základě požadavků na identifikaci uvedených v článku 8 finanční subjekty zavedou ucelenou politiku zachování provozu IKT, která může být přijata jako specifická politika tvořící nedílnou součást celkové politiky zachování provozu finančního subjektu.

3.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty uplatňují související plány reakce a obnovy v oblasti IKT, které u finančních subjektů, jiných než mikropodniky, podléhají nezávislému internímu auditu.

6.   V rámci svého komplexního řízení rizika v oblasti IKT finanční subjekty:

Pro účely prvního pododstavce písm. a) finanční subjekty, jiné než mikropodniky, zahrnou do plánů testování scénáře kybernetických útoků a přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení nutná ke splnění povinností stanovených v článku 12.

Finanční subjekty pravidelně přezkoumávají svoji politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT, přičemž zohlední výsledky testů provedených v souladu s prvním pododstavcem a doporučeními vyplývajícími z auditních kontrol nebo přezkumů provedených orgány dohledu.

1.   Pro účely zajištění obnovy systémů IKT a dat s minimální odstávkou, omezenými výpadky fungování a ztrátami finanční subjekty jako součást svého rámce pro řízení rizika v oblasti IKT vypracují a zdokumentují:

2.   Finanční subjekty zřídí záložní systémy, které lze aktivovat v souladu s politikami a postupy zálohování, jakož i postupy a metodami obnovy provozu. Aktivace záložních systémů nesmí ohrozit bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů. Pravidelně se provádí testování postupů zálohování a postupů a metod obnovy.

3.   Při obnově zálohových dat pomocí vlastních systémů finanční subjekty použijí systémy IKT, které jsou fyzicky a logicky odděleny od zdrojového systému IKT. Systémy IKT jsou bezpečně chráněny před jakýmkoli neoprávněným přístupem nebo poškozením IKT a podle potřeby umožňují včasnou obnovu služeb s využitím datových a systémových záloh.

V případě ústředních protistran plány obnovy umožňují obnovit všechny obchody k okamžiku přerušení, aby ústřední protistrana mohla nadále s jistotou fungovat a dokončit vypořádání ve stanovený den.

Poskytovatelé služeb hlášení údajů navíc udržují přiměřené zdroje a mají k dispozici záložní zařízení a zařízení k obnově provozu, aby mohly kdykoli nabízet a udržovat své služby.

3.   Poučení vyvozená z testování digitální provozní odolnosti provedeného v souladu s články 26 a 27 a ze skutečných incidentů souvisejících s IKT, zejména kybernetických útoků, a dále z problémů v souvislosti s aktivací plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT a relevantních informací vyměňovaných s protistranami a vyhodnocovaných během přezkumů orgány dohledu se náležitě a průběžně začleňují do postupu posuzování rizika v oblasti IKT. Tato zjištění tvoří základ pro odpovídající přezkumy příslušných složek rámce pro řízení rizik v oblasti IKT uvedeného v čl. 6 odst. 1.

5.   Vedoucí pracovníci odpovídající za IKT minimálně jednou ročně hlásí vedoucímu orgánu zjištění podle odstavce 3 a předloží doporučení.

7.   Finanční subjekty, jiné než mikropodniky, průběžně sledují relevantní technologický vývoj, mimo jiné s cílem pochopit možný dopad zavádění nových technologií na požadavky na bezpečnost IKT a digitální provozní odolnost. Drží krok s nejnovějšími postupy řízení rizika v oblasti IKT, aby účinně bojovaly se stávajícími či novými formami kybernetických útoků.

2.   Jako součást rámce pro řízení rizika v oblasti IKT finanční subjekty uplatňují komunikační strategie pro interní zaměstnance a externí zainteresované strany. Komunikační politiky pro zaměstnance zohledňují nutnost rozlišovat mezi pracovníky podílejícími se na řízení rizika v oblasti IKT, zejména pracovníky odpovědnými za reakci a obnovu, a pracovníky, které je nutné informovat.

1.   Pro účely posuzování připravenosti na řešení incidentů souvisejících s IKT, identifikace slabých míst, vad a nedostatků v digitální provozní odolnosti a rychlého zavedení nápravných opatření finanční subjekty jiné než mikropodniky při zohlednění kritérií vymezených v čl. 4 odst. 2 vytvoří, udržují a aktualizují spolehlivý a ucelený program testování digitální provozní odolnosti jakožto nedílnou součást rámce pro řízení rizika v oblasti IKT uvedeného v článku 6.

2.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, přijmou a pravidelně přezkoumávají strategii pro riziko v oblasti IKT spojené s třetími stranami, přičemž případně zohlední strategii více dodavatelů uvedenou v čl. 6 odst. 9. Strategie pro riziko v oblasti IKT spojené s třetími stranami obsahuje zásady využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran a uplatňuje se na individuálním a případně subkonsolidovaném či konsolidovaném základě. Vedoucí orgán na základě posouzení celkového rizikového profilu finančního subjektu a rozsahu a složitosti obchodních služeb pravidelně přezkoumává rizika identifikovaná v souvislosti se smluvními ujednáními o využívání služeb IKT podporujících zásadní nebo důležité funkce.

3.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty na úrovni subjektu a na subkonsolidované a konsolidované úrovni vedou a aktualizují registr informací s ohledem na všechna smluvní ujednání o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran.

Smluvní ujednání uvedená v prvním pododstavci se řádně zdokumentují, přičemž se rozlišuje mezi těmi, která se týkají služeb IKT podporujících zásadní nebo důležité funkce a těmi, která se jich netýkají.

Finanční subjekty alespoň jednou ročně nahlásí příslušným orgánům počet nových ujednání o využívání služeb IKT, kategorie poskytovatelů služeb IKT z řad třetích stran, druh smluvních ujednání a poskytované služby a funkce IKT.

Finanční subjekt zpřístupní příslušnému orgánu na jeho žádost úplný registr informací, nebo jeho konkrétní části, dle příslušného požadavku, a rovněž jakékoli informace považované za nezbytné k účinnému dohledu nad finančním subjektem.

Finanční subjekty včas informují příslušný orgán o jakémkoli plánovaném smluvním ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce, jakož i v případě, že se některá funkce stane zásadní nebo důležitou.