|
+Artikel 27 2. |
Artikel 27 2.Finansielle enheder medtager alle følgende oplysninger i den i stk. 1 omhandlede rapport:
a)
et indledende afsnit, der:
i)
klart identificerer den finansielle enhed, der er genstand for rapporten, og beskriver dens koncernstruktur, hvis det er relevant
ii)
beskriver konteksten for rapporten med hensyn til karakteren, omfanget og kompleksiteten af den finansielle enheds tjenester, aktiviteter og operationer, dens organisation, identificerede kritiske funktioner, strategi, store igangværende projekter eller aktiviteter, forbindelser og dens afhængighed af interne og kontraherede IKT-tjenester og -systemer eller de konsekvenser, som et samlet tab eller alvorlig forringelse af sådanne systemer ville have med hensyn til kritiske eller vigtige funktioner og markedseffektivitet
iii)
sammenfatter de vigtigste ændringer i rammen for IKT-risikostyring siden den foregående indsendte rapport
iv)
giver et sammendrag på ledelsesniveau af den nuværende og den kortsigtede IKT-risikoprofil, trusselsbilledet, den vurderede effektivitet af dens kontroller og den finansielle enheds sikkerhedsstatus
b)
den dato, på hvilken den finansielle enheds ledelsesorgan godkendte rapporten
c)
en beskrivelse af årsagen til gennemgangen af rammen for IKT-risikostyring i overensstemmelse med artikel 6, stk. 5, i forordning (EU) 2022/2554
d)
gennemgangsperiodens start- og slutdato
e)
en angivelse af, hvilken funktion der har ansvar for gennemgangen
f)
en beskrivelse af de vigtigste ændringer og forbedringer af rammen for IKT-risikostyring siden den foregående gennemgang
g)
et sammendrag af resultaterne af gennemgangen og en detaljeret analyse og vurdering af alvorligheden af svaghederne, manglerne og hullerne i rammen for IKT-risikostyring i gennemgangsperioden
h)
en beskrivelse af foranstaltningerne til afhjælpning af konstaterede svagheder, mangler og huller, herunder alle følgende:
i)
et sammendrag af de foranstaltninger, der er truffet for at udbedre konstaterede svagheder, mangler og huller
ii)
en forventet dato for gennemførelse af foranstaltningerne og datoer vedrørende den interne kontrol af gennemførelsen, herunder oplysninger om status for gennemførelsen af disse foranstaltninger på datoen for udarbejdelsen af rapporten, idet der i givet fald redegøres for, om der er risiko for, at fristerne ikke overholdes
iii)
de værktøjer, der skal anvendes, og identifikation af den funktion, der har ansvar for gennemførelsen af foranstaltningerne, med angivelse af, om værktøjerne og funktionerne er interne eller eksterne
iv)
en beskrivelse af indvirkningen af de påtænkte ændringer af foranstaltningerne på den finansielle enheds budgetmæssige, menneskelige og materielle ressourcer, herunder de ressourcer, der er afsat til gennemførelsen af eventuelle korrigerende foranstaltninger
v)
oplysninger om proceduren for underretning af den kompetente myndighed, hvis det er relevant
vi)
hvis de konstaterede svagheder, mangler eller huller ikke er genstand for korrigerende foranstaltninger, en detaljeret redegørelse for de kriterier, der anvendes til at analysere virkningen af disse svagheder, mangler eller huller med henblik på at evaluere den dermed forbundne resterende IKT-risiko, og af de kriterier, der er anvendt til at acceptere den relaterede resterende risiko
i)
oplysninger om den planlagte videre udvikling af rammen for IKT-risikostyring
j)
konklusioner fra gennemgangen af rammen for IKT-risikostyring
k)
oplysninger om tidligere gennemgange, herunder:
i)
en liste over de hidtidige gennemgange
ii)
hvis det er relevant, en status for gennemførelsen af de korrigerende foranstaltninger, der er angivet i den seneste rapport
iii)
hvis de foreslåede korrigerende foranstaltninger i tidligere gennemgange har vist sig at være ineffektive eller har medført uventede udfordringer, en beskrivelse af, hvordan disse korrigerende foranstaltninger kan forbedres, eller af disse uventede udfordringer
l)
informationskilder, der er anvendt ved udarbejdelsen af rapporten, herunder alle følgende:
i)
for andre finansielle enheder end mikrovirksomheder, jf. artikel 6, stk. 6, i forordning (EU) 2022/2554, resultaterne af interne revisioner
ii)
resultaterne af overensstemmelsesvurderingerne
iii)
resultater af test af digital operationel modstandsdygtighed og, hvis det er relevant, resultaterne af avanceret test af IKT-værktøjer, -systemer og -processer baseret på trusselsbaseret penetrationstest (TLPT)
iv)
eksterne kilder. Med henblik på litra c) skal rapporten, hvis gennemgangen blev indledt efter tilsynsmæssige instrukser eller konklusioner udledt af relevante test- eller revisionsprocesser for digital operationel modstandsdygtighed, indeholde udtrykkelige henvisninger til sådanne instrukser eller konklusioner, som gør det muligt at identificere årsagen til at indlede revisionen. Hvis gennemgangen blev indledt efter IKT-relaterede hændelser, skal rapporten indeholde en liste over alle IKT-relaterede hændelser med analyser af de grundlæggende årsager til hændelser. Med henblik på litra f) skal beskrivelsen indeholde en analyse af ændringernes indvirkning på den finansielle enheds strategi for digital operationel modstandsdygtighed, på den finansielle enheds ramme for intern IKT-kontrol og på den finansielle enheds forvaltning af IKT-risikostyring. 1. Oversigt
1.1 Referencer1.2 Identificerede krav1.3 Relaterede standarder2. Identificerede krav
3. Relaterede standarder
|