+Incident Management Process

Incident Management Process

Implement an incident management process to detect, manage, and report ICT incidents. This includes incident response procedures to mitigate impacts and ensure timely restoration of services. Assign specific roles and responsibilities for various incident scenarios. Also, establish a list of contacts with internal functions and external stakeholders that are directly involved in ICT operations security, including on detection and monitoring cyber threats, detection of anomalous activities and vulnerability management. Establish early warning indicators for potential incidents and incident triggers upon the occurance of malicious activity, data losses, adverse impact detected on financial entity's transactions and operations, systems and network unavailability, problems reported by users of the financial entity, and incident notifications from an third-party service provider detected in the systems and networks of the third-party service provider and which may affect the financial entity. Identify, document, and address incident root causes. Conduct post-ICT-related incident reviews after major disruptions. Analyze causes, evaluate response promptness and quality, and assess incident escalation and communication effectiveness.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις

3. Σχετικοί κανονισμοί

Κανονισμοί
EULAW Άρθρο 13 2

2.   Οι χρηματοοικονομικές οντότητες προβαίνουν σε επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, αφότου μείζον συμβάν που σχετίζεται με τις ΤΠΕ διαταράσσει τις βασικές τους δραