+Článek 10 2.

Článek 10 2.

Postupy řízení zranitelností uvedené v odstavci 1:

a) 

identifikují a aktualizují relevantní a důvěryhodné informační zdroje, aby bylo možné vytvořit a udržovat povědomí o zranitelnostech;

b) 

zajišťují provádění automatizovaného skenování a posuzování zranitelností aktiv v oblasti IKT, přičemž četnost a rozsah těchto činností musí být úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a celkovému rizikovému profilu aktiva v oblasti IKT;

c) 

ověřují, zda:

i) 

poskytovatelé služeb IKT z řad třetích stran řeší zranitelnosti související se službami IKT poskytovanými finančnímu subjektu;

ii) 

zda tito poskytovatelé služeb finančnímu subjektu včas hlásí alespoň kritické zranitelnosti a statistiky a trendy;

d) 

sledují používání:

i) 

knihoven třetích stran, včetně knihoven s otevřeným zdrojovým kódem, které používají služby IKT podporující zásadní nebo důležité funkce;

ii) 

služeb IKT vyvinutých samotným finančním subjektem nebo speciálně přizpůsobených či vyvinutých pro finanční subjekt poskytovatelem služeb IKT z řad třetích stran;

e) 

stanoví postupy pro odpovědné informování klientů, protistran a veřejnosti o zranitelnostech;

f) 

stanoví priority pro zavádění oprav a dalších opatření ke zmírnění zjištěných zranitelností;

g) 

sledují a ověřují nápravu zranitelností;

h) 

vyžadují evidenci všech zjištěných zranitelností, jež mají dopad na systémy IKT, a sledování jejich řešení.

Pro účely písmene b) u aktiv v oblasti IKT podporujících zásadní nebo důležité funkce provádějí finanční subjekty automatizované skenování a posuzování zranitelností alespoň jednou týdně.

Pro účely písmene c) finanční subjekty požádají poskytovatele služeb IKT z řad třetích stran, aby prošetřili příslušné zranitelnosti, určili jejich hlavní příčiny a provedli příslušná zmírňující opatření.

Pro účely písmene d) finanční subjekty, případně ve spolupráci s poskytovatelem služeb IKT z řad třetích stran, sledují verzi a případné aktualizace knihoven třetích stran. V případě aktiv v oblasti IKT nebo součástí aktiv v oblasti IKT připravených k použití (tj. standardních aktiv nebo součástí) pořízených a používaných při provozu služeb IKT, které nepodporují zásadní nebo důležité funkce, finanční subjekty v co největší míře sledují používání knihoven třetích stran, včetně knihoven s otevřeným zdrojovým kódem.

Pro účely písmene f) finanční subjekty zohlední kritičnost zranitelnosti, klasifikaci stanovenou v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a rizikový profil aktiv v oblasti IKT, kterých se zjištěné zranitelnosti týkají.

1. Přehled

,

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy