+Knowledge of the Management Body

Knowledge of the Management Body

The Management body shall ensure that it is kept up to date with sufficient knowledge and skills to understand and assess ICT risks and operations (e.g. through periodic trainings).

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 5 1

1.   Finansielle enheder skal have indført en intern forvaltnings- og kontrolramme, der sikrer en effektiv og forsigtig styring af IKT-risiko, i overensstemmelse med artikel 6, stk. 4, for at opnå et højt niveau af digital operationel modstandsdygtighed.
EULAW Artikel 5 2

2.   Ledelsesorganet i den finansielle enhed fastlægger, godkender, fører tilsyn med og har ansvar for gennemførelsen af alle ordninger vedrørende de rammer for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1.

Med henblik på første afsnit er det ledelsesorganet, som

a)

har det endelige ansvar for styringen af den finansielle enheds IKT-risiko

b)

indfører politikker, der har til formål at sikre opretholdelse af høje standarder for tilgængeligheden, autenticiteten, integriteten og fortroligheden af data

c)

fastlægger klare roller og ansvarsområder for alle IKT-relaterede funktioner og etablerer passende forvaltningsordninger for at sikre effektiv og rettidig kommunikation, samarbejde og koordinering mellem disse funktioner

d)

har det samlede ansvar for fastlæggelse og godkendelse af strategien for digital operationel modstandsdygtighed, jf. artikel 6, stk. 8, herunder fastsættelse af et passende risikotoleranceniveau for IKT-risiko i den finansielle enhed, jf. artikel 6, stk. 8, litra b)

e)

godkender, fører tilsyn med og regelmæssigt gennemgår gennemførelsen af den finansielle enheds politik for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning, jf. henholdsvis artikel 11, stk. 1 og 3, der kan vedtages som en særlig specifik politik, der udgør en integrerende del af den finansielle enheds samlede politik for driftsstabilitet og indsats- og genopretningsplan

f)

godkender og regelmæssigt gennemgår den finansielle enheds interne IKT-revisionsplaner, IKT-revisioner og væsentlige ændringer heraf

g)

tildeler og regelmæssigt gennemgår et passende budget for at opfylde den finansielle enheds behov i forbindelse med digital operationel modstandsdygtighed med hensyn til alle ressourcetyper, herunder relevante IKT-programmer til bevidstgørelse om IKT-sikkerhed og kurser i digital operationel modstandsdygtighed, jf. artikel 13, stk. 6, og IKT-færdigheder for alt personale

h)

godkender og regelmæssigt gennemgår den finansielle enheds politik vedrørende ordninger for brug af IKT-tjenester, der leveres af tredjepartsudbydere af IKT-tjenester

i)

indfører indberetningskanaler på virksomhedsniveau, der gør det muligt for det at blive behørigt underrettet om følgende:

i)

ordninger, der er indgået med tredjepartsudbydere af IKT-tjenester vedrørende brugen af IKT-tjenester

ii)

relevante planlagte væsentlige ændringer, som vedrører tredjepartsudbydere af IKT-tjenester

iii)

potentielle virkninger af sådanne ændringer på de kritiske eller vigtige funktioner, der er omfattet af disse ordninger, herunder en sammenfatning af risikoanalysen med henblik på at vurdere virkningerne af disse ændringer og som minimum større IKT-relaterede hændelser og deres virkninger samt indsatsforanstaltninger, genopretningsforanstaltninger og korrigerende foranstaltninger.
EULAW Artikel 5 3

3.   Finansielle enheder, som ikke er mikrovirksomheder, skal oprette en funktion med henblik på overvågning af de ordninger, der er indgået med tredjepartsudbydere af IKT-tjenester vedrørende brugen af IKT-tjenester, eller udpege et medlem af den øverste ledelse som tilsynsansvarlig for den dermed forbundne risikoeksponering og relevante dokumentation.
EULAW Artikel 5 4

4.   Medlemmerne af den finansielle enheds ledelsesorgan holder aktivt den viden og de færdigheder, der er nødvendige for at forstå og vurdere IKT-risiko og dens indvirkning på den finansielle enheds drift, ajour, herunder ved regelmæssigt at følge særlige kurser, svarende til den IKT-risiko, der styres.
EULAW Artikel 6 8

8.   Rammen for IKT-risikostyring skal omfatte en strategi for digital operationel modstandsdygtighed, der fastsætter, hvordan rammen gennemføres. Med henblik herpå skal strategien for digital operationel modstandsdygtighed omfatte metoderne til håndtering af IKT-risiko og opfylde specifikke IKT-mål ved at

a)

redegøre for, hvordan rammen for IKT-risikostyring understøtter den finansielle enheds forretningsstrategi og -mål

b)

fastlægge risikotoleranceniveauet for IKT-risiko i overensstemmelse med den finansielle enheds risikovillighed og analysere tolerancen over for virkninger af IKT-forstyrrelser

c)

fastsætte klare informationssikkerhedsmål, herunder centrale resultatindikatorer og centrale risikoparametre

d)

redegøre for IKT-referencearkitekturen og eventuelle ændringer, der er nødvendige for at nå specifikke forretningsmål

e)

beskrive de forskellige indførte mekanismer til detektion af IKT-relaterede hændelser, forebygge deres virkning og give beskyttelse mod den

f)

dokumentere den nuværende situation for den digitale operationelle modstandsdygtighed på grundlag af antallet af indberettede større IKT-relaterede hændelser og de forebyggende foranstaltningers effektivitet

g)

gennemføre test af digital operationel modstandsdygtighed i overensstemmelse med denne forordnings kapitel IV

h)

fastlægge en kommunikationsstrategi i tilfælde af IKT-relaterede hændelser, hvis offentliggørelse er påkrævet i henhold til artikel 14.
EULAW Artikel 13 4

4.   De finansielle enheder overvåger effektiviteten af gennemførelsen af deres strategi for digital operationel modstandsdygtighed, jf. artikel 6, stk. 8. De kortlægger IKT-risikoens udvikling over tid, analyserer hyppigheden, typerne, omfanget af og udviklingen i IKT-relaterede hændelser, navnlig cyberangreb og mønstre forbundet hermed, med henblik på at forstå graden af IKT-risikoeksponering, navnlig i forbindelse med kritiske eller vigtige funktioner, og forbedre den finansielle enheds cybermodenhed og cyberberedskab.