+Governance of ICT risk

Governance of ICT risk

The Management body shall take ultimate responsibility for effectively managing all ICT risks of the financial entity. As such, the management body periodically (e.g. annually) ensures:

  • Establish policies related to the availability, authenticity, integrity, and confidentiality of data, including the policy on arrangements with ICT third-party service providers (see control 2.1).
  • Define the roles, responsibilities and goverance arrangements for ICT related functions risk management (including those related to ICT third-party arrangements), including the continuous monitoring thereof.
  • Review the policy on arrangements with ICT third-party service providers and stay informed about third-party  arrangements, services provided, planned material changes regarding third- party service providers, and understand the impact of these changes on critical and important functions of the entity (including risk assessment results). 

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 5 1

1.   Finanční subjekty mají zaveden interní řídicí a kontrolní rámec, který zajistí účinné a obezřetné řízení rizika v oblasti IKT v souladu s čl. 6 odst. 4 s cílem dosáhnout vysoké úrovně digitální provozní odolnosti.
EULAW Článek 5 2

2.   Vedoucí orgán finančního subjektu stanoví a schvaluje veškerá opatření související s rámcem pro řízení rizika v oblasti IKT podle čl. 6 odst. 1, dohlíží na jejich provádění a odpovídá za něj.

Pro účely prvního pododstavce vedoucí orgán:

a)

nese konečnou odpovědnost za řízení rizika finančního subjektu v oblasti IKT;

b)

zavádí postupy a strategie, jejichž cílem je zajistit zachování přísných norem v oblasti dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů;

c)

stanoví jasné úlohy a povinnosti pro všechny funkce související s IKT a zavádí vhodné mechanismy řízení s cílem zajistit účinnou a včasnou komunikaci, spolupráci a koordinaci mezi uvedenými funkcemi;

d)

nese celkovou odpovědnost za stanovení a schválení strategie digitální provozní odolnosti podle čl. 6 odst. 8, včetně stanovení přiměřené přípustné odchylky rizika v oblasti IKT u finančního subjektu podle čl. 6 odst. 8 písm. b);

e)

schvaluje provádění politiky zachování provozu IKT finančního subjektu a plány reakce a obnovy v oblasti IKT uvedené v čl. 11 odst. 1 a 3, které mohou být přijaty jako zvláštní konkrétní politika tvořící nedílnou součást celkové politiky zachování provozu a plánu reakce a obnovy finančního subjektu, dohlíží na ně a pravidelně je přezkoumává;

f)

schvaluje a pravidelně přezkoumává plány interních auditů IKT, které finanční subjekt vypracovává, audity IKT a jejich podstatné změny;

g)

přiděluje a pravidelně přezkoumává odpovídající rozpočtové prostředky na pokrytí potřeb finančního subjektu v oblasti digitální provozní odolnosti s ohledem na všechny typy zdrojů, včetně relevantních programů zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti uvedených v čl. 13 odst. 6 a dovedností v oblasti IKT pro všechny zaměstnance;

h)

schvaluje a pravidelně přezkoumává strategii finančního subjektu pro režimy využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran;

i)

na úrovni podniku zavede kanály pro oznamování, které mu umožní být řádně informován:

i)

o ujednáních o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran;

ii)

o veškerých relevantních plánovaných podstatných změnách týkajících se poskytovatelů služeb IKT z řad třetích stran;

iii)

o potenciálním dopadu těchto změn na zásadní nebo důležité funkce, které jsou předmětem těchto ujednání, včetně shrnutí analýzy rizik s cílem posoudit dopad těchto změn, a alespoň o závažných incidentech souvisejících s IKT a jejich dopadu, jakož i o opatřeních týkajících se reakce a obnovy a o nápravných opatřeních.
EULAW Článek 5 3

3.   Finanční subjekty, jiné než mikropodniky, vytvoří funkci s cílem sledovat ujednání o využívání služeb IKT uzavřená s poskytovateli z řad třetích stran nebo pověří jednoho vedoucího pracovníka jako osobu odpovědnou za dohled nad expozicí souvisejícím rizikům a příslušnou dokumentací.
EULAW Článek 5 4

4.   Členové vedoucího orgánu finančního subjektu aktivně usilují o dostatečné a aktuální znalosti a dovednosti k pochopení a hodnocení rizika v oblasti IKT a jeho dopadů na fungování finančního subjektu, mimo jiné pravidelným absolvováním specifického školení úměrného riziku v oblasti IKT, jež je předmětem řízení.
EULAW Článek 6 8

8.   Rámec pro řízení rizika v oblasti IKT zahrnuje strategii digitální provozní odolnosti, v níž se stanoví způsob jeho uplatňování. Za tímto účelem zahrnuje strategie digitální provozní odolnosti metody řešení rizika v oblasti IKT a plnění specifických cílů v oblasti IKT, a to formou:

a)

vysvětlení, jak rámec pro řízení rizika v oblasti IKT podporuje obchodní strategii a cíle finančního subjektu;

b)

stanovení přípustné odchylky rizika v oblasti IKT podle ochoty finančního subjektu podstupovat riziko a analýzy tolerance dopadů narušení v oblasti IKT;

c)

stanovení jasných cílů v oblasti bezpečnosti informací, včetně klíčových ukazatelů výkonnosti a klíčových ukazatelů k měření rizika;

d)

vysvětlení referenční architektury IKT a veškerých změn potřebných k dosažení specifických obchodních cílů;

e)

uvedení různých mechanismů zavedených za účelem detekce incidentů souvisejících s IKT, prevence jejich dopadů a ochrany před nimi;

f)

doložení stávající situace v oblasti digitální provozní odolnosti na základě počtu hlášených závažných incidentů souvisejících s IKT a účinnosti preventivních opatření;

g)

zavedení testování digitální provozní odolnosti v souladu s kapitolou IV tohoto nařízení;

h)

nastínění komunikační strategie v případě incidentů souvisejících s IKT, jejichž zveřejnění je vyžadováno v souladu s článkem 14.
EULAW Článek 13 4

4.   Finanční subjekty sledují účinnost uplatňování své strategie digitální provozní odolnosti podle čl. 6 odst. 8. Evidují vývoj rizika v oblasti IKT v čase, analyzují četnost, druhy, rozsah a vývoj incidentů souvisejících s IKT, zejména kybernetických útoků a jejich vzorců, aby bylo možné pochopit míru expozice vůči riziku v oblasti IKT, zejména ve vztahu k zásadním nebo důležitým funkcím, a zvýšit kybernetickou vyspělost a připravenost finančního subjektu.