+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 7 IKT-systemer, -protokoller og-værktøjer

For at håndtere og styre IKT-risikoen anvender og vedligeholder finansielle enheder opdaterede IKT-systemer, -protokoller og -værktøjer, som er:
EULAW Artikel 8 1

1.   Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, foretager de finansielle enheder identifikation, klassificering og tilstrækkelig dokumentering af alle IKT-understøttede forretningsfunktioner, roller og ansvarsområder, informationsaktiver og IKT-aktiver, der understøtter disse funktioner, samt deres roller og afhængigheder med hensyn til IKT-risici. De finansielle enheder vurderer efter behov og mindst én gang om året, hvorvidt denne klassificering og eventuel relevant dokumentation er tilstrækkelig.
EULAW Artikel 8 5

5.   De finansielle enheder identificerer og dokumenterer alle processer, der er afhængige af tredjepartsudbydere af IKT-tjenester, og identificerer sammenkoblinger med tredjepartsudbydere af IKT-tjenester, der udbyder tjenester, som understøtter kritiske eller vigtige funktioner.
EULAW Artikel 8 6

6.   Med henblik på stk. 1, 4 og 5 opretholder finansielle enheder relevante fortegnelser og ajourfører dem regelmæssigt, og hver gang der sker større ændringer som omhandlet i stk. 3.
EULAW Artikel 4 1.
Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder en politik for forvaltning af IKT-aktiver.
EULAW Artikel 4 2.

Den i stk. 1 omhandlede politik for forvaltning af IKT-aktiver skal:

a) 

fastsætte overvågning og forvaltning af livscyklussen for IKT-aktiver, der er identificeret og klassificeret i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554

b) 

fastsætte, at den finansielle enhed skal føre fortegnelser over alle følgende:

i) 

den entydige identifikator for hvert enkelt IKT-aktiv

ii) 

fysiske eller logiske oplysninger om placeringen af alle IKT-aktiver

iii) 

klassificeringen af alle IKT-aktiver som omhandlet i artikel 8, stk. 1, i forordning (EU) 2022/2254

iv) 

identiteten af ejere af IKT-aktiver

v) 

de forretningsfunktioner eller -tjenester, som IKT-aktivet understøtter

vi) 

kravene til IKT-driftsstabilitet, herunder mål for genopretningstid og genopretningspunkt

vii) 

hvorvidt IKT-aktivet kan være eller er eksponeret for eksterne netværk, herunder internettet

viii) 

forbindelserne og den indbyrdes afhængighed mellem IKT-aktiver og de forretningsfunktioner, der anvender det enkelte IKT-aktiv

ix) 

hvis det er relevant, for alle IKT-aktiver, slutdatoerne for de almindelige, udvidede og tilpassede støttetjenester fra den pågældende tredjepartsudbyder af IKT-tjenester, hvorefter disse IKT-aktiver ikke længere understøttes af deres leverandør eller af en tredjepartsudbyder af IKT-tjenester

c) 

for andre finansielle enheder end mikrovirksomheder, fastsætte, at disse finansielle enheder fører fortegnelser over de oplysninger, der er nødvendige med henblik på at foretage en specifik IKT-risikovurdering af alle de legacy-IKT-systemer, der er omhandlet i artikel 8, stk. 7, i forordning (EU) 2022/2554.
EULAW Artikel 5 1.
Finansielle enheder udvikler, dokumenterer og gennemfører en procedure for forvaltning af IKT-aktiver.
EULAW Artikel 5 2.

Den i stk. 1 omhandlede procedure for forvaltning af IKT-aktiver skal præcisere kriterierne for at foretage vurderingen af kritisk betydning af informationsaktiver og IKT-aktiver, der understøtter forretningsfunktioner. Denne vurdering skal tage hensyn til:

a) 

den IKT-risiko, der er forbundet med disse forretningsfunktioner og deres afhængighed af informationsaktiverne eller IKT-aktiverne

b) 

hvordan tabet af fortrolighed, integritet og tilgængelighed af sådanne informationsaktiver og IKT-aktiver vil få indvirkning på de finansielle enheders forretningsprocesser og -aktiviteter.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.