Third-Party (Multi-vendor) Risk Management Program

EULAW

Άρθρο 6 1

1. Οι χρηματοοικονομικές οντότητες διαθέτουν ισχυρό, ολοκληρωμένο και άρτια τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ στο πλαίσιο του συνολικού τους συστήματος διαχείρισης κινδύνων, που τους επιτρέπει να αντιμετωπίζουν τους κινδύνους ΤΠΕ με γρήγορο, αποτελεσματικό και εμπεριστατωμένο τρόπο και να διασφαλίζουν υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας.

EULAW

Άρθρο 6 2

2. Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει τουλάχιστον στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ που απαιτούνται για τη δέουσα και επαρκή προστασία όλων των πληροφοριακών πόρων και πόρων ΤΠΕ, συμπεριλαμβανομένου του λογισμικού, του υλισμικού, των διακομιστών, καθώς και για την προστασία όλων των σχετικών υλικών συνιστωσών και υποδομών, όπως εγκαταστάσεων, κέντρων δεδομένων και ευαίσθητων οριοθετημένων χώρων, ώστε να διασφαλίζεται ότι όλοι αυτοί οι πληροφοριακοί πόροι και πόροι ΤΠΕ προστατεύονται επαρκώς από κινδύνους, συμπεριλαμβανομένων τυχόν βλάβης και μη εξουσιοδοτημένης πρόσβασης ή χρήσης.

EULAW

Άρθρο 6 3

3. Σύμφωνα με το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες ελαχιστοποιούν τις επιπτώσεις των κινδύνων ΤΠΕ με την ανάπτυξη κατάλληλων στρατηγικών, πολιτικών, διαδικασιών, πρωτοκόλλων ΤΠΕ και εργαλείων. Παρέχουν πλήρεις και επικαιροποιημένες πληροφορίες σχετικά με τους κινδύνους ΤΠΕ και σχετικά με το πλαίσιό τους για τη διαχείριση κινδύνων ΤΠΕ στις αρμόδιες αρχές κατόπιν αιτήματός τους.

EULAW

Άρθρο 6 4

4. Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, εκχωρούν την ευθύνη για τη διαχείριση και την εποπτεία των κινδύνων ΤΠΕ σε μια λειτουργία ελέγχου και διασφαλίζουν σε επαρκές επίπεδο την ανεξαρτησία της εν λόγω λειτουργίας ελέγχου, προκειμένου να αποφεύγεται η σύγκρουση συμφερόντων. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τον κατάλληλο διαχωρισμό και την κατάλληλη ανεξαρτησία των λειτουργιών διαχείρισης κινδύνων ΤΠΕ, των λειτουργιών ελέγχου και των λειτουργιών εσωτερικής επιθεώρησης, σύμφωνα με το μοντέλο των τριών γραμμών άμυνας ή ένα εσωτερικό μοντέλο διαχείρισης κινδύνων και ελέγχου.

EULAW

Άρθρο 6 5

5. Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ τεκμηριώνεται και επανεξετάζεται τουλάχιστον μία φορά ετησίως, ή περιοδικά όσον αφορά τις πολύ μικρές επιχειρήσεις, καθώς και κατά την επέλευση μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, και σύμφωνα με εποπτικές οδηγίες ή συμπεράσματα που προκύπτουν από σχετικές δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας ή διαδικασίες ελέγχου. Το πλαίσιο βελτιώνεται διαρκώς με βάση τα διδάγματα που αντλούνται από την εφαρμογή και την παρακολούθηση. Έκθεση σχετικά με την επανεξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ υποβάλλεται στην αρμόδια αρχή κατόπιν αιτήματός της.

EULAW

Άρθρο 6 7

7. Με βάση τα συμπεράσματα της επανεξέτασης εσωτερικής επιθεώρησης, οι χρηματοοικονομικές οντότητες θεσπίζουν επίσημη διαδικασία παρακολούθησης, συμπεριλαμβανομένων κανόνων για την έγκαιρη επαλήθευση και αποκατάσταση κρίσιμων ευρημάτων ελέγχου ΤΠΕ.

EULAW

Άρθρο 6 9

9. Οι χρηματοοικονομικές οντότητες μπορούν, στο πλαίσιο της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στην παράγραφο 8, να καθορίσουν μια ολιστική στρατηγική πολλαπλών προμηθευτών ΤΠΕ, σε επίπεδο ομίλου ή οντότητας, η οποία αναδεικνύει βασικές εξαρτήσεις από τρίτους παρόχους υπηρεσιών ΤΠΕ και επεξηγεί το σκεπτικό στο οποίο βασίζεται ο συνδυασμός προμηθειών από τρίτους παρόχους υπηρεσιών ΤΠΕ.

EULAW

Άρθρο 6 10

10. Οι χρηματοοικονομικές οντότητες δύνανται, σύμφωνα με το ενωσιακό και το εθνικό τομεακό δίκαιο, να αναθέσουν τα καθήκοντα επαλήθευσης της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ σε ενδοομιλικές ή εξωτερικές επιχειρήσεις. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την επαλήθευση της συμμόρφωσης με τις απαιτήσεις διαχείρισης κινδύνων ΤΠΕ.

EULAW

Άρθρο 8 1

1. Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες προσδιορίζουν, ταξινομούν και τεκμηριώνουν επαρκώς όλες τις επιχειρηματικές λειτουργίες, τους ρόλους και τις αρμοδιότητες που υποστηρίζονται από ΤΠΕ, τους πληροφοριακούς πόρους και τους πόρους ΤΠΕ που υποστηρίζουν τις εν λόγω λειτουργίες, καθώς και τους ρόλους και τις εξαρτήσεις τους σε σχέση με τους κινδύνους ΤΠΕ. Οι χρηματοοικονομικές οντότητες επανεξετάζουν, όταν κρίνεται αναγκαίο, και τουλάχιστον σε ετήσια βάση, την επάρκεια αυτής της ταξινόμησης και τυχόν συναφούς τεκμηρίωσης.

EULAW

Άρθρο 9 1

1. Για τους σκοπούς της διασφάλισης επαρκούς επιπέδου προστασίας συστημάτων ΤΠΕ και με στόχο την οργάνωση μέτρων αντιμετώπισης, οι χρηματοοικονομικές οντότητες παρακολουθούν και ελέγχουν σε διαρκή βάση την ασφάλεια και τη λειτουργία των συστημάτων και εργαλείων ΤΠΕ και ελαχιστοποιούν τις επιπτώσεις των σχετικών κινδύνων ΤΠΕ στα συστήματα ΤΠΕ με την ανάπτυξη κατάλληλων εργαλείων, πολιτικών και διαδικασιών για την ασφάλεια των ΤΠΕ.

EULAW

Άρθρο 9 4

4. Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες:

α)

καταρτίζουν και τεκμηριώνουν πολιτική ασφάλειας των πληροφοριών που καθορίζει κανόνες για την προστασία της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, των πληροφοριακών πόρων και των πόρων ΤΠΕ, συμπεριλαμβανομένων εκείνων των πελατών τους, κατά περίπτωση,

β)

ακολουθώντας μια προσέγγιση βάσει κινδύνων, θεσπίζουν δομή ορθής διαχείρισης δικτύων και υποδομών, χρησιμοποιώντας κατάλληλες τεχνικές, μεθόδους και πρωτόκολλα, που μπορούν να περιλαμβάνουν την εφαρμογή αυτοματοποιημένων μηχανισμών για την απομόνωση των πληροφοριακών πόρων που επηρεάζονται σε περίπτωση κυβερνοεπιθέσεων,

γ)

εφαρμόζουν πολιτικές που περιορίζουν την υλική ή λογική πρόσβαση σε πληροφοριακούς πόρους και πόρους ΤΠΕ στην πρόσβαση που είναι απολύτως αναγκαία για τις νόμιμες και εγκεκριμένες λειτουργίες και δραστηριότητες και θεσπίζουν, για τον σκοπό αυτόν, ένα σύνολο πολιτικών, διαδικασιών και δικλείδων ασφάλειας που αφορούν τα δικαιώματα πρόσβασης και διασφαλίζουν την ορθή διαχείρισή τους,

δ)

εφαρμόζουν πολιτικές και πρωτόκολλα για ισχυρούς μηχανισμούς αυθεντικοποίησης, με βάση σχετικά πρότυπα και ειδικά συστήματα ελέγχου, και προστατευτικά μέτρα κρυπτογραφικών κλειδιών με τα οποία κρυπτογραφούνται δεδομένα, βάσει αποτελεσμάτων εγκεκριμένων διαδικασιών κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ,

ε)

εφαρμόζουν τεκμηριωμένες πολιτικές, διαδικασίες και δικλείδες ασφάλειας για τη διαχείριση αλλαγών στις ΤΠΕ, συμπεριλαμβανομένων αλλαγών σε λογισμικό, υλισμικό, στοιχεία, συστήματα ή παράμετροι ασφάλειας υλικολογισμικού, που βασίζονται σε μια προσέγγιση αξιολόγησης κινδύνου και αποτελούν αναπόσπαστο μέρος της συνολικής διαδικασίας διαχείρισης αλλαγών της χρηματοοικονομικής οντότητας, ώστε να διασφαλιστεί ότι όλες οι αλλαγές στα συστήματα ΤΠΕ καταγράφονται, δοκιμάζονται, αξιολογούνται, εγκρίνονται, εφαρμόζονται και επαληθεύονται με ελεγχόμενο τρόπο,

στ)	διαθέτουν κατάλληλες και ολοκληρωμένες τεκμηριωμένες πολιτικές σχετικά με τις ενημερώσεις κώδικα και τις επικαιροποιήσεις.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο β), οι χρηματοοικονομικές οντότητες σχεδιάζουν την υποδομή σύνδεσης δικτύου κατά τρόπο ώστε να μπορεί να διακοπεί ή να κατατμηθεί στιγμιαία, προκειμένου να ελαχιστοποιείται και να αποτρέπεται η μετάδοση, ιδίως όσον αφορά τις διασυνδεδεμένες χρηματοοικονομικές διαδικασίες.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο ε), η διαδικασία διαχείρισης αλλαγών ΤΠΕ εγκρίνεται από κατάλληλες ιεραρχικές δομές και διαθέτει ειδικά πρωτόκολλα.

EULAW

Άρθρο 11 1

1. Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1 και βάσει των απαιτήσεων προσδιορισμού που προβλέπονται στο άρθρο 8, οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή ολοκληρωμένη πολιτική επιχειρησιακής συνέχειας των ΤΠΕ, η οποία μπορεί να εγκριθεί ως ειδική και συγκεκριμένη πολιτική, που συνιστά αναπόσπαστο μέρος της συνολικής πολιτικής επιχειρησιακής συνέχειας της χρηματοοικονομικής οντότητας.

EULAW

Άρθρο 11 3

3. Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες εφαρμόζουν σχετικά σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, τα οποία υπόκεινται, στην περίπτωση των χρηματοοικονομικών οντοτήτων πλην των πολύ μικρών επιχειρήσεων, σε ανεξάρτητη επανεξέταση εσωτερικής επιθεώρησης.

EULAW

Άρθρο 11 6

6. Στο πλαίσιο της ολοκληρωμένης διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες:

α)

δοκιμάζουν τα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ και τα σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ σε σχέση με τα συστήματα ΤΠΕ που υποστηρίζουν όλες τις λειτουργίες τουλάχιστον σε ετήσια βάση, καθώς και σε περίπτωση τυχόν ουσιαστικών αλλαγών στα συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες,

β)	υποβάλλουν σε δοκιμή τα σχέδια επικοινωνίας σε καταστάσεις κρίσης που καταρτίζονται σύμφωνα με το άρθρο 14.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο α), οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, περιλαμβάνουν στα σχέδια δοκιμών σενάρια κυβερνοεπιθέσεων και μετάβασης μεταξύ της κύριας υποδομής ΤΠΕ και της εφεδρικής χωρητικότητας, αντίγραφα ασφαλείας και εφεδρικές εγκαταστάσεις που απαιτούνται για την εκπλήρωση των υποχρεώσεων που προβλέπονται στο άρθρο 12.

Οι χρηματοοικονομικές οντότητες επανεξετάζουν ανά τακτά χρονικά διαστήματα τα σχέδια επιχειρησιακής συνέχειας των ΤΠΕ και αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, λαμβάνοντας υπόψη τα αποτελέσματα των δοκιμών που διενεργούνται σύμφωνα με το πρώτο εδάφιο και τις συστάσεις που προκύπτουν από ελέγχους ή εποπτικές αξιολογήσεις.

EULAW

Άρθρο 12 1

1. Για τους σκοπούς της διασφάλισης της αποκατάστασης των συστημάτων και δεδομένων ΤΠΕ με ελάχιστο χρόνο διακοπής, με περιορισμό της διαταραχής και της ζημίας, στο πλαίσιο της οικείας διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες καταρτίζουν και τεκμηριώνουν:

α)	πολιτικές και διαδικασίες δημιουργίας εφεδρικών συστημάτων στις οποίες προσδιορίζεται το εύρος των δεδομένων που υπόκεινται σε εφεδρικά συστήματα και η ελάχιστη συχνότητα δημιουργίας αντιγράφων ασφαλείας, βάσει της κρισιμότητας των πληροφοριών ή του επιπέδου εμπιστευτικότητας των δεδομένων,

β)	διαδικασίες και μεθόδους αποκατάστασης και ανάκτησης.

EULAW

Άρθρο 12 2

2. Οι χρηματοοικονομικές οντότητες δημιουργούν εφεδρικά συστήματα που μπορούν να ενεργοποιηθούν σύμφωνα με τις πολιτικές και τις διαδικασίες δημιουργίας εφεδρικών συστημάτων, καθώς και τις διαδικασίες και τις μεθόδους αποκατάστασης και ανάκτησης. Η ενεργοποίηση εφεδρικών συστημάτων δεν θέτει σε κίνδυνο την ασφάλεια των συστημάτων δικτύου και πληροφοριών ή τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων. Διενεργούνται περιοδικά δοκιμές των διαδικασιών δημιουργίας εφεδρικών συστημάτων και των διαδικασιών και μεθόδων αποκατάστασης και ανάκτησης.

