+Incident Communication and Reporting

Incident Communication and Reporting

Create communication plans to inform both internal (staff, senior management) and external (clients/customers, financial counterparts) stakeholders on incidents. Designate at least one person in the to be tasked with implementing the communication strategy for ICT- related incidents and fulfil the public and media function for that purpose. Inform affected customers promptly upon awareness of an incident that impacts them. Provide details on the incident and outline mitigating measures taken and planned. Report major incidents to the regulator, involving three stages: 1) initial notification upon discovering the incident (within 4 hours from the moment of classification of the incident as major, but no later than 24 hours from the time of detection of the incident) , 2) intermediate report on incident developments (within 72 hours from the submission of the initial notification even where the status or the handling of the incident have not changed, or when regular activities have been recovered), and 3) the final report with the root cause analysis and follow-up actions (no later than one month from the submission of the latest updated intermediate report). 

The reporting obligations may be outsourced to a third-party service provider. In case of such outsourcing, the financial entity remains fully responsible for the fulfilment of the incident reporting requirements.

Also provide notifications to the regulator on significant cyber threats. The incident reports and notifications on cyber threats shall follow the content guidelines defined in the corresponding RTS/ITS. 

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 13 2

2.   De finansielle enheder foretager gennemgange af IKT-relaterede hændelser, efter at en større IKT-relateret hændelse forstyrrer deres kerneaktiviteter, analyserer årsagerne til forstyrrelserne og identificerer nødvendige forbedringer af IKT-operationerne eller inden for rammerne af den i artikel 11 omhandlede politik for IKT-driftsstabilitet.

Finansielle enheder, som ikke er mikrovirksomheder, underretter på anmodning de kompetente myndigheder om ændringer, der er blevet gennemført efter gennemgange af IKT–relaterede hændelser som omhandlet i første afsnit.

I forbindelse med de i første afsnit omhandlede gennemgange af IKT-relaterede hændelser skal det fastslås, om de fastlagte procedurer er blevet fulgt, og om de iværksatte foranstaltninger har været effektive, herunder i forhold til følgende:

a)

den hastighed, med hvilken der er blevet sat ind over for sikkerhedsvarsler, og med hvilken virkningerne af IKT-relaterede hændelser og deres omfang er blevet fastslået

b)

kvaliteten og hastigheden af udførelsen af en kriminalteknisk analyse, hvor det skønnes hensigtsmæssigt

c)

effektiviteten af den finansielle enheds fejlafhjælpning i forbindelse med hændelser

d)

effektiviteten af den interne og eksterne kommunikation.
EULAW Artikel 14 3

3.   Mindst én person i den finansielle enhed skal have til opgave at gennemføre kommunikationsstrategien for IKT-relaterede hændelser og til dette formål varetage funktionen vedrørende offentligheden og medierne.
EULAW Artikel 17 1

1.   De finansielle enheder definerer, fastlægger og gennemfører en proces for styring af IKT-relaterede hændelser for at detektere, styre og indberette IKT-relaterede hændelser.
EULAW Artikel 17 2

2.   De finansielle enheder registrerer alle IKT-relaterede hændelser og væsentlige cybertrusler. De finansielle enheder fastlægger passende procedurer og processer, der skal sikre en konsekvent og integreret overvågning, håndtering og opfølgning af IKT-relaterede hændelser, således at de grundlæggende årsager identificeres, dokumenteres og håndteres for at forhindre, at sådanne hændelser forekommer.
EULAW Artikel 17 3

3.   Som led i den proces for styring af IKT-relaterede hændelser, der er omhandlet i stk. 1:

a)

indføres der tidlige advarselsindikatorer

b)

fastlægges der procedurer til at identificere, spore, logge, kategorisere og klassificere IKT-relaterede hændelser alt efter deres prioritet og vigtighed og alt efter den kritiske betydning i overensstemmelse med de kriterier, der er fastlagt i artikel 18, stk. 1

c)

tildeles der roller og ansvarsområder, som skal aktiveres for forskellige IKT-relaterede hændelsestyper og -scenarier

d)

udarbejdes der planer for kommunikation til personale, eksterne interessenter og medier i overensstemmelse med artikel 14 og for underretning af kunder, interne fejlafhjælpningsprocedurer, herunder IKT-relaterede kundeklager, samt for indgivelse af oplysninger til finansielle enheder, der fungerer som modparter, alt efter hvad der er relevant

e)

sikres det, at større IKT-relaterede hændelser som minimum indberettes til den relevante øverste ledelse, at ledelsesorganet som minimum underrettes om større IKT-relaterede hændelser, idet der redegøres for virkningerne, indsatsen og yderligere kontroller, som skal indføres som følge af sådanne IKT-relaterede hændelser

f)

træffes der indsatsforanstaltninger mod IKT-relaterede hændelser, som skal afbøde virkningerne og sikre, at tjenesterne bliver operationelle og sikre på en rettidig måde.
EULAW Artikel 19 1

1.   De finansielle enheder indberetter større IKT-relaterede hændelser til den relevante kompetente myndighed som omhandlet i artikel 46 i overensstemmelse med nærværende artikels stk. 4.

