+Incident Management Process

Incident Management Process

Implement an incident management process to detect, manage, and report ICT incidents. This includes incident response procedures to mitigate impacts and ensure timely restoration of services. Assign specific roles and responsibilities for various incident scenarios. Also, establish a list of contacts with internal functions and external stakeholders that are directly involved in ICT operations security, including on detection and monitoring cyber threats, detection of anomalous activities and vulnerability management. Establish early warning indicators for potential incidents and incident triggers upon the occurance of malicious activity, data losses, adverse impact detected on financial entity's transactions and operations, systems and network unavailability, problems reported by users of the financial entity, and incident notifications from an third-party service provider detected in the systems and networks of the third-party service provider and which may affect the financial entity. Identify, document, and address incident root causes. Conduct post-ICT-related incident reviews after major disruptions. Analyze causes, evaluate response promptness and quality, and assess incident escalation and communication effectiveness.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 13 2

2.   Finanční subjekty zavedou přezkumy po incidentech souvisejících s IKT poté, co závažný incident související s IKT naruší jejich hlavní činnosti, přičemž analyzují příčiny narušení a určí potřebná zlepšení operací IKT nebo v rámci politiky zachování provozu IKT uvedené v článku 11.

Finanční subjekty, jiné než mikropodniky, na žádost sdělí příslušným orgánům změny, které byly provedeny v návaznosti na přezkumy incidentů souvisejících s IKT uvedené v prvním pododstavci.

Přezkumy po incidentech souvisejících s IKT podle prvního pododstavce stanoví, zda byly dodrženy zavedené postupy a zda byla přijatá opatření účinná, a to i ve vztahu k:

a)

rychlosti reakce na bezpečnostní výstrahy a stanovení dopadu incidentů souvisejících s IKT a jejich závažnosti;

b)

kvalitě a rychlosti provádění forenzní analýzy, je-li to považováno za vhodné;

c)

efektivitě eskalace incidentů v rámci finančního subjektu;

d)

efektivitě interní a externí komunikace.
EULAW Článek 14 3

3.   Uplatňováním komunikační strategie pro incidenty související s IKT a plněním funkce styku s veřejností a médii pro tyto účely je pověřena alespoň jedna osoba v rámci finančního subjektu.
EULAW Článek 17 1

1.   Finanční subjekty vymezí, zavedou a uplatňují proces řízení incidentů souvisejících s IKT za účelem detekce, řízení a hlášení incidentů souvisejících s IKT.
EULAW Článek 17 2

2.   Finanční subjekty zaznamenávají veškeré incidenty související s IKT a závažné kybernetické hrozby. Finanční subjekty zavedou vhodné postupy a procesy zajišťující konzistentní a integrované sledování, řešení a následná opatření pro incidenty související s IKT, aby byla zajištěna identifikace, zdokumentování a řešení jejich hlavních příčin, a zabránilo se tak výskytu těchto incidentů.
EULAW Článek 17 3

3.   Proces řízení incidentů souvisejících s IKT uvedený v odstavci 1:

a)

zavede ukazatele včasného varování;

b)

stanoví postupy k identifikaci, sledování, evidenci, kategorizaci a klasifikaci incidentů souvisejících s IKT podle jejich priority a závažnosti a podle toho, jak zásadní jsou zasažené služby v souladu s kritérii vymezenými v čl. 18 odst. 1;

c)

přiřadí úlohy a odpovědnosti, které je třeba aktivovat u různých typů a scénářů incidentů souvisejících s IKT;

d)

stanoví plány komunikace pro zaměstnance, externí zainteresované strany a média podle článku 14 a pro informování klientů, postupy interní eskalace, včetně stížností klientů souvisejících s IKT, a případně rovněž pro poskytování informací finančním subjektům jednajícím jako protistrany;

e)

zajistí, aby byly přinejmenším závažné incidenty související s IKT hlášeny příslušným vedoucím pracovníkům, a přinejmenším o závažných incidentech souvisejících s IKT informuje vedoucí orgán s vysvětlením dopadů, reakce a dalších kontrol, jež budou zavedeny v důsledku takových incidentů souvisejících s IKT;

f)

zavede postupy reakce na incidenty související s IKT ke zmírnění dopadů a zajistí, aby služby byly včas a bezpečně obnoveny.
EULAW Článek 19 1

1.   Finanční subjekty hlásí závažné incidenty související s IKT relevantním příslušným orgánům uvedeným v článku 46 v souladu s odstavcem 4 tohoto článku.

