+Resilience Training Programs

Resilience Training Programs

Implement security awareness and digital operational resilience training as integral components of staff training schemes and ensure training extends to all staff members, including senior management. Customize training intensity based on employee roles and functions. For the training content, cover topics such as network security, insights from prior incidents, threat intelligence, defenses against intrusions, data protection measures (e.g., encryption, cryptography). Conduct the resilience training program on an annual basis. Staff shall be informed on the ICT security policies, procedures and protocols and be made aware of the reporting channels put in place for detecting anomalous activities. Upon termination of employment, all staff are required to return all ICT assets and information assets.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 5 2

2.   Vedoucí orgán finančního subjektu stanoví a schvaluje veškerá opatření související s rámcem pro řízení rizika v oblasti IKT podle čl. 6 odst. 1, dohlíží na jejich provádění a odpovídá za něj.

Pro účely prvního pododstavce vedoucí orgán:

a)

nese konečnou odpovědnost za řízení rizika finančního subjektu v oblasti IKT;

b)

zavádí postupy a strategie, jejichž cílem je zajistit zachování přísných norem v oblasti dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů;

c)

stanoví jasné úlohy a povinnosti pro všechny funkce související s IKT a zavádí vhodné mechanismy řízení s cílem zajistit účinnou a včasnou komunikaci, spolupráci a koordinaci mezi uvedenými funkcemi;

d)

nese celkovou odpovědnost za stanovení a schválení strategie digitální provozní odolnosti podle čl. 6 odst. 8, včetně stanovení přiměřené přípustné odchylky rizika v oblasti IKT u finančního subjektu podle čl. 6 odst. 8 písm. b);

e)

schvaluje provádění politiky zachování provozu IKT finančního subjektu a plány reakce a obnovy v oblasti IKT uvedené v čl. 11 odst. 1 a 3, které mohou být přijaty jako zvláštní konkrétní politika tvořící nedílnou součást celkové politiky zachování provozu a plánu reakce a obnovy finančního subjektu, dohlíží na ně a pravidelně je přezkoumává;

f)

schvaluje a pravidelně přezkoumává plány interních auditů IKT, které finanční subjekt vypracovává, audity IKT a jejich podstatné změny;

g)

přiděluje a pravidelně přezkoumává odpovídající rozpočtové prostředky na pokrytí potřeb finančního subjektu v oblasti digitální provozní odolnosti s ohledem na všechny typy zdrojů, včetně relevantních programů zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti uvedených v čl. 13 odst. 6 a dovedností v oblasti IKT pro všechny zaměstnance;

h)

schvaluje a pravidelně přezkoumává strategii finančního subjektu pro režimy využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran;

i)

na úrovni podniku zavede kanály pro oznamování, které mu umožní být řádně informován:

i)

o ujednáních o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran;

ii)

o veškerých relevantních plánovaných podstatných změnách týkajících se poskytovatelů služeb IKT z řad třetích stran;

iii)

o potenciálním dopadu těchto změn na zásadní nebo důležité funkce, které jsou předmětem těchto ujednání, včetně shrnutí analýzy rizik s cílem posoudit dopad těchto změn, a alespoň o závažných incidentech souvisejících s IKT a jejich dopadu, jakož i o opatřeních týkajících se reakce a obnovy a o nápravných opatřeních.
EULAW Článek 13 6

6.   Finanční subjekty vypracují jako povinné moduly svých osnov pro školení zaměstnanců programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti. Tyto programy a školení se vztahují na všechny zaměstnance a na vedoucí pracovníky a musí mít úroveň složitosti úměrnou výkonu jejich funkcí. Finanční subjekty případně zahrnou do svých příslušných školicích programů rovněž poskytovatele služeb IKT z řad třetích stran v souladu s čl. 30 odst. 2 písm. i).