+Afdeling 2
---+Artikel 3 IKT-risikostyring

Afdeling 2

Afdeling 2

1. Oversigt

,
Artikel 3 IKT-risikostyring

Artikel 3

IKT-risikostyring

Finansielle enheder udvikler, dokumenterer og gennemfører IKT-risikostyringspolitikker og -procedurer, som skal indeholde alle følgende:

a) 

en angivelse af godkendelsen af det risikotoleranceniveau for IKT-risiko, der er fastsat i overensstemmelse med artikel 6, stk. 8, litra b), i forordning (EU) 2022/2554

b) 

en procedure for og metode til gennemførelse af IKT-risikovurdering, der identificerer:

i) 

sårbarheder og trusler, der påvirker eller kan påvirke de understøttede forretningsfunktioner, IKT-systemer og IKT-aktiver, der understøtter disse funktioner

ii) 

de kvantitative eller kvalitative indikatorer til måling af indvirkningen af og sandsynligheden for de sårbarheder og trusler, der er omhandlet i nr. i)

c) 

proceduren for identifikation, gennemførelse og dokumentation af foranstaltninger til IKT-risikobehandling med henblik på de identificerede og vurderede IKT-risici, herunder fastlæggelse af de foranstaltninger til IKT-risikobehandling, der er nødvendige for, at IKT-risikoen holdes inden for det risikotoleranceniveau, der er omhandlet i litra a)

d) 

for de resterende IKT-risici, der stadig er til stede efter gennemførelsen af de foranstaltninger til IKT-risikobehandling, der er omhandlet i litra c):

i) 

bestemmelser om identifikation af disse resterende IKT-risici

ii) 

tildeling af roller og ansvarsområder vedrørende:

1) 

accepten af de resterende IKT-risici, der overskrider den finansielle enheds risikotoleranceniveau, jf. litra a),

2) 

den proces for gennemgang, der er omhandlet i dette litra d), nr. iv)

iii) 

udarbejdelse af en fortegnelse over de accepterede resterende IKT-risici, herunder en begrundelse for accepten heraf

iv) 

bestemmelser om gennemgangen af de accepterede resterende IKT-risici mindst én gang om året, herunder:

1) 

identifikation af eventuelle ændringer i de resterende IKT-risici

2) 

vurderingen af tilgængelige afbødende foranstaltninger

3) 

vurderingen af, om begrundelserne for accept af resterende IKT-risici stadig er gyldige og gældende på datoen for gennemgangen

e) 

bestemmelser om overvågning af:

i) 

eventuelle ændringer i IKT-risikoen og cybertrusselsbilledet

ii) 

interne og eksterne sårbarheder og trusler:

iii) 

den finansielle enheds IKT-risiko, der muliggør hurtig detektion af ændringer, der kan påvirke dens IKT-risikoprofil

f) 

bestemmelser om en proces, der skal sikre, at der tages hensyn til eventuelle ændringer af den finansielle enheds forretningsstrategi og strategi for digital operationel modstandsdygtighed.

Med henblik på stk. 1, litra c), skal den procedure, der er omhandlet i nævnte litra, sikre:

a) 

overvågning, om de gennemførte foranstaltninger til IKT-risikobehandling er effektive

b) 

vurdering af, om den finansielle enheds fastsatte risikotoleranceniveauer er nået

c) 

vurdering af, om den finansielle enhed har truffet foranstaltninger til at korrigere eller forbedre disse foranstaltninger, hvis det er nødvendigt.

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

Krav

3. Relaterede standarder

Standarder