+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 11 1

1.   Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, og baseret på de krav til identifikation, der er fastsat i artikel 8, indfører de finansielle enheder en omfattende politik for IKT-driftsstabilitet, som kan vedtages som en særlig specifik politik, der skal udgøre en integreret del af den finansielle enheds samlede politik for driftsstabilitet.
EULAW Artikel 11 6

6.   Som led i den omfattende IKT-risikostyring skal de finansielle enheder

a)

teste deres planer for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning i forbindelse med IKT-systemer, der understøtter alle funktioner, mindst én gang om året og i tilfælde af væsentlige ændringer af IKT-systemer, der understøtter kritiske eller vigtige funktioner

b)

teste de krisekommunikationsplaner, der er udarbejdet i henhold til artikel 14.

Med henblik på første afsnit, litra a), medtager finansielle enheder, som ikke er mikrovirksomheder, cyberangrebsscenarier og omstillingsscenarier mellem den primære IKT-infrastruktur og redundante kapacitet, sikkerhedskopier og de redundante faciliteter, der er nødvendige for at opfylde de i artikel 12 fastsatte forpligtelser, i testplanerne.

De finansielle enheder gennemgår regelmæssigt deres politik for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning under hensyntagen til resultaterne af de test, der er gennemført i overensstemmelse med første afsnit, og henstillinger, der bygger på revisionskontrol eller tilsynsmæssige gennemgange.
EULAW Artikel 11 2

2.   De finansielle enheder gennemfører politikken for IKT-driftsstabilitet ved hjælp af særlige, passende og veldokumenterede ordninger, planer, procedurer og mekanismer, der tager sigte mod:

a)

at sikre, at den finansielle enheds kritiske eller vigtige funktioner er stabile

b)

hurtigt, passende og effektivt at sætte ind over for og løse alle IKT-relaterede hændelser på en måde, der begrænser skaden og prioriterer genoptagelsen af aktiviteter og genopretningstiltag

c)

omgående at aktivere særlige planer, der gør det muligt at anvende inddæmningsforanstaltninger, -processer og -teknologier, der er egnede til de enkelte typer IKT-relaterede hændelser, og som forhindrer yderligere skade, samt skræddersyede indsats- og genopretningsprocedurer, der er fastlagt i henhold til artikel 12

d)

at anslå foreløbige virkninger, skader og tab

e)

at indføre kommunikations- og krisestyringstiltag, der sikrer, at ajourførte oplysninger videresendes til al relevant internt personale og eksterne interessenter i overensstemmelse med artikel 14, og at de indberettes til de kompetente myndigheder i overensstemmelse med artikel 19.
EULAW Artikel 11 4

4.   De finansielle enheder indfører, vedligeholder og foretager regelmæssig testning af passende planer for IKT-driftsstabilitet, navnlig med hensyn til kritiske eller vigtige funktioner, som outsources eller udliciteres gennem ordninger, der er indgået med tredjepartsudbydere af IKT-tjenester.
EULAW Artikel 11 5

5.   Som led i den samlede politik for driftsstabilitet foretager de finansielle enheder en forretningskonsekvensanalyse (BIA) af deres eksponering for alvorlige driftsforstyrrelser. De finansielle enheder vurderer i forbindelse med BIA'en de potentielle virkninger af alvorlige driftsforstyrrelser ved hjælp af kvantitative og kvalitative kriterier ved anvendelse af interne og eksterne data og scenarieanalyser, alt efter hvad der er relevant. BIA'en skal tage hensyn til den kritiske betydning af identificerede og kortlagte forretningsfunktioner, støtteprocesser, tredjepartsafhængighed og informationsaktiver samt deres indbyrdes afhængighed. De finansielle enheder sikrer, at IKT-aktiver og -tjenester udformes og anvendes i fuld overensstemmelse med BIA'en, navnlig med hensyn til tilstrækkeligt at sikre alle kritiske komponenters redundans.
EULAW Artikel 11 7

7.   Finansielle enheder, som ikke er mikrovirksomheder, skal have en krisestyringsfunktion, som, hvis deres planer for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning aktiveres, bl.a. skal indeholde klare procedurer for forvaltning af intern og ekstern krisekommunikation i overensstemmelse med artikel 14.
EULAW Artikel 11 8

8.   De finansielle enheder fører let tilgængelige registre over aktiviteter før og under driftsforstyrrelser, når deres planer for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning aktiveres.
EULAW Artikel 11 9

9.   Værdipapircentraler forelægger kopier af resultaterne af test af IKT-driftsstabiliteten eller lignende aktiviteter for de kompetente myndigheder.
EULAW Artikel 11 10

10.   Finansielle enheder, som ikke er mikrovirksomheder, indberetter et overslag over de samlede årlige omkostninger og tab, der opstår som følge af større IKT-relaterede hændelser, til de kompetente myndigheder på deres anmodning.
EULAW Artikel 14 1

1.   Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, sørger de finansielle enheder for at have krisekommunikationsplaner, der giver mulighed for ansvarlig offentliggørelse af som minimum større IKT-relaterede hændelser eller sårbarheder for kunder og modparter samt for offentligheden, alt efter hvad der er relevant.
EULAW Artikel 24 1.