EULAW

Άρθρο 12 3

3. Κατά την αποκατάσταση εφεδρικών δεδομένων με τη χρήση ιδίων συστημάτων, οι χρηματοοικονομικές οντότητες χρησιμοποιούν συστήματα ΤΠΕ που διαχωρίζονται φυσικά και λογικά από το σύστημα ΤΠΕ πηγής. Τα συστήματα ΤΠΕ προστατεύονται με ασφάλεια από κάθε μη εξουσιοδοτημένη πρόσβαση ή διαφθορά ΤΠΕ και επιτρέπουν την έγκαιρη αποκατάσταση των υπηρεσιών που χρησιμοποιούν τα εφεδρικά δεδομένα και συστήματα, ανάλογα με τις ανάγκες.

Για τους κεντρικούς αντισυμβαλλομένους, τα σχέδια αποκατάστασης επιτρέπουν την αποκατάσταση όλων των συναλλαγών κατά τον χρόνο της διαταραχής, ώστε ο κεντρικός αντισυμβαλλόμενος να είναι σε θέση να εξακολουθήσει να λειτουργεί με ασφάλεια και να ολοκληρώσει τον διακανονισμό κατά την προγραμματισμένη ημερομηνία.

Οι πάροχοι υπηρεσιών αναφοράς δεδομένων διατηρούν, επιπλέον, επαρκείς πόρους και διαθέτουν εφεδρικές εγκαταστάσεις και εγκαταστάσεις αποκατάστασης, προκειμένου να προσφέρουν και να διατηρούν τις υπηρεσίες τους ανά πάσα στιγμή.

EULAW

Άρθρο 13 3

3. Τα διδάγματα που αντλούνται τόσο από τις δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας που πραγματοποιούνται σύμφωνα με τα άρθρα 26 και 27 όσο και από πραγματικά συμβάντα που σχετίζονται με τις ΤΠΕ, ιδίως κυβερνοεπιθέσεις, μαζί με τις προκλήσεις που αντιμετωπίστηκαν κατά την ενεργοποίηση σχεδίων επιχειρησιακής συνέχειας των ΤΠΕ και σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, σε συνδυασμό με τις σχετικές πληροφορίες που ανταλλάσσονται με αντισυμβαλλομένους και αξιολογούνται κατά τη διάρκεια εποπτικών ελέγχων, ενσωματώνονται δεόντως, σε διαρκή βάση, στη διαδικασία αξιολόγησης κινδύνων ΤΠΕ. Τα εν λόγω ευρήματα αποτελούν τη βάση για τη δέουσα επανεξέταση των συναφών συνιστωσών του πλαισίου διαχείρισης κινδύνων ΤΠΕ, όπως αναφέρεται στο άρθρο 6 παράγραφος 1.

EULAW

Άρθρο 13 5

5. Τα ανώτερα στελέχη ΤΠΕ υποβάλλουν στο διοικητικό όργανο έκθεση, τουλάχιστον σε ετήσια βάση, σχετικά με τα ευρήματα που αναφέρονται στην παράγραφο 3 και διατυπώνουν συστάσεις.

EULAW

Άρθρο 13 7

7. Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, παρακολουθούν τις σχετικές τεχνολογικές εξελίξεις σε διαρκή βάση, με σκοπό επίσης την κατανόηση των πιθανών επιπτώσεων της ανάπτυξης νέων τεχνολογιών αυτού του είδους στις απαιτήσεις ασφάλειας των ΤΠΕ και στην ψηφιακή επιχειρησιακή ανθεκτικότητα. Ενημερώνονται για τις πρόσφατες διαδικασίες διαχείρισης κινδύνων ΤΠΕ, ώστε να καταπολεμούνται αποτελεσματικά οι τρέχουσες ή νέες μορφές κυβερνοεπιθέσεων.

EULAW

Άρθρο 14 2

2. Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες εφαρμόζουν πολιτικές επικοινωνίας που απευθύνονται στο εσωτερικό προσωπικό και σε εξωτερικούς συμφεροντούχους. Στις πολιτικές επικοινωνίας για το προσωπικό λαμβάνεται υπόψη η ανάγκη διαχωρισμού μεταξύ, αφενός, του προσωπικού που συμμετέχει στη διαχείριση κινδύνων ΤΠΕ, ιδίως του προσωπικού που είναι υπεύθυνο για την αντιμετώπιση και την ανάκαμψη, και, αφετέρου, του προσωπικού που πρέπει να ενημερωθεί.

EULAW

Άρθρο 24 1

1. Για τους σκοπούς της αξιολόγησης της ετοιμότητας όσον αφορά τον χειρισμό συμβάντων που σχετίζονται με τις ΤΠΕ, του εντοπισμού αδυναμιών, ελλείψεων και κενών στην ψηφιακή επιχειρησιακή ανθεκτικότητα, καθώς και της άμεσης εφαρμογής διορθωτικών μέτρων, οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, λαμβάνοντας υπόψη τα κριτήρια του άρθρου 4 παράγραφος 2, θεσπίζουν, διατηρούν και επανεξετάζουν ένα άρτιο και ολοκληρωμένο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας ως αναπόσπαστο μέρος του πλαισίου διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6.

EULAW

Άρθρο 28 2

2. Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες, εκτός των οντοτήτων που αναφέρονται στο άρθρο 16 παράγραφος 1 πρώτο εδάφιο και εκτός των πολύ μικρών επιχειρήσεων, εγκρίνουν και επανεξετάζουν τακτικά τη στρατηγική για τους κινδύνους τρίτων παρόχων ΤΠΕ, λαμβάνοντας υπόψη τη στρατηγική πολλαπλών προμηθευτών που αναφέρεται στο άρθρο 6 παράγραφος 9, κατά περίπτωση. Η στρατηγική για τη διαχείριση κινδύνου τρίτων παρόχων ΤΠΕ περιλαμβάνει πολιτική για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κριτικές ή σημαντικές λειτουργίες, οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ και εφαρμόζεται σε μεμονωμένη βάση και, ανάλογα με την περίπτωση, σε υποενοποιημένη και ενοποιημένη βάση. Το διοικητικό όργανο, βάσει αξιολόγησης του συνολικού προφίλ κινδύνου της χρηματοοικονομικής οντότητας και της κλίμακας και της πολυπλοκότητας των επιχειρηματικών υπηρεσιών, επανεξετάζει τακτικά τους κινδύνους που εντοπίζονται σε σχέση με συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

EULAW

Άρθρο 28 3

3. Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες τηρούν και επικαιροποιούν σε επίπεδο οντότητας και σε υποενοποιημένο και ενοποιημένο επίπεδο, μητρώο πληροφοριών όσον αφορά το σύνολο των συμβατικών ρυθμίσεων σχετικά με τη χρήση υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.

Οι συμβατικές ρυθμίσεις που αναφέρονται στο πρώτο εδάφιο τεκμηριώνονται κατάλληλα, με διαχωρισμό των ρυθμίσεων που καλύπτουν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες από τις υπόλοιπες ρυθμίσεις.

Οι χρηματοοικονομικές οντότητες αναφέρουν στις αρμόδιες αρχές, τουλάχιστον ετησίως, τον αριθμό των νέων συμβατικών ρυθμίσεων για τη χρήση υπηρεσιών ΤΠΕ, τις κατηγορίες τρίτων παρόχων υπηρεσιών ΤΠΕ, το είδος των συμβατικών ρυθμίσεων και τις παρεχόμενες υπηρεσίες και λειτουργίες ΤΠΕ.

Οι χρηματοοικονομικές οντότητες θέτουν στη διάθεση της αρμόδιας αρχής, κατόπιν αιτήματός της, το πλήρες μητρώο πληροφοριών ή, εφόσον ζητείται, συγκεκριμένα τμήματα αυτού, καθώς και κάθε πληροφορία που κρίνεται απαραίτητη για την αποτελεσματική εποπτεία της χρηματοοικονομικής οντότητας.

Οι χρηματοοικονομικές οντότητες ενημερώνουν εγκαίρως την αρμόδια αρχή για οποιαδήποτε προγραμματισμένη συμβατική ρύθμιση σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, καθώς και για τη χρονική στιγμή κατά την οποία καθίσταται κρίσιμη ή σημαντική μια λειτουργία.

EULAW

Άρθρο 1 Συνολικό προφίλ κινδύνου και πολυπλοκότητα

Άρθρο 1

Συνολικό προφίλ κινδύνου και πολυπλοκότητα

Κατά την ανάπτυξη και την εφαρμογή των πολιτικών, διαδικασιών, πρωτοκόλλων και εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στον τίτλο II και του απλουστευμένου πλαισίου διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στον τίτλο III, λαμβάνονται υπόψη το μέγεθος και το συνολικό προφίλ κινδύνου της χρηματοοικονομικής οντότητας, καθώς και η φύση, η κλίμακα και τα στοιχεία αυξημένης ή μειωμένης πολυπλοκότητας των υπηρεσιών, δραστηριοτήτων και λειτουργιών της, συμπεριλαμβανομένων των στοιχείων που αφορούν:

α)

την κρυπτογράφηση και την κρυπτογραφία,

β)

την ασφάλεια λειτουργιών ΤΠΕ,

γ)

την ασφάλεια δικτύου,

δ)

τη διαχείριση έργων και αλλαγών ΤΠΕ,

ε)

τον δυνητικό αντίκτυπο των κινδύνων ΤΠΕ στην εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα των δεδομένων, καθώς και των διαταραχών στη συνέχεια και τη διαθεσιμότητα των δραστηριοτήτων της χρηματοοικονομικής οντότητας.

EULAW

Άρθρο 2 1.

Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι οικείες πολιτικές ασφάλειας ΤΠΕ, η ασφάλεια των πληροφοριών και οι σχετικές διαδικασίες, τα πρωτόκολλα και τα εργαλεία που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554 ενσωματώνονται στο οικείο πλαίσιο διαχείρισης κινδύνων ΤΠΕ. Οι χρηματοοικονομικές οντότητες θεσπίζουν τις πολιτικές, τις διαδικασίες, τα πρωτόκολλα και τα εργαλεία ασφάλειας ΤΠΕ που ορίζονται στο παρόν κεφάλαιο, τα οποία:

α)

διασφαλίζουν την ασφάλεια των δικτύων,

β)

περιέχουν διασφαλίσεις έναντι εισβολών και κατάχρησης δεδομένων,

γ)

διατηρούν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων, μεταξύ άλλων μέσω της χρήσης τεχνικών κρυπτογράφησης,

δ)

εξασφαλίζουν την ακριβή και έγκαιρη διαβίβαση δεδομένων χωρίς σημαντικές διαταραχές και αδικαιολόγητες καθυστερήσεις.

EULAW

Άρθρο 2 2.

Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι πολιτικές ασφάλειας ΤΠΕ που αναφέρονται στην παράγραφο 1:

α)

ευθυγραμμίζονται με τους στόχους ασφάλειας των πληροφοριών της χρηματοοικονομικής οντότητας που περιλαμβάνονται στη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στο άρθρο 6 παράγραφος 8 του κανονισμού (ΕΕ) 2022/2554·

β)

αναφέρουν την ημερομηνία της επίσημης έγκρισης των πολιτικών ασφάλειας ΤΠΕ από το διοικητικό όργανο·

γ)

περιέχουν δείκτες και μέτρα έτσι ώστε:

i)

να παρακολουθείται η εφαρμογή των πολιτικών, διαδικασιών, πρωτοκόλλων και εργαλείων ασφάλειας ΤΠΕ·

ii)

να καταγράφονται οι εξαιρέσεις από την εν λόγω εφαρμογή·

iii)

να διασφαλίζεται ότι η ψηφιακή επιχειρησιακή ανθεκτικότητα της χρηματοοικονομικής οντότητας είναι διασφαλισμένη σε περίπτωση εξαιρέσεων, όπως αναφέρεται στο σημείο ii)·

δ)

προσδιορίζουν τις αρμοδιότητες του προσωπικού σε όλα τα επίπεδα για τη διασφάλιση της ασφάλειας ΤΠΕ της χρηματοοικονομικής οντότητας·

ε)

προσδιορίζουν τις συνέπειες της μη συμμόρφωσης του προσωπικού της χρηματοοικονομικής οντότητας με τις πολιτικές ασφάλειας ΤΠΕ, όταν δεν προβλέπονται σχετικές διατάξεις σε άλλες πολιτικές της χρηματοοικονομικής οντότητας·

στ)

απαριθμούν την τεκμηρίωση που πρέπει να τηρείται·

ζ)

προσδιορίζουν τις ρυθμίσεις για τον διαχωρισμό των καθηκόντων στο πλαίσιο του μοντέλου των τριών γραμμών άμυνας ή άλλου εσωτερικού μοντέλου διαχείρισης κινδύνων και ελέγχου, κατά περίπτωση, για την αποφυγή συγκρούσεων συμφερόντων·

η)

λαμβάνουν υπόψη κορυφαίες πρακτικές και, κατά περίπτωση, πρότυπα όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012·

θ)

προσδιορίζουν τους ρόλους και τις αρμοδιότητες για την ανάπτυξη, την εφαρμογή και τη συντήρηση πολιτικών, διαδικασιών, πρωτοκόλλων και εργαλείων ασφάλειας ΤΠΕ·

ι)

επανεξετάζονται σύμφωνα με το άρθρο 6 παράγραφος 5 του κανονισμού (ΕΕ) 2022/2554·

ια)

λαμβάνουν υπόψη τις ουσιώδεις αλλαγές που αφορούν τη χρηματοοικονομική οντότητα, συμπεριλαμβανομένων ουσιωδών αλλαγών των δραστηριοτήτων ή των διαδικασιών της χρηματοοικονομικής οντότητας, του τοπίου των κυβερνοαπειλών ή των εφαρμοστέων νομικών υποχρεώσεων.

