|
EULAW
|
Článek 11 1
1. Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 a na základě požadavků na identifikaci uvedených v článku 8 finanční subjekty zavedou ucelenou politiku zachování provozu IKT, která může být přijata jako specifická politika tvořící nedílnou součást celkové politiky zachování provozu finančního subjektu.
|
|
EULAW
|
Článek 11 6
6. V rámci svého komplexního řízení rizika v oblasti IKT finanční subjekty:
|
a)
|
alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce;
|
|
b)
|
testují plány krizové komunikace zavedené podle článku 14.
|
Pro účely prvního pododstavce písm. a) finanční subjekty, jiné než mikropodniky, zahrnou do plánů testování scénáře kybernetických útoků a přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení nutná ke splnění povinností stanovených v článku 12.
Finanční subjekty pravidelně přezkoumávají svoji politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT, přičemž zohlední výsledky testů provedených v souladu s prvním pododstavcem a doporučeními vyplývajícími z auditních kontrol nebo přezkumů provedených orgány dohledu.
|
|
EULAW
|
Článek 11 2
2. Finanční subjekty uplatňují politiku zachování provozu IKT prostřednictvím specializovaných, vhodných a zdokumentovaných úprav, plánů, postupů a mechanismů zaměřených na:
|
a)
|
zajištění kontinuity zásadních nebo důležitých funkcí finančního subjektu;
|
|
b)
|
rychlou, vhodnou a účinnou reakci na všechny incidenty související s IKT a jejich vyřešení, a to tak, aby byly omezeny škody a byla prioritně obnovena činnost a aktivována opatření na obnovu;
|
|
c)
|
neprodlenou aktivaci specializovaných plánů uvádějících do chodu izolační opatření, procesy a technologie odpovídající různým typům incidentů souvisejících s IKT a zamezující dalším škodám, jakož i přizpůsobené postupy reakce a obnovy v souladu s článkem 12;
|
|
d)
|
odhad předběžných dopadů, škod a ztrát;
|
|
e)
|
zavedení opatření v oblasti komunikace a krizového řízení, která zajistí předání aktualizovaných informací všem příslušným interním zaměstnancům a externím zainteresovaným stranám podle článku 14 a jejich oznámení příslušným orgánům v souladu s článkem 19.
|
|
|
EULAW
|
Článek 11 4
4. Finanční subjekty zavedou, udržují a pravidelně testují odpovídající plány zachování provozu IKT, zejména s ohledem na zásadní nebo důležité funkce zajišťované externě nebo nasmlouvané prostřednictvím ujednání s poskytovateli služeb IKT z řad třetích stran.
|
|
EULAW
|
Článek 11 5
5. V rámci celkové politiky zachování provozu provádějí finanční subjekty analýzu dopadu na činnost, pokud jde o jejich expozice vůči závažným narušením činnosti. V rámci analýzy dopadu na činnost finanční subjekty posoudí potenciální dopad závažných narušení činnosti pomocí kvantitativních a kvalitativních kritérií, případně s využitím interních a externích dat a analýzy scénářů. Analýza dopadu na činnost zohlední, jak zásadní jsou určené a zmapované obchodní funkce, podpůrné procesy, závislosti na třetích stranách a informační aktiva a jejich vzájemné závislosti. Finanční subjekty zajistí, aby aktiva v oblasti IKT a služby IKT byly navrhovány a využívány v plném souladu s analýzou dopadu na činnost, zejména s ohledem na odpovídající zajištění redundance všech zásadních složek.
|
|
EULAW
|
Článek 11 7
7. Finanční subjekty, jiné než mikropodniky, zavedou funkci řízení krizí, jež v případě aktivace jejich plánů zachování provozu IKT nebo plánů reakce a obnovy v oblasti IKT stanoví mimo jiné jednoznačné postupy pro řízení interní a externí krizové komunikace podle článku 14.
|
|
EULAW
|
Článek 11 8
8. Finanční subjekty vedou snadno dostupné záznamy činnosti před výpadky a během výpadků po aktivaci plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT.
|
|
EULAW
|
Článek 11 9
9. Centrální depozitáři cenných papírů poskytnou příslušným orgánům kopie výsledků testů zachování provozu IKT nebo podobných cvičení.
|
|
EULAW
|
Článek 11 10
10. Finanční subjekty, jiné než mikropodniky, oznamují příslušným orgánům na jejich žádost odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT.
|
|
EULAW
|
Článek 14 1
1. Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty zavedou krizové komunikační plány umožňující odpovědné informování klientů, protistran a případně veřejnosti alespoň o závažných incidentech souvisejících s IKT nebo zranitelnostech.
|