Finansielle enheder inkluderer i deres politik for IKT-driftsstabilitet, jf. artikel 11, stk. 1, i forordning (EU) 2022/2554, alle følgende:

a) 

en beskrivelse af:

i) 

målene for politikken for IKT-driftsstabilitet, herunder samspillet mellem IKT og den overordnede driftsstabilitet, og idet der tages hensyn til resultaterne af den forretningskonsekvensanalyse (BIA), der er omhandlet i artikel 11, stk. 5, i forordning (EU) 2022/2554

ii) 

omfanget af ordningerne, -planerne, -procedurerne og -mekanismerne for IKT-driftsstabilitet, herunder begrænsninger og udelukkelser

iii) 

den tidsramme, der skal indgå i ordningerne, planerne, procedurerne og mekanismerne for IKT-driftsstabilitet

iv) 

kriterierne for aktivering og deaktivering af planer for IKT-driftsstabilitet, planer for IKT-indsats- og -genopretning samt krisekommunikationsplaner

b) 

bestemmelser om:

i) 

forvaltning og organisation med henblik på gennemførelse af politikken for IKT-driftsstabilitet, herunder roller, ansvarsområder og fejlafhjælpningsprocedurer, der sikrer, at der er tilstrækkelige ressourcer til rådighed

ii) 

samordning af planerne for IKT-driftsstabilitet og de overordnede planer for driftsstabilitet, der som minimum vedrører alle følgende:

1) 

potentielle svigtrelaterede scenarier, herunder de scenarier, der er omhandlet i denne forordnings artikel 26, stk. 2

2) 

genopretningsmål, der præciserer, at den finansielle enhed skal være i stand til at genoprette driften af sine kritiske eller vigtige funktioner efter forstyrrelser inden for et mål om genopretningstid og et genopretningspunkt

iii) 

udvikling af planer for IKT-driftsstabilitet i tilfælde af alvorlige driftsforstyrrelser som led i disse planer og prioritering af tiltag vedrørende IKT-driftsstabilitet ved anvendelse af en risikobaseret tilgang

iv) 

udvikling, test og gennemgang af planer for IKT-indsats- og -genopretning i overensstemmelse med denne forordnings artikel 25 og 26

v) 

gennemgang af effektiviteten af de gennemførte ordninger, planer, procedurer og mekanismer for IKT-driftsstabilitet i overensstemmelse med denne forordnings artikel 26

vi) 

samordning af politikken for IKT-driftsstabilitet med følgende:

1) 

den kommunikationspolitik, der er omhandlet i artikel 14, stk. 2, i forordning (EU) 2022/2554

2) 

de kommunikationstiltag og krisekommunikationstiltag, der er omhandlet i artikel 11, stk. 2, litra e), i forordning (EU) 2022/2554.
EULAW Artikel 24 2.

Foruden de i stk. 1 omhandlede krav sikrer centrale modparter, at deres politik for IKT-driftsstabilitet:

a) 

indeholder en maksimal genopretningstid for deres kritiske funktioner, som ikke overstiger 2 timer

b) 

tager hensyn til eksterne sammenkoblinger og indbyrdes afhængighed inden for de finansielle infrastrukturer, herunder markedspladser, der cleares af den centrale modpart, værdipapirafviklings- og betalingssystemer og kreditinstitutter, der anvendes af den centrale modpart eller en tilknyttet central modpart

c) 

indeholder krav om, at der er indført ordninger med henblik på at:

i) 

sikre stabiliteten af den centrale modparts kritiske eller vigtige funktioner på grundlag af katastrofescenarier

ii) 

vedligeholde et sekundært afviklingssted, der kan sikre stabilitet i den centrale modparts kritiske eller vigtige funktioner, og som er identisk med det primære anlæg

iii) 

vedligeholde eller opnå umiddelbar adgang til et sekundært forretningssted, således at personalet kan sikre tjenestens driftsstabilitet, hvis det primære forretningssted ikke er tilgængeligt

iv) 

tage hensyn til behovet for ekstra afviklingssteder, navnlig såfremt det primære og sekundære steds forskellige risikoprofiler ikke giver tilstrækkelig sikkerhed for, at den centrale modparts mål for driftsstabilitet vil blive opfyldt i alle scenarier.

