+Cyber Threat Classification Criteria and Information Exchenge

Cyber Threat Classification Criteria and Information Exchenge

Classify significant cyber threats. A threat is considered significant if it has a high probability of materialisation, could meet any of the criteria that classify as a 'major incident' when materialised, and when it could affect or could have affected critical or important functions of the financial entity, or could affect other financial entities, third party providers, clients or financial counterparts.

Cyber threat information and intelligence may be exchanged  with other financial entities, ensuring such sharing enhances digital operational resilience. In this case, ensure that the exchange  includes information such as indicators of compromise, tactics, techniques, procedures, alerts, and configuration tools. The exchange must occur within trusted communities and be governed by information-sharing arrangements that safeguard business confidentiality, personal data , and respect competition law. These arrangements shall clearly define participation conditions, address the potential involvement of public authorities and ICT third-party providers, and specify operational aspects, including the use of secure IT platforms. Notify competent authorities upon joining or leaving such arrangements.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 18 1

1.   De finansielle enheder klassificerer IKT-relaterede hændelser og fastslår deres virkninger på grundlag af følgende kriterier:

a)

antallet og/eller relevansen af kunder eller finansielle modparter, som er berørt, og, hvis det er relevant, beløbet på eller antallet af de transaktioner, som er berørt af den IKT-relaterede hændelse, og hvorvidt den IKT-relaterede hændelse har haft indvirkning på omdømmet

b)

varigheden af den IKT-relaterede hændelse, herunder tjenestens nedetid

c)

den geografiske udbredelse med hensyn til de områder, der er berørt af den IKT-relaterede hændelse, navnlig hvis den berører mere end to medlemsstater

d)

de datatab, som den IKT-relaterede hændelse medfører med hensyn til tilgængelighed, autenticitet, integritet eller fortrolighed af data

e)

den kritiske betydning af de berørte tjenester, herunder den finansielle enheds transaktioner og operationer

f)

de økonomiske virkninger, navnlig direkte og indirekte omkostninger og tab, af den IKT-relaterede hændelse i både absolutte og relative tal.
EULAW Artikel 18 2

2.   De finansielle enheder klassificerer cybertrusler som væsentlige på grundlag af de udsatte tjenesters kritiske betydning, herunder den finansielle enheds transaktioner og operationer, antallet og/eller relevansen af de kunder eller finansielle modparter, som rammes, og risikoområdernes geografiske udbredelse.
EULAW Artikel 45 1

1.   De finansielle enheder kan indbyrdes udveksle oplysninger og efterretninger om cybertrusler, herunder kompromitteringsindikatorer, taktikker, teknikker og procedurer, cybersikkerhedsvarsler og konfigurationsværktøjer, i det omfang en sådan udveksling af oplysninger og efterretninger:

a)

har til formål at forbedre finansielle enheders digitale operationelle modstandsdygtighed, navnlig ved at øge bevidstheden om cybertrusler, begrænse eller hindre cybertruslernes spredningsevne, understøtte forsvarskapaciteter, teknikker til detektion af trusler, strategier for afbødning eller indsats- og genopretningsfaser

b)

finder sted inden for betroede fællesskaber af finansielle enheder

c)

gennemføres gennem ordninger for informationsudveksling, der beskytter de udvekslede oplysningers potentielt sensitive karakter, og som er omfattet af adfærdsregler med fuld respekt for forretningshemmeligheder, beskyttelse af personoplysninger i overensstemmelse med forordning (EU) 2016/679 og retningslinjer for konkurrencepolitikken.
EULAW Artikel 45 2

2.   Med henblik på stk. 1, litra c), fastlægger ordningerne for informationsudveksling betingelserne for deltagelse og fastsætter, hvor det er relevant, de nærmere bestemmelser om inddragelse af offentlige myndigheder og om den egenskab, i hvilken de kan indgå i ordninger for informationsudveksling, om inddragelse af tredjepartsudbydere af IKT-tjenester og om operationelle elementer, herunder anvendelsen af særlige IT-platforme.
EULAW Artikel 45 3

3.   De finansielle enheder underretter de kompetente myndigheder om deres deltagelse i de i stk. 1 omhandlede ordninger for informationsudveksling efter validering af deres medlemskab eller, alt efter hvad der er relevant, ophør af deres medlemskab, når det træder i kraft.