+Cyber Threat Classification Criteria and Information Exchenge

Cyber Threat Classification Criteria and Information Exchenge

Classify significant cyber threats. A threat is considered significant if it has a high probability of materialisation, could meet any of the criteria that classify as a 'major incident' when materialised, and when it could affect or could have affected critical or important functions of the financial entity, or could affect other financial entities, third party providers, clients or financial counterparts.

Cyber threat information and intelligence may be exchanged  with other financial entities, ensuring such sharing enhances digital operational resilience. In this case, ensure that the exchange  includes information such as indicators of compromise, tactics, techniques, procedures, alerts, and configuration tools. The exchange must occur within trusted communities and be governed by information-sharing arrangements that safeguard business confidentiality, personal data , and respect competition law. These arrangements shall clearly define participation conditions, address the potential involvement of public authorities and ICT third-party providers, and specify operational aspects, including the use of secure IT platforms. Notify competent authorities upon joining or leaving such arrangements.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 18 1

1.   Finanční subjekty klasifikují incidenty související s IKT a stanoví jejich dopad podle těchto kritérií:

a)

počet nebo význam dotčených klientů nebo finančních protistran a případně výše nebo počet transakcí dotčených incidentem souvisejícím s IKT, a zda incident související s IKT poškodil dobrou pověst;

b)

doba trvání incidentu souvisejícího s IKT, včetně doby odstávky služby;

c)

územní rozsah, pokud jde o oblasti dotčené incidentem souvisejícím s IKT, zejména má-li incident dopad na více než dva členské státy;

d)

ztráty údajů, které incident související s IKT způsobil, pokud jde o dostupnost, hodnověrnost, integritu nebo důvěrnost údajů;

e)

význam dotčených služeb, včetně transakcí a operací finančního subjektu;

f)

ekonomický dopad incidentu souvisejícího s IKT, zejména přímé a nepřímé náklady a ztráty, v absolutním i relativním vyjádření.
EULAW Článek 18 2

2.   Finanční subjekty klasifikují kybernetické hrozby jako závažné na základě toho, jak zásadní jsou ohrožené služby, včetně transakcí a operací finančních subjektů, jaký je počet nebo význam klientů nebo finančních protistran a územní rozsah ohrožených oblastí.
EULAW Článek 45 1

1.   Finanční subjekty si mohou mezi sebou vyměňovat operativní a jiné informace o kybernetických hrozbách, včetně ukazatelů narušení, taktiky, technik a postupů, výstrah v oblasti kybernetické bezpečnosti a konfiguračních nástrojů, pokud se toto sdílení operativních a jiných informací:

a)

zaměřuje na zlepšení digitální provozní odolnosti finančních subjektů, zejména zvyšováním povědomí o kybernetických hrozbách, omezením nebo zabráněním možností šíření těchto hrozeb podporou obranných schopností, techniky detekce hrozeb, zmírňující strategie nebo fáze reakce a obnovy;

b)

odehrává v důvěryhodných komunitách finančních subjektů;

c)

provádí prostřednictvím ujednání o sdílení informací chránících potenciálně citlivou povahu sdílených informací, která se řídí pravidly chování plně respektujícími důvěrnou povahu obchodních informací, ochranu osobních údajů v souladu s nařízením (EU) 2016/679 a dodržování pokynů týkajících se hospodářské soutěže.
EULAW Článek 45 2

2.   Pro účely odst. 1 písm. c) se v ujednání o sdílení informací stanoví podmínky účasti a případně podrobnosti o zapojení veřejných orgánů a jejich možné způsobilosti k účasti na ujednáních o sdílení informací, o zapojení poskytovatelů služeb IKT z řad třetích stran a o provozních prvcích, včetně použití specializovaných IT platforem.
EULAW Článek 45 3

3.   Finanční subjekty informují příslušné orgány o své účasti na ujednáních o sdílení informací uvedených v odstavci 1 po ověření jejich členství, nebo případně o ukončení členství, jakmile vstoupí v platnost.