+Inventory Management

Inventory Management

Keep an inventory of (ICT) assets, monitor their life-cycle and update it periodically and upon every major change in the network, the IT infrastructure, and processes and procedures supporting business functions. Keep records of the following for each ICT asset: unique identifier, location (physical or logical), asset classification, identity of asset owner, information for specific risk assessment on legacy systems, business functions or services supported, business continuity requirements (e.g., RTO, RPO), exposure to external networks, including the internet, links and interdependencies among assets and business functions using each asset, and the end dates of the ICT third-party service provider’s regular, extended and custom support services after which it is no longer supported by its supplier or by an ICT third-party service provider.

Ideally, inventory management is perfomed in an automated and continuous fashion.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 7 IKT-systemer, -protokoller og-værktøjer

For at håndtere og styre IKT-risikoen anvender og vedligeholder finansielle enheder opdaterede IKT-systemer, -protokoller og -værktøjer, som er:
EULAW Artikel 8 1

1.   Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, foretager de finansielle enheder identifikation, klassificering og tilstrækkelig dokumentering af alle IKT-understøttede forretningsfunktioner, roller og ansvarsområder, informationsaktiver og IKT-aktiver, der understøtter disse funktioner, samt deres roller og afhængigheder med hensyn til IKT-risici. De finansielle enheder vurderer efter behov og mindst én gang om året, hvorvidt denne klassificering og eventuel relevant dokumentation er tilstrækkelig.
EULAW Artikel 8 5

5.   De finansielle enheder identificerer og dokumenterer alle processer, der er afhængige af tredjepartsudbydere af IKT-tjenester, og identificerer sammenkoblinger med tredjepartsudbydere af IKT-tjenester, der udbyder tjenester, som understøtter kritiske eller vigtige funktioner.
EULAW Artikel 8 6

6.   Med henblik på stk. 1, 4 og 5 opretholder finansielle enheder relevante fortegnelser og ajourfører dem regelmæssigt, og hver gang der sker større ændringer som omhandlet i stk. 3.
EULAW Artikel 4 1.
Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder en politik for forvaltning af IKT-aktiver.
EULAW Artikel 4 2.

Den i stk. 1 omhandlede politik for forvaltning af IKT-aktiver skal:

a) 

fastsætte overvågning og forvaltning af livscyklussen for IKT-aktiver, der er identificeret og klassificeret i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554

b) 

fastsætte, at den finansielle enhed skal føre fortegnelser over alle følgende:

i) 

den entydige identifikator for hvert enkelt IKT-aktiv

ii) 

fysiske eller logiske oplysninger om placeringen af alle IKT-aktiver

iii) 

klassificeringen af alle IKT-aktiver som omhandlet i artikel 8, stk. 1, i forordning (EU) 2022/2254

iv) 

identiteten af ejere af IKT-aktiver

v) 

de forretningsfunktioner eller -tjenester, som IKT-aktivet understøtter

vi) 

kravene til IKT-driftsstabilitet, herunder mål for genopretningstid og genopretningspunkt

vii) 

hvorvidt IKT-aktivet kan være eller er eksponeret for eksterne netværk, herunder internettet

viii) 

forbindelserne og den indbyrdes afhængighed mellem IKT-aktiver og de forretningsfunktioner, der anvender det enkelte IKT-aktiv

ix) 

hvis det er relevant, for alle IKT-aktiver, slutdatoerne for de almindelige, udvidede og tilpassede støttetjenester fra den pågældende tredjepartsudbyder af IKT-tjenester, hvorefter disse IKT-aktiver ikke længere understøttes af deres leverandør eller af en tredjepartsudbyder af IKT-tjenester

c) 

for andre finansielle enheder end mikrovirksomheder, fastsætte, at disse finansielle enheder fører fortegnelser over de oplysninger, der er nødvendige med henblik på at foretage en specifik IKT-risikovurdering af alle de legacy-IKT-systemer, der er omhandlet i artikel 8, stk. 7, i forordning (EU) 2022/2554.
EULAW Artikel 5 1.
Finansielle enheder udvikler, dokumenterer og gennemfører en procedure for forvaltning af IKT-aktiver.
EULAW Artikel 5 2.

Den i stk. 1 omhandlede procedure for forvaltning af IKT-aktiver skal præcisere kriterierne for at foretage vurderingen af kritisk betydning af informationsaktiver og IKT-aktiver, der understøtter forretningsfunktioner. Denne vurdering skal tage hensyn til:

a) 

den IKT-risiko, der er forbundet med disse forretningsfunktioner og deres afhængighed af informationsaktiverne eller IKT-aktiverne

b) 

hvordan tabet af fortrolighed, integritet og tilgængelighed af sådanne informationsaktiver og IKT-aktiver vil få indvirkning på de finansielle enheders forretningsprocesser og -aktiviteter.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.