Risk Management Policy

1.   Οι χρηματοοικονομικές οντότητες διαθέτουν ισχυρό, ολοκληρωμένο και άρτια τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ στο πλαίσιο του συνολικού τους συστήματος διαχείρισης κινδύνων, που τους επιτρέπει να αντιμετωπίζουν τους κινδύνους ΤΠΕ με γρήγορο, αποτελεσματικό και εμπεριστατωμένο τρόπο και να διασφαλίζουν υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας.

2.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει τουλάχιστον στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ που απαιτούνται για τη δέουσα και επαρκή προστασία όλων των πληροφοριακών πόρων και πόρων ΤΠΕ, συμπεριλαμβανομένου του λογισμικού, του υλισμικού, των διακομιστών, καθώς και για την προστασία όλων των σχετικών υλικών συνιστωσών και υποδομών, όπως εγκαταστάσεων, κέντρων δεδομένων και ευαίσθητων οριοθετημένων χώρων, ώστε να διασφαλίζεται ότι όλοι αυτοί οι πληροφοριακοί πόροι και πόροι ΤΠΕ προστατεύονται επαρκώς από κινδύνους, συμπεριλαμβανομένων τυχόν βλάβης και μη εξουσιοδοτημένης πρόσβασης ή χρήσης.

3.   Σύμφωνα με το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες ελαχιστοποιούν τις επιπτώσεις των κινδύνων ΤΠΕ με την ανάπτυξη κατάλληλων στρατηγικών, πολιτικών, διαδικασιών, πρωτοκόλλων ΤΠΕ και εργαλείων. Παρέχουν πλήρεις και επικαιροποιημένες πληροφορίες σχετικά με τους κινδύνους ΤΠΕ και σχετικά με το πλαίσιό τους για τη διαχείριση κινδύνων ΤΠΕ στις αρμόδιες αρχές κατόπιν αιτήματός τους.

4.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, εκχωρούν την ευθύνη για τη διαχείριση και την εποπτεία των κινδύνων ΤΠΕ σε μια λειτουργία ελέγχου και διασφαλίζουν σε επαρκές επίπεδο την ανεξαρτησία της εν λόγω λειτουργίας ελέγχου, προκειμένου να αποφεύγεται η σύγκρουση συμφερόντων. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τον κατάλληλο διαχωρισμό και την κατάλληλη ανεξαρτησία των λειτουργιών διαχείρισης κινδύνων ΤΠΕ, των λειτουργιών ελέγχου και των λειτουργιών εσωτερικής επιθεώρησης, σύμφωνα με το μοντέλο των τριών γραμμών άμυνας ή ένα εσωτερικό μοντέλο διαχείρισης κινδύνων και ελέγχου.

5.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ τεκμηριώνεται και επανεξετάζεται τουλάχιστον μία φορά ετησίως, ή περιοδικά όσον αφορά τις πολύ μικρές επιχειρήσεις, καθώς και κατά την επέλευση μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, και σύμφωνα με εποπτικές οδηγίες ή συμπεράσματα που προκύπτουν από σχετικές δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας ή διαδικασίες ελέγχου. Το πλαίσιο βελτιώνεται διαρκώς με βάση τα διδάγματα που αντλούνται από την εφαρμογή και την παρακολούθηση. Έκθεση σχετικά με την επανεξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ υποβάλλεται στην αρμόδια αρχή κατόπιν αιτήματός της.

6.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ των χρηματοοικονομικών οντοτήτων, πλην των πολύ μικρών επιχειρήσεων, υπόκειται σε εσωτερική επιθεώρηση από ελεγκτές σε τακτική βάση, σύμφωνα με το πρόγραμμα ελέγχου των χρηματοοικονομικών οντοτήτων. Οι εν λόγω ελεγκτές διαθέτουν επαρκείς γνώσεις, δεξιότητες και εμπειρογνωσία όσον αφορά τους κινδύνους ΤΠΕ, καθώς και κατάλληλη ανεξαρτησία. Η συχνότητα και η εστίαση των ελέγχων ΤΠΕ είναι ανάλογες προς τους κινδύνους ΤΠΕ που αντιμετωπίζει η χρηματοοικονομική οντότητα.

7.   Με βάση τα συμπεράσματα της επανεξέτασης εσωτερικής επιθεώρησης, οι χρηματοοικονομικές οντότητες θεσπίζουν επίσημη διαδικασία παρακολούθησης, συμπεριλαμβανομένων κανόνων για την έγκαιρη επαλήθευση και αποκατάσταση κρίσιμων ευρημάτων ελέγχου ΤΠΕ.

8.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας για τον καθορισμό του τρόπου εφαρμογής του πλαισίου. Για τον σκοπό αυτόν, η στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας περιλαμβάνει τις μεθόδους αντιμετώπισης κινδύνων ΤΠΕ και επίτευξης συγκεκριμένων στόχων ΤΠΕ, ως εξής:

9.   Οι χρηματοοικονομικές οντότητες μπορούν, στο πλαίσιο της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στην παράγραφο 8, να καθορίσουν μια ολιστική στρατηγική πολλαπλών προμηθευτών ΤΠΕ, σε επίπεδο ομίλου ή οντότητας, η οποία αναδεικνύει βασικές εξαρτήσεις από τρίτους παρόχους υπηρεσιών ΤΠΕ και επεξηγεί το σκεπτικό στο οποίο βασίζεται ο συνδυασμός προμηθειών από τρίτους παρόχους υπηρεσιών ΤΠΕ.

10.   Οι χρηματοοικονομικές οντότητες δύνανται, σύμφωνα με το ενωσιακό και το εθνικό τομεακό δίκαιο, να αναθέσουν τα καθήκοντα επαλήθευσης της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ σε ενδοομιλικές ή εξωτερικές επιχειρήσεις. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την επαλήθευση της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ.

6.   Στο πλαίσιο της ολοκληρωμένης διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες:

Για τους σκοπούς του πρώτου εδαφίου στοιχείο α), οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, περιλαμβάνουν στα σχέδια δοκιμών σενάρια κυβερνοεπιθέσεων και μετάβασης μεταξύ της κύριας υποδομής ΤΠΕ και της εφεδρικής χωρητικότητας, αντίγραφα ασφαλείας και εφεδρικές εγκαταστάσεις που απαιτούνται για την εκπλήρωση των υποχρεώσεων που προβλέπονται στο άρθρο 12.

Οι χρηματοοικονομικές οντότητες επανεξετάζουν ανά τακτά χρονικά διαστήματα τα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ και αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, λαμβάνοντας υπόψη τα αποτελέσματα των δοκιμών που διενεργούνται σύμφωνα με το πρώτο εδάφιο και τις συστάσεις που προκύπτουν από ελέγχους ή εποπτικές αξιολογήσεις.