Med henblik på litra a) afslutter centrale modparter under alle omstændigheder procedurer ved dagens afslutning og afvikler betalinger på det krævede tidspunkt og den krævede dag.

Med henblik på litra c), nr. i), skal de ordninger, der er omhandlet heri, omhandle tilgængeligheden af tilstrækkelige menneskelige ressourcer, den maksimale nedetid for kritiske funktioner og svigt samt genopretning på et sekundært afviklingssted.

Med henblik på litra c), nr. ii), skal det sekundære afviklingssted, der er omhandlet heri, have en geografisk risikoprofil, som er forskellig fra det primære afviklingssteds risikoprofil.
EULAW Artikel 24 3.

Foruden de i stk. 1 omhandlede krav sikrer værdipapircentraler, at deres politik for IKT-driftsstabilitet:

a) 

tager hensyn til eventuelle sammenkoblinger med og indbyrdes afhængighed mellem brugere, udbydere af kritiske hjælpeprogrammer og tjenester, andre værdipapircentraler og andre markedsinfrastrukturer

b) 

indeholder krav om, at deres ordninger for IKT-driftsstabilitet skal sikre, at målet om genopretningstid for deres kritiske eller vigtige funktioner ikke er længere end 2 timer.
EULAW Artikel 24 4.

Foruden de i stk. 1 omhandlede krav sørger markedspladser for, at deres politik for IKT-driftsstabilitet sikrer, at:

a) 

handelen kan genoptages inden for eller tæt på 2 timer efter en forstyrrende hændelse

b) 

den maksimale mængde data, der må gå tabt fra en hvilken som helst IT-tjeneste på markedspladsen efter en forstyrrende hændelse, er tæt på nul.
EULAW Artikel 25 1.
Når finansielle enheder tester planerne for IKT-driftsstabilitet i overensstemmelse med artikel 11, stk. 6, i forordning (EU) 2022/2554, tager de hensyn til den finansielle enheds forretningskonsekvensanalyse (BIA) og den IKT-risikovurdering, der er omhandlet i nærværende forordnings artikel 3, stk. 1, litra b).
EULAW Artikel 25 2.

Finansielle enheder vurderer gennem test af deres i stk. 1 omhandlede planer for IKT-driftsstabilitet, om de er i stand til at sikre stabilitet i den finansielle enheds kritiske eller vigtige funktioner. Nævnte test skal:

a) 

udføres på grundlag af testscenarier, der simulerer potentielle forstyrrelser, herunder et passende sæt alvorlige, men plausible scenarier

b) 

omfatte test af IKT-tjenester, der leveres af tredjepartsudbydere af IKT-tjenester, hvis det er relevant

c) 

for finansielle enheder, som ikke er mikrovirksomheder, jf. artikel 11, stk. 6, andet afsnit, i forordning (EU) 2022/2554, indeholde omstillingsscenarier mellem primær IKT-infrastruktur til redundant kapacitet, sikkerhedskopier og redundante faciliteter

d) 

være udformet på en måde, der anfægter de antagelser, som planerne for driftsstabilitet er baseret på, herunder ledelsesordninger og krisekommunikationsplaner

e) 

indeholde procedurer til efterprøvning af, at de finansielle enheders personale, tredjepartsudbydere af IKT-systemer, IKT-systemer og IKT-tjenester er i stand til at reagere hensigtsmæssigt på de scenarier, som der i behørig grad er taget hensyn til i overensstemmelse med artikel 26, stk. 2.

Med henblik på litra a) inkluderer finansielle enheder altid de scenarier, der overvejes i forbindelse med udarbejdelsen af planerne for driftsstabilitet, i test.

Med henblik på litra b) tager finansielle enheder behørigt hensyn til scenarier, der er forbundet med insolvens eller svigt hos tredjepartsudbydere af IKT-tjenester eller med politiske risici i tredjepartsudbydernes jurisdiktioner, hvis det er relevant.

Med henblik på litra c) skal det ved test efterprøves, om som minimum kritiske eller vigtige funktioner kan drives hensigtsmæssigt over en tilstrækkelig lang periode, og om den normale funktion kan genoprettes.
EULAW Artikel 25 3.

Foruden de i stk. 2 omhandlede krav inddrager centrale modparter følgende i testen af deres planer for IKT-driftsstabilitet, jf. stk. 1:

a) 

clearingmedlemmer

b) 

eksterne leverandører

c) 

relevante institutter i den finansielle infrastruktur, med hvem centrale modparter har angivet indbyrdes afhængighed i deres politikker for driftsstabilitet.
EULAW Artikel 25 4.

