Del VI – Ledelsessystem for forretningskontinuitet

Uden at det berører de gældende krav i henhold til DORA, bør udstedere af ART'er som led i gennemførelsen af deres forretningskontinuitetspolitik og -planer, der er udarbejdet i henhold til artikel 34, stk. 9, i forordning (EU) 2023/1114, indføre et forsvarligt ledelsessystem for forretningskontinuitet samt beredskabs- og genopretningsplaner for at sikre deres evne til at opretholde driften, håndtere hændelser, der kan forstyrre udførelsen af kritiske operationer i overensstemmelse med udstederen af ART'ers risikoappetit og tolerance over for forstyrrelser og for at begrænse tab og forstyrrelser i udførelsen af tjenester i tilfælde af alvorlige forretningsmæssige forstyrrelser. Udstedere af ART'er kan oprette en specifik uafhængig forretningskontinuitetsfunktion under hensyntagen til proportionalitetskriterierne, jf. del I.

En udsteder af ART'er er afhængig af en række kritiske ressourcer (f.eks. IT-systemer, herunder cloudtjenester, kommunikationssystemer, kernemedarbejdere og bygninger). Formålet med et ledelsessystem for forretningskontinuitet er at begrænse de driftsmæssige, finansielle, juridiske, omdømmemæssige og andre væsentlige følger af en katastrofe eller en længerevarende afbrydelse af disse ressourcer og deraf følgende forstyrrelse af udstederen af ART'ers normale forretningsdrift. Andre risikostyringsforanstaltninger kan have til formål at mindske sandsynligheden for sådanne hændelser eller at overføre de finansielle konsekvenser heraf til tredjeparter (f.eks. gennem forsikring).

For at oprette en forsvarlig forretningskontinuitetsplan bør en udsteder af ART'er nøje analysere risikofaktorer, og sin eksponering, for alvorlige forretningsmæssige forstyrrelser og (kvantitativt og kvalitativt) vurdere disses potentielle virkning ved hjælp af interne og/eller eksterne data og scenarieanalyse. Analysen bør teste udstederen af ART'ers evne til at udføre kritiske operationer under forstyrrelser og bør omfatte alle forretningsområder og interne enheder, herunder risikostyringsfunktionen eller risikostyringsprocedurerne, og bør tage hensyn til deres indbyrdes afhængighed. Resultaterne af analysen bør bidrage til at definere udstederen af ART'ers prioriteter og målsætninger for genoprettelse.

En udsteder af ART'er bør på grundlag af ovennævnte analyse udarbejde følgende:

• a. beredskabs- og forretningskontinuitetsplaner, som sikrer, at udstederen af ART'er reagerer hensigtsmæssigt i nødsituationer og kan gennemføre kritiske operationer og opretholde væsentlige data i tilfælde af en forstyrrelse i udstederens normale drift
• b. genopretningsplaner for kritiske ressourcer og kritiske eller vigtige funktioner for at muliggøre genopretning efter en forstyrrelse og gøre det muligt for udstederen af ART'er at vende tilbage til normal drift inden for en rimelig tidsramme. Enhver restrisiko fra potentielle forretningsmæssige forstyrrelser bør ligge inden for udstederen af ART'ers risikoappetit.
• c. for andre aktiviteter, eller hvor det er umuligt at sikre opretholdelsen af kritiske væsentlige funktioner, bør udstedere af ART'er have indført procedurer for rettidig genopretning af data og funktioner og rettidig genoptagelse af aktiviteterne.

Beredskabs-, forretningskontinuitets- og genopretningsplaner bør være dokumenteret og nøje implementeret. Dokumentationen bør være tilgængelig i forretningsområderne, de interne enheder og risikostyringsfunktionen for medarbejdere med ansvar for risikostyringsprocedurer og bør lagres i systemer, der er fysisk adskilt og let tilgængelige i tilfælde af en nødsituation. Der bør tilbydes relevant uddannelse. Planerne bør testes og opdateres regelmæssigt. Ethvert problem eller enhver driftsforstyrrelse, der opstår i forbindelse med en test, bør dokumenteres og analyseres, og planerne bør revideres i overensstemmelse hermed.