+Oddíl 2
---+Článek 3 Řízení rizika v oblasti IKT

Oddíl 2

Oddíl 2

1. Přehled

,
Článek 3 Řízení rizika v oblasti IKT

Článek 3

Řízení rizika v oblasti IKT

Finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení rizika v oblasti IKT, které obsahují všechny následující prvky:

a) 

údaj o schválení přípustné odchylky rizika v oblasti IKT stanovené v souladu s čl. 6 odst. 8 písm. b) nařízení (EU) 2022/2554;

b) 

postup a metodika pro provádění posouzení rizika v oblasti IKT, přičemž se určí:

i) 

zranitelnosti a hrozby, které ovlivňují nebo mohou ovlivnit podporované obchodní funkce, systémy IKT a aktiva v oblasti IKT podporující tyto funkce;

ii) 

kvantitativní nebo kvalitativní ukazatele pro měření dopadu a pravděpodobnosti zranitelností a hrozeb uvedených v bodě i);

c) 

postup pro určení, zavedení a zdokumentování opatření k řešení rizik v oblasti IKT pro zjištěná a posouzená rizika v oblasti IKT, včetně stanovení opatření k řešení rizik v oblasti IKT nezbytných k tomu, aby se riziko v oblasti IKT dostalo do rozmezí přípustné odchylky rizika uvedené v písmenu a);

d) 

pro zbytková rizika v oblasti IKT, která po provedení opatření k řešení rizik v oblasti IKT uvedených v písmenu c) stále existují:

i) 

ustanovení o identifikaci těchto zbytkových rizik v oblasti IKT;

ii) 

přidělení úloh a povinností týkajících se:

1) 

přijetí zbytkových rizik v oblasti IKT, která přesahují přípustnou odchylku rizika finančního subjektu uvedenou v písmenu a),

2) 

procesu přezkumu uvedeného v tomto písm. d) bodě iv);

iii) 

vypracování soupisu přijatých zbytkových rizik v oblasti IKT, včetně odůvodnění jejich přijetí;

iv) 

ustanovení o přezkumu přijatých zbytkových rizik v oblasti IKT alespoň jednou ročně, včetně:

1) 

identifikace jakýchkoli změn zbytkových rizik v oblasti IKT,

2) 

posouzení dostupných zmírňujících opatření,

3) 

posouzení, zda důvody pro přijetí zbytkových rizik v oblasti IKT jsou ke dni přezkumu stále platné a použitelné;

e) 

ustanovení o sledování:

i) 

veškerých změn rizik v oblasti IKT a prostředí kybernetických hrozeb;

ii) 

vnitřních a vnějších zranitelností a hrozeb;

iii) 

rizika finančního subjektu v oblasti IKT, které umožňuje rychlou detekci změn, jež by mohly ovlivnit jeho rizikový profil v oblasti IKT;

f) 

ustanovení ohledně procesu, který zajistí, aby byly zohledněny veškeré změny obchodní strategie a strategie digitální provozní odolnosti finančního subjektu.

Pro účely prvního pododstavce písm. c) se postupem podle uvedeného písmene zajistí:

a) 

sledování účinnosti zavedených opatření k řešení rizik v oblasti IKT;

b) 

posouzení, zda bylo dosaženo stanovených úrovní přípustné odchylky rizika finančního subjektu;

c) 

posouzení, zda finanční subjekt v případě potřeby přijal opatření k nápravě nebo zlepšení těchto opatření.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy