+Článek 27 2.

Článek 27 2.

Finanční subjekty uvedou ve zprávě podle odstavce 1 všechny následující informace:

a) 

úvodní část, která:

i) 

jasně identifikuje finanční subjekt, jenž je předmětem zprávy, a v příslušných případech popisuje strukturu jeho skupiny;

ii) 

popisuje kontext zprávy z hlediska povahy, rozsahu a složitosti služeb, činností a operací finančního subjektu, jeho organizace, určených zásadních funkcí, strategie, hlavních probíhajících projektů nebo činností, vztahů a jeho závislosti na interních a smluvních službách a systémech IKT nebo důsledků, které by měla úplná ztráta nebo závažné zhoršení těchto systémů z hlediska zásadních nebo důležitých funkcí a efektivity trhu;

iii) 

shrnuje hlavní změny, k nimž došlo v rámci pro řízení rizika v oblasti IKT od předložení předchozí zprávy;

iv) 

poskytuje shrnující přehled o současném a krátkodobém rizikovém profilu IKT, prostředí hrozeb, vyhodnocené účinnosti kontrolních mechanismů a o stavu zabezpečení finančního subjektu;

b) 

datum schválení zprávy vedoucím orgánem finančního subjektu;

c) 

popis důvodu přezkumu rámce pro řízení rizika v oblasti IKT v souladu s čl. 6 odst. 5 nařízení (EU) 2022/2554;

d) 

datum počátku a konce období přezkumu;

e) 

funkce, která je za přezkum odpovědná;

f) 

popis hlavních změn a zlepšení rámce pro řízení rizika v oblasti IKT, k nimž došlo od předchozího přezkumu;

g) 

shrnutí zjištění z přezkumu a podrobná analýza a posouzení závažnosti slabých míst, nedostatků a mezer v rámci pro řízení rizika v oblasti IKT zjištěných během období přezkumu;

h) 

popis opatření k odstranění zjištěných slabých míst, nedostatků a mezer, zahrnující všechny tyto prvky:

i) 

souhrn opatření přijatých k nápravě zjištěných slabých míst, nedostatků a mezer;

ii) 

předpokládaný termín provedení opatření a termíny související s vnitřní kontrolou provádění, včetně informací o stavu provádění těchto opatření ke dni vypracování zprávy s případným vysvětlením, zda existuje riziko, že termíny nebudou dodrženy;

iii) 

nástroje, které mají být použity, a určení funkce, jež bude odpovědná za provádění opatření, a informace o tom, zda se jedná o interní nebo externí nástroje a funkce;

iv) 

popis dopadu změn plánovaných v těchto opatřeních na rozpočtové, lidské a materiální zdroje finančního subjektu, včetně zdrojů určených na provádění nápravných opatření;

v) 

v příslušných případech informace o postupu informování příslušného orgánu;

vi) 

v případě, že se na zjištěná slabá místa, nedostatky nebo mezery nevztahují nápravná opatření, podrobné vysvětlení kritérií použitých k analýze dopadu těchto slabých míst, nedostatků nebo mezer za účelem vyhodnocení souvisejícího zbytkového rizika v oblasti IKT a kritérií použitých k přijetí souvisejícího zbytkového rizika;

i) 

informace o plánovaném dalším vývoji rámce pro řízení rizika v oblasti IKT;

j) 

závěry vyplývající z přezkumu rámce pro řízení rizika v oblasti IKT;

k) 

informace o předchozích přezkumech, včetně těchto informací:

i) 

seznam předchozích přezkumů;

ii) 

v relevantních případech stav provádění nápravných opatření stanovených v poslední zprávě;

iii) 

v případě, že se nápravná opatření navržená v předchozích přezkumech ukázala jako neúčinná nebo způsobila neočekávané problémy, popis toho, jak by tato nápravná opatření mohla být zlepšena, nebo popis těchto neočekávaných problémů;

l) 

zdroje informací použité při vypracování zprávy, včetně všech následujících údajů:

i) 

u finančních subjektů jiných než mikropodniky podle čl. 6 odst. 6 nařízení (EU) 2022/2554 výsledky interních auditů;

ii) 

výsledky posouzení dodržování předpisů;

iii) 

výsledky testování digitální provozní odolnosti a případně výsledky pokročilého testování nástrojů, systémů a procesů IKT na základě penetračního testování na základě hrozeb;

iv) 

externí zdroje.

Pro účely písmene c), pokud byl přezkum zahájen na základě pokynů orgánů dohledu nebo závěrů vyvozených z příslušných procesů testování digitální provozní odolnosti nebo auditu, musí zpráva obsahovat výslovné odkazy na tyto pokyny nebo závěry, které umožní identifikovat důvod zahájení přezkumu. Pokud byl přezkum zahájen v návaznosti na incidenty související s IKT, obsahuje zpráva seznam všech incidentů souvisejících s IKT a analýzu hlavních příčin těchto incidentů.

Pro účely písmene f) musí popis obsahovat analýzu dopadu změn na strategii digitální provozní odolnosti finančního subjektu, na jeho interní kontrolní rámec v oblasti IKT a na jeho pravidla řízení rizika v oblasti IKT.

1. Přehled

,

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy