+Άρθρο 33 Καθήκοντα του κύριου εποπτικού φορέα
---+Άρθρο 33 1
---+Άρθρο 33 2
---+Άρθρο 33 3
---+Άρθρο 33 4
---+Άρθρο 33 5
|
Άρθρο 33 Καθήκοντα του κύριου εποπτικού φορέα
1. Επισκόπηση
| Τίτλος |
Κανονισμός |
|
Άρθρο 33 1
|
1. Ο κύριος εποπτικός φορέας, ο οποίος διορίζεται σύμφωνα με το άρθρο 31 παράγραφος 1 στοιχείο β), ασκεί την εποπτεία των τρίτων παρόχων υπηρεσιών ΤΠΕ που του έχουν ανατεθεί, και είναι, για τους σκοπούς όλων των θεμάτων που σχετίζονται με την εποπτεία, το κύριο σημείο επαφής για τους εν λόγω κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.
|
|
Άρθρο 33 2
|
2. Για τους σκοπούς της παραγράφου 1, ο κύριος εποπτικός φορέας αξιολογεί αν κάθε κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ διαθέτει εμπεριστατωμένους, ορθούς και αποτελεσματικούς κανόνες, διαδικασίες, μηχανισμούς και ρυθμίσεις για τη διαχείριση του κινδύνου ΤΠΕ στον οποίο ενδέχεται να εκθέτει τις χρηματοοικονομικές οντότητες.
Η αξιολόγηση που αναφέρεται στο πρώτο εδάφιο επικεντρώνεται κυρίως στις υπηρεσίες ΤΠΕ που παρέχονται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων. Όταν είναι αναγκαίο για την αντιμετώπιση όλων των σχετικών κινδύνων, η εν λόγω αξιολόγηση επεκτείνεται σε υπηρεσίες ΤΠΕ που υποστηρίζουν λειτουργίες πέραν των κρίσιμων ή σημαντικών.
|
|
Άρθρο 33 3
|
3. Η αξιολόγηση που αναφέρεται στην παράγραφο 2 καλύπτει:
|
α)
|
απαιτήσεις ΤΠΕ για τη διασφάλιση, ιδίως, της ασφάλειας, της διαθεσιμότητας, της συνέχειας, της επεκτασιμότητας και της ποιότητας των υπηρεσιών που παρέχει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ σε χρηματοοικονομικές οντότητες, καθώς και την ικανότητα να διατηρεί ανά πάσα στιγμή υψηλά πρότυπα διαθεσιμότητας, γνησιότητας, ακεραιότητας και εμπιστευτικότητας των δεδομένων,
|
|
β)
|
την υλική ασφάλεια που συμβάλλει στη διασφάλιση της ασφάλειας των ΤΠΕ, συμπεριλαμβανομένης της ασφάλειας των χώρων, των εγκαταστάσεων, των κέντρων δεδομένων,
|
|
γ)
|
τις διαδικασίες διαχείρισης κινδύνων, συμπεριλαμβανομένων των πολιτικών για τη διαχείριση κινδύνων ΤΠΕ και της πολιτικής επιχειρησιακής συνέχειας των ΤΠΕ και των σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ,
|
|
δ)
|
τις ρυθμίσεις διακυβέρνησης, συμπεριλαμβανομένης της οργανωτικής δομής με σαφείς, διαφανείς και συνεκτικούς κανόνες για τα όρια αρμοδιότητας και λογοδοσίας που καθιστούν δυνατή την αποτελεσματική διαχείριση κινδύνων ΤΠΕ,
|
|
ε)
|
τον προσδιορισμό, την παρακολούθηση και την έγκαιρη αναφορά σημαντικών συμβάντων που σχετίζονται με τις ΤΠΕ στις χρηματοοικονομικές οντότητες, τη διαχείριση και την επίλυση των συμβάντων αυτών, ιδίως κυβερνοεπιθέσεων,
|
|
στ)
|
τους μηχανισμούς φορητότητας δεδομένων, φορητότητας εφαρμογών και διαλειτουργικότητας, οι οποίοι διασφαλίζουν την αποτελεσματική άσκηση δικαιωμάτων καταγγελίας από τις χρηματοοικονομικές οντότητες,
|
|
ζ)
|
τη δοκιμή συστημάτων, υποδομών και δικλείδων ασφάλειας ΤΠΕ,
|
|
θ)
|
τη χρήση σχετικών εθνικών και διεθνών προτύπων που ισχύουν για την παροχή των υπηρεσιών ΤΠΕ στις χρηματοοικονομικές οντότητες.
|
|
|
Άρθρο 33 4
|
4. Με βάση την αξιολόγηση που αναφέρεται στην παράγραφο 2 και σε συντονισμό με το δίκτυο κοινής εποπτείας (ΔΚΕ) που αναφέρεται στο άρθρο 34 παράγραφος 1, ο κύριος εποπτικός φορέας εγκρίνει σαφές, λεπτομερές και τεκμηριωμένο εξατομικευμένο σχέδιο εποπτείας στο οποίο περιγράφονται οι ετήσιοι στόχοι εποπτείας και οι κύριες δράσεις εποπτείας που σχεδιάζονται για κάθε κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ. Το σχέδιο αυτό κοινοποιείται ετησίως στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.
Πριν από την έγκριση του σχεδίου εποπτείας, ο κύριος εποπτικός φορέας κοινοποιεί το προσχέδιο εποπτείας στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.
Μετά την παραλαβή του προσχεδίου εποπτείας, ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ μπορεί να υποβάλει αιτιολογημένη δήλωση εντός 15 ημερολογιακών ημερών, αποδεικνύοντας τον αναμενόμενο αντίκτυπο στους πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού και, κατά περίπτωση, διατυπώνοντας λύσεις για τον μετριασμό των κινδύνων.
|
|
Άρθρο 33 5
|
5. Μόλις εγκριθούν τα ετήσια σχέδια εποπτείας που αναφέρονται στην παράγραφο 4 και κοινοποιηθούν στους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, οι αρμόδιες αρχές δύνανται να λάβουν μέτρα για τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ μόνο κατόπιν συμφωνίας με τον κύριο εποπτικό φορέα.
|
,
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|