Hvis en finansiel enhed er underlagt tilsyn af mere end en national kompetent myndighed som omhandlet i artikel 46, udpeger medlemsstaterne en fælles kompetent myndighed som den relevante kompetente myndighed, der er ansvarlig for at udføre de i denne artikel omhandlede funktioner og opgaver.

Kreditinstitutter, der er klassificeret som signifikante i overensstemmelse med artikel 6, stk. 4, i forordning (EU) nr. 1024/2013, indberetter større IKT-relaterede hændelser til den relevante nationale kompetente myndighed, der er udpeget i overensstemmelse med artikel 4 i direktiv 2013/36/EU, og som øjeblikkeligt videresender den pågældende rapport til ECB.

Med henblik på første afsnit udarbejder de finansielle enheder efter indsamling og analyse af alle relevante oplysninger den indledende underretning og de rapporter, der er omhandlet i denne artikels stk. 4, ved brug af de modeller, der er omhandlet i artikel 20, og indgiver dem til den kompetente myndighed. Hvis det er teknisk umuligt at indgive den indledende underretning ved brug af modellen, meddeler de finansielle enheder den kompetente myndighed den på anden vis.

Den indledende underretning og de rapporter, der er omhandlet i stk. 4, skal indeholde alle de oplysninger, der er nødvendige for, at den kompetente myndighed kan fastslå, hvorvidt den større IKT-relaterede hændelse er væsentlig, og vurdere mulige grænseoverskridende virkninger.

Med forbehold af den finansielle enheds indberetning i henhold til første afsnit til den relevante kompetente myndighed kan medlemsstaterne derudover bestemme, at visse eller alle finansielle enheder også skal indgive den indledende underretning og hver enkelt rapport som omhandlet i denne artikels stk. 4 ved brug af de modeller, der er omhandlet i artikel 20, til de kompetente myndigheder eller til de enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er), som er udpeget eller oprettet i overensstemmelse med direktiv (EU) 2022/2555.
EULAW Artikel 19 2

2.   De finansielle enheder kan på frivillig basis underrette den relevante kompetente myndighed om væsentlige cybertrusler, når de anser truslen for at være relevant for det finansielle system, tjenestebrugere eller kunder. Den relevante kompetente myndighed kan give sådanne oplysninger til andre relevante myndigheder som omhandlet i stk. 6.

Kreditinstitutter, der er klassificeret som signifikante i overensstemmelse med artikel 6, stk. 4, i forordning (EU) nr. 1024/2013, kan på frivillig basis underrette den relevante nationale kompetente myndighed, der er udpeget i overensstemmelse med artikel 4 i direktiv 2013/36/EU, og som øjeblikkeligt videresender underretningen til ECB, om væsentlige cybertrusler.

Medlemsstaterne kan bestemme, at disse finansielle enheder, som på frivillig basis indgiver en underretning, jf. først afsnit, også kan videresende den pågældende underretning til de CSIRT'er, der er udpeget eller oprettet i overensstemmelse med direktiv (EU) 2022/2555
EULAW Artikel 19 3

3.   Hvis en større IKT-relateret hændelse indtræffer og har indflydelse på kunders finansielle interesser, underretter de finansielle enheder uden unødigt ophold, så snart de får kendskab til den, deres kunder om den større IKT-relaterede hændelse og om de foranstaltninger, der er truffet for at afbøde de negative virkninger af en sådan hændelse.

I tilfælde af en væsentlig cybertrussel underretter de finansielle enheder, hvis det er relevant, de af deres kunder, som potentielt er berørt heraf, om eventuelle passende beskyttelsesforanstaltninger, som sidstnævnte kan overveje at træffe.
EULAW Artikel 19 4

4.   De finansielle enheder indgiver inden for de frister, der skal fastsættes i overensstemmelse med artikel 20, stk. 1, litra a), nr. ii), følgende til den relevante kompetente myndighed:

a)

en indledende underretning

b)

en foreløbig rapport efter den indledende underretning, jf. litra a), så snart den oprindelige hændelses status har ændret sig betydeligt, eller håndteringen af den større IKT-relaterede hændelse har ændret sig på grundlag af nye tilgængelige oplysninger, efterfulgt, alt efter hvad der er relevant, af ajourførte underretninger, hver gang der foreligger en relevant ajourføring af status, samt efter en specifik anmodning fra den kompetente myndighed

c)

en endelig rapport, når den grundlæggende årsagsanalyse er afsluttet, uanset om der allerede er gennemført afbødende foranstaltninger, og når tallene for de faktiske virkninger foreligger og kan erstatte skøn.
EULAW Artikel 19 5

5.   De finansielle enheder kan i overensstemmelse med EU- og national sektorspecifik ret outsource opfyldelsen af indberetningsforpligtelserne i henhold til denne artikel til en tredjepartstjenesteudbyder. I tilfælde af en sådan outsourcing er den finansielle enhed fortsat fuldt ud ansvarlig for at opfylde kravene vedrørende indberetning af hændelser.