EULAW

Άρθρο 3 Διαχείριση κινδύνων ΤΠΕ

Άρθρο 3

Διαχείριση κινδύνων ΤΠΕ

Οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες διαχείρισης κινδύνων ΤΠΕ που περιλαμβάνουν όλα τα ακόλουθα:

α)

ένδειξη της έγκρισης του επιπέδου ανοχής κινδύνου για τους κινδύνους ΤΠΕ που καθορίζεται σύμφωνα με το άρθρο 6 παράγραφος 8 στοιχείο β) του κανονισμού (ΕΕ) 2022/2554·

β)

διαδικασία και μεθοδολογία για τη διενέργεια της αξιολόγησης κινδύνων ΤΠΕ, με τις οποίες προσδιορίζονται:

i)

ευπάθειες και απειλές που επηρεάζουν ή ενδέχεται να επηρεάσουν τις υποστηριζόμενες επιχειρηματικές λειτουργίες, τα συστήματα ΤΠΕ και τους πόρους ΤΠΕ που υποστηρίζουν τις εν λόγω λειτουργίες·

ii)

οι ποσοτικοί ή ποιοτικοί δείκτες για τη μέτρηση των επιπτώσεων και της πιθανότητας εμφάνισης των ευπαθειών και των απειλών που αναφέρονται στο σημείο i)·

γ)

τη διαδικασία για τον προσδιορισμό, την εφαρμογή και την τεκμηρίωση των μέτρων αντιμετώπισης κινδύνων ΤΠΕ για τους κινδύνους ΤΠΕ που εντοπίζονται και αξιολογούνται, συμπεριλαμβανομένου του προσδιορισμού των μέτρων αντιμετώπισης κινδύνων ΤΠΕ που είναι αναγκαία για να περιέλθουν οι κίνδυνοι ΤΠΕ στο επίπεδο ανοχής κινδύνου που αναφέρεται στο στοιχείο α)·

δ)

όσον αφορά την εναπομένουσα έκθεση σε κινδύνους ΤΠΕ που εξακολουθούν να υφίστανται μετά την εφαρμογή των μέτρων αντιμετώπισης κινδύνων ΤΠΕ που αναφέρονται στο στοιχείο γ):

i)

διατάξεις σχετικά με τον προσδιορισμό της εναπομένουσας έκθεσης στους εν λόγω κινδύνους ΤΠΕ·

ii)

την ανάθεση ρόλων και αρμοδιοτήτων σχετικά με:

1)

την αποδοχή της εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ που υπερβαίνουν το επίπεδο ανοχής κινδύνου της χρηματοοικονομικής οντότητας που αναφέρεται στο στοιχείο α)·

2)

τη διαδικασία επανεξέτασης που αναφέρεται στο σημείο iv) του παρόντος στοιχείου δ)·

iii)

την κατάρτιση καταλόγου της αποδεκτής εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ, συμπεριλαμβανομένης αιτιολόγησης της αποδοχής της·

iv)

διατάξεις σχετικά με την επανεξέταση της αποδεκτής εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ τουλάχιστον μία φορά ετησίως, μεταξύ άλλων για τα εξής:

1)

τον προσδιορισμό τυχόν αλλαγών στην εναπομένουσα έκθεση σε κινδύνους ΤΠΕ·

2)

την αξιολόγηση των διαθέσιμων μέτρων μετριασμού·

3)

την αξιολόγηση του αν οι λόγοι που δικαιολογούν την αποδοχή της εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ εξακολουθούν να υφίστανται και να ισχύουν κατά την ημερομηνία της επανεξέτασης·

ε)

διατάξεις σχετικά με την παρακολούθηση:

i)

τυχόν αλλαγών στο τοπίο των κινδύνων ΤΠΕ και των κυβερνοαπειλών·

ii)

εσωτερικών και εξωτερικών ευπαθειών και απειλών·

iii)

των κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας που καθιστά δυνατό τον άμεσο εντοπισμό των αλλαγών που θα μπορούσαν να επηρεάσουν το οικείο προφίλ κινδύνου ΤΠΕ·

στ)

διατάξεις σχετικά με τη διαδικασία που διασφαλίζει ότι λαμβάνονται υπόψη τυχόν αλλαγές στην επιχειρηματική στρατηγική και στη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας της χρηματοοικονομικής οντότητας.

Για τους σκοπούς της πρώτης παραγράφου στοιχείο γ), η διαδικασία που αναφέρεται στο εν λόγω στοιχείο διασφαλίζει ότι:

α)

παρακολουθείται η αποτελεσματικότητα των εφαρμοζόμενων μέτρων αντιμετώπισης κινδύνων ΤΠΕ·

β)

αξιολογείται αν έχουν επιτευχθεί τα καθορισμένα επίπεδα ανοχής κινδύνου της χρηματοοικονομικής οντότητας·

γ)

αξιολογείται αν η χρηματοοικονομική οντότητα έχει προβεί σε ενέργειες για τη διόρθωση ή τη βελτίωση των εν λόγω μέτρων, όπου είναι αναγκαίο.

