|
+Artikel 11 2. |
Artikel 11 2.Den procedure for data- og systemsikkerhed, der er omhandlet i stk. 1, skal indeholde alle følgende elementer vedrørende datasikkerhed og IKT-systemsikkerhed i overensstemmelse med den klassificering, der er fastlagt i henhold til artikel 8, stk. 1, i forordning (EU) 2022/2554:
a)
de adgangsbegrænsninger, der er omhandlet i denne forordnings artikel 21, og som understøtter beskyttelseskravene for hver klassifikationsgrad
b)
identifikation af en sikker konfigurationsstandard for IKT-aktiver, der minimerer disse IKT-aktivers eksponering mod cybertrusler, og foranstaltninger til regelmæssig kontrol af, at disse standarder anvendes på en effektiv måde
c)
identifikation af sikkerhedsforanstaltninger til sikring af, at der kun installeres godkendt software i IKT-systemer og endpoint-enheder
d)
identifikation af sikkerhedsforanstaltninger over for ondsindede koder
e)
identifikation af sikkerhedsforanstaltninger til sikring af, at kun autoriserede datalagringsmedier, -systemer og endpoint-enheder anvendes til at overføre og lagre den finansielle enheds data
f)
følgende krav til sikring af brugen af bærbare endpoint-enheder og private ikkebærbare endpoint-enheder:
i)
kravet om at anvende en behandlingsløsning til fjernstyring af endpoint-enheder og fjernsletning af den finansielle enheds data
ii)
kravet om at anvende sikkerhedsmekanismer, der ikke kan ændres, fjernes eller omgås af medarbejdere eller tredjepartsudbydere af IKT-tjenester på en uautoriseret måde
iii)
kravet om kun at anvende aftagelige datalagringsenheder, hvis den resterende IKT-risiko forbliver inden for den finansielle enheds risikotoleranceniveau, jf. artikel 3, litra a), første afsnit
g)
proceduren for sikker sletning af data, der findes i den finansielle enheds lokaler eller lagres eksternt, og som den finansielle enhed ikke længere behøver at indsamle eller lagre
h)
processen for sikker bortskaffelse eller demontering af datalagringsenheder, der findes i den finansielle enheds lokaler eller opbevares eksternt, og som indeholder fortrolige oplysninger
i)
identifikation og gennemførelse af sikkerhedsforanstaltninger til forebyggelse af datatab og -lækage i systemer og endpoint-enheder
j)
gennemførelse af sikkerhedsforanstaltninger til sikring af, at telearbejde og brugen af private endpoint-enheder ikke har en negativ indvirkning på den finansielle enheds IKT-sikkerhed
k)
for IKT-aktiver eller -tjenester, der drives af en tredjepartsudbyder af IKT-tjenester, identifikation og gennemførelse af krav med henblik på opretholdelse af digital operationel modstandsdygtighed i overensstemmelse med resultaterne af dataklassificeringen og IKT-risikovurderingen. Med henblik på litra b) skal den sikre konfigurationsstandard, der er omhandlet i nævnte litra, tage hensyn til førende praksis og passende teknikker, der er fastsat i de standarder, der er defineret i artikel 2, nr. (1), i forordning (EU) nr. 1025/2012. Med henblik på litra k) tager finansielle enheder hensyn til følgende:
a)
gennemførelsen af leverandørens anbefalede indstillinger for de elementer, der drives af den finansielle enhed
b)
en klar fordeling af roller og ansvarsområder inden for informationssikkerhed mellem den finansielle enhed og tredjepartsudbyderen af IKT-tjenester i overensstemmelse med princippet om den finansielle enheds fulde ansvar for dennes tredjepartsudbyder af IKT-tjenester, jf. artikel 28, stk. 1, litra a), i forordning (EU) 2022/2554, og for finansielle enheder som omhandlet i nævnte forordnings artikel 28, stk. 2, og i overensstemmelse med den finansielle enheds politik for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner
c)
behovet for at sikre og opretholde tilstrækkelige kompetencer i den finansielle enhed med hensyn til forvaltning af og sikkerheden i den anvendte tjeneste
d)
tekniske og organisatoriske foranstaltninger til minimering af de risici, der er forbundet med den infrastruktur, som tredjepartsudbyderen af IKT-tjenester anvender til sine IKT-tjenester, idet der tages hensyn til førende praksis og standarder som defineret i artikel 2, nr. 1), i forordning (EU) nr. 1025/2012. 1. Oversigt
1.1 Referencer1.2 Identificerede krav1.3 Relaterede standarder
2. Identificerede krav
3. Relaterede standarder
|