Pokud finanční subjekt podléhá dohledu více než jednoho vnitrostátního příslušného orgánu uvedeného v článku 46, určí členské státy jediný příslušný orgán jako relevantní příslušný orgán odpovědný za výkon funkcí a povinností stanovených v tomto článku.

Úvěrové instituce klasifikované v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013 jako významné hlásí závažné incidenty související s IKT relevantnímu vnitrostátnímu příslušnému orgánu určenému v souladu s článkem 4 směrnice 2013/36/EU, který danou zprávu neprodleně předává ECB.

Pro účely prvního pododstavce finanční subjekty vypracují pomocí vzorů uvedených v článku 20 na základě shromáždění a analýzy všech relevantních informací prvotní oznámení a zprávy uvedené v odstavci 4 tohoto článku a předloží je příslušnému orgánu. V případě, že z technických důvodů není možné předložit prvotní oznámení za použití uvedeného vzoru, předají finanční subjekty oznámení příslušnému orgánu alternativními prostředky.

Prvotní oznámení a zprávy uvedené v odstavci 4 obsahují veškeré informace nezbytné k tomu, aby příslušný orgán stanovil významnost závažného incidentu souvisejícího s IKT a posoudil možné přeshraniční dopady.

Aniž je dotčeno hlášení finančního subjektu relevantnímu příslušnému orgánu podle prvního pododstavce, členské státy mohou dále určit, že některé nebo všechny finanční subjekty podají prvotní oznámení a všechny zprávy uvedené v odstavci 4 tohoto článku za použití vzorů uvedených v článku 20 příslušným orgánům nebo týmům pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“) určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555.
EULAW Článek 19 2

2.   Finanční subjekty mohou relevantnímu příslušnému orgánu dobrovolně oznamovat významné kybernetické hrozby, pokud se domnívají, že hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty. Relevantní příslušný orgán může tyto informace poskytnout jiným relevantním orgánům uvedeným v odstavci 6.

Úvěrové instituce klasifikované v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013 jako významné mohou dobrovolně oznamovat významné kybernetické hrozby relevantnímu vnitrostátnímu příslušnému orgánu určenému v souladu s článkem 4 směrnice 2013/36/EU, který dané oznámení neprodleně předává ECB.

Členské státy mohou stanovit, že finanční subjekty mohou dobrovolné oznámení podle prvního pododstavce rovněž předat týmům CSIRT určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555.
EULAW Článek 19 3

3.   Dojde-li k závažnému incidentu souvisejícímu s IKT a má-li tento incident dopad na finanční zájmy klientů, finanční subjekty bez zbytečného prodlení, jakmile se o incidentu dozvědí, informují své klienty o tomto závažném incidentu souvisejícím s IKT a o veškerých opatřeních přijatých ke zmírnění nepříznivých dopadů tohoto incidentu.

V případě významné kybernetické hrozby informují finanční subjekty případně své klienty, kteří by mohli být hrozbou dotčeni, o vhodných ochranných opatřeních, která mohou tito klienti případně přijmout.
EULAW Článek 19 4

4.   Finanční subjekty ve lhůtách stanovených v souladu s čl. 20 prvním pododstavcem písm. a) bodem ii) předloží relevantnímu příslušnému orgánu:

a)

prvotní oznámení;

b)

průběžnou zprávu po prvotním oznámení uvedeném v písmeni a), jakmile se stav původního incidentu významným způsobem změní nebo jakmile se na základě nových dostupných informací změní řešení závažného incidentu souvisejícího s IKT, po níž případně následují aktualizovaná oznámení pokaždé, když je k dispozici příslušná aktualizace stavu, jakož i na zvláštní žádost příslušného orgánu;

c)

závěrečnou zprávu po dokončení analýzy hlavní příčiny bez ohledu na to, zda již byla uplatněna zmírňující opatření, a poté, co jsou k dispozici skutečné číselné údaje o dopadech, které nahradí odhady.
EULAW Článek 19 5

5.   Finanční subjekty mohou v souladu s unijními a vnitrostátními odvětvovými právními předpisy externě zadat zajištění povinného hlášení podle tohoto článku poskytovateli služeb z řad třetích stran. V případě takového externího zadání nese za plnění požadavku hlášení incidentů i nadále plnou odpovědnost finanční subjekt.