Foruden de i stk. 2 omhandlede krav inddrager værdipapircentraler følgende i testen af deres planer for IKT-driftsstabilitet, jf. stk. 1, alt efter hvad der er relevant:

a) 

brugere af værdipapircentralerne

b) 

udbydere af kritiske hjælpeprogrammer og tjenesteydelser

c) 

andre værdipapircentraler

d) 

andre markedsinfrastrukturer

e) 

andre institutter, med hvilke værdipapircentraler har angivet indbyrdes afhængighed i deres politik for driftsstabilitet.
EULAW Artikel 25 5.
Finansielle enheder dokumenterer resultaterne af den i stk. 1 omhandlede test. Eventuelle konstaterede mangler som følge af denne test analyseres, afhjælpes og indberettes til ledelsesorganet.
EULAW Artikel 26 1.

Ved udarbejdelsen af de planer for IKT-indsats- og -genopretning, der er omhandlet i artikel 11, stk. 3, i forordning (EU) 2022/2554, tager finansielle enheder hensyn til resultaterne af den finansielle enheds forretningskonsekvensanalyse (BIA). Disse planer for IKT-indsats- og -genopretning skal:

a) 

præcisere de forhold, der udløste deres aktivering eller deaktivering, og eventuelle undtagelser fra en sådan aktivering eller deaktivering

b) 

redegøre for, hvilke foranstaltninger der skal træffes for at sikre tilgængeligheden, integriteten, stabiliteten og genopretningen af som minimum IKT-systemer og -tjenester, der understøtter kritiske eller vigtige funktioner i den finansielle enhed

c) 

være udformet med henblik på at opfylde genopretningsmålene for de finansielle enheders operationer

d) 

dokumenteres og stilles til rådighed for det personale, der er involveret i gennemførelsen af planer for IKT-indsats- og -genopretning, og være let tilgængelige i nødsituationer

e) 

indeholde bestemmelser om både kort- og langsigtede genopretningsmuligheder, herunder delvis genopretning af systemer

f) 

fastsætte målene for planerne for IKT-indsats- og -genopretning og de betingelserne, under hvilke gennemførelsen af disse planer kan erklæres for vellykket.

Med henblik på litra d) giver finansielle enheder en klar præcisering af roller og ansvarsområder.
EULAW Artikel 26 2.

De i stk. 1 omhandlede planer for IKT-indsats- og -genopretning skal angive relevante scenarier, herunder scenarier, som indebærer alvorlige forretningsforstyrrelser og øget sandsynlighed for, at der opstår forstyrrelser. Disse planer skal indeholde scenarier baseret på aktuelle oplysninger om trusler og erfaringer, der er indhøstet fra tidligere forretningsforstyrrelser. Finansielle enheder tager behørigt hensyn til alle følgende scenarier:

a) 

cyberangreb og omstillingsscenarier mellem den primære IKT-infrastruktur og den redundante kapacitet, sikkerhedskopier og de redundante faciliteter

b) 

scenarier, hvor kvaliteten af leveringen af en kritisk eller vigtig funktion forringes til et uacceptabelt niveau eller svigter, og tager behørigt hensyn til de potentielle konsekvenser af insolvens eller andresvigt hos en relevant tredjepartsudbyder af IKT-tjenester

c) 

helt eller delvist svigt i lokaler, heriblandt kontor- og forretningslokaler, og datacentre

d) 

væsentlige svigt i IKT-aktiver eller kommunikationsinfrastrukturen

e) 

manglende tilgængelighed af et kritisk antal ansatte eller medarbejdere med ansvar for at sikre driftsstabiliteten

f) 

virkningerne af klimaændringer og miljøforringelsesrelaterede hændelser, naturkatastrofer, pandemier og fysiske angreb, herunder indtrængen og terrorangreb

g) 

insiderangreb

h) 

politisk og social ustabilitet, herunder, hvis det er relevant, i tredjepartsudbyderens jurisdiktion og på det sted, hvor dataene lagres og behandles

i) 

udbredte strømafbrydelser.
EULAW Artikel 26 3.
Hvis de primære genopretningsforanstaltninger ikke kan gennemføres på kort sigt på grund af omkostninger, risici, logistik eller uforudsete omstændigheder, skal det i de i stk. 1 omhandlede planer for IKT-indsats- og -genopretning overvejes at anvende alternative muligheder.
EULAW Artikel 26 4.
Som led i de i stk. 1 omhandlede de planer for IKT-indsats og -genopretning overvejer og gennemfører finansielle enheder foranstaltninger til driftsstabilitet, som skal afbøde svigt hos tredjepartsudbydere af IKT-tjenester, der understøtter kritiske eller vigtige funktioner i den finansielle enhed.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.