EULAW

Άρθρο 8 1.

Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες για τη διαχείριση των λειτουργιών ΤΠΕ. Οι εν λόγω πολιτικές και διαδικασίες προσδιορίζουν τον τρόπο με τον οποίο οι χρηματοοικονομικές οντότητες λειτουργούν, παρακολουθούν, ελέγχουν και αποκαθιστούν τους οικείους πόρους ΤΠΕ, συμπεριλαμβανομένης της τεκμηρίωσης των λειτουργιών ΤΠΕ.

EULAW

Άρθρο 8 2.

Οι πολιτικές και οι διαδικασίες για τις λειτουργίες ΤΠΕ που αναφέρονται στην παράγραφο 1 περιλαμβάνουν όλα τα ακόλουθα:

α)

περιγραφή των πόρων ΤΠΕ, η οποία περιλαμβάνει όλα τα ακόλουθα:

i)

απαιτήσεις σχετικά με την ασφαλή εγκατάσταση, συντήρηση, παραμετροποίηση και απεγκατάσταση συστήματος ΤΠΕ·

ii)

απαιτήσεις σχετικά με τη διαχείριση των πληροφοριακών πόρων που χρησιμοποιούνται από τους πόρους ΤΠΕ, μεταξύ άλλων την επεξεργασία και τον χειρισμό τους, τόσο αυτοματοποιημένα όσο και μη αυτόματα·

iii)

απαιτήσεις σχετικά με τον προσδιορισμό και τον έλεγχο των παρωχημένων συστημάτων ΤΠΕ·

β)

ελέγχους και παρακολούθηση των συστημάτων ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:

i)

απαιτήσεις δημιουργίας εφεδρικών συστημάτων και αποκατάστασης των συστημάτων ΤΠΕ·

ii)

απαιτήσεις προγραμματισμού, με συνεκτίμηση των αλληλεξαρτήσεων μεταξύ των συστημάτων ΤΠΕ·

iii)

πρωτόκολλα για τη διαδρομή ελέγχου και στοιχεία του αρχείου καταγραφής συστημάτων·

iv)

απαιτήσεις που διασφαλίζουν ότι η διενέργεια εσωτερικού ελέγχου και άλλων δοκιμών ελαχιστοποιεί τις διαταραχές στις επιχειρηματικές δραστηριότητες·

v)

απαιτήσεις σχετικά με τον διαχωρισμό των περιβαλλόντων παραγωγής ΤΠΕ από τα περιβάλλοντα ανάπτυξης και δοκιμών και άλλα μη παραγωγικά περιβάλλοντα·

vi)

απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα που διαχωρίζονται από το περιβάλλον παραγωγής·

vii)

απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα παραγωγής·

γ)

τον χειρισμό σφαλμάτων σε σχέση με τα συστήματα ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:

i)

διαδικασίες και πρωτόκολλα για τον χειρισμό σφαλμάτων·

ii)

επαφές υποστήριξης και παραπομπής, συμπεριλαμβανομένων των εξωτερικών επαφών υποστήριξης σε περίπτωση απρόβλεπτων επιχειρησιακών ή τεχνικών ζητημάτων·

iii)

διαδικασίες επανεκκίνησης, κατάργησης και ανάκτησης συστημάτων ΤΠΕ για χρήση σε περίπτωση διαταραχής συστημάτων ΤΠΕ.

Για τους σκοπούς του στοιχείου β) σημείο v), στον διαχωρισμό λαμβάνονται υπόψη όλες οι συνιστώσες του περιβάλλοντος, συμπεριλαμβανομένων λογαριασμών, δεδομένων ή συνδέσεων, όπως απαιτείται από το άρθρο 13 πρώτο εδάφιο στοιχείο α).

Για τους σκοπούς του στοιχείου β) σημείο vii), οι πολιτικές και οι διαδικασίες που αναφέρονται στην παράγραφο 1 προβλέπουν ότι οι περιπτώσεις στις οποίες διενεργούνται δοκιμές σε περιβάλλον παραγωγής προσδιορίζονται σαφώς, αιτιολογούνται, αφορούν περιορισμένο χρονικό διάστημα και εγκρίνονται από τη σχετική υπηρεσία σύμφωνα με το άρθρο 16 παράγραφος 6. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τη διαθεσιμότητα, την εμπιστευτικότητα, την ακεραιότητα και τη γνησιότητα των συστημάτων ΤΠΕ και των δεδομένων παραγωγής κατά τη διάρκεια των δραστηριοτήτων ανάπτυξης και δοκιμών στο περιβάλλον παραγωγής.

Third-Party (Multi-vendor) Risk Management Program

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

3. Σχετικοί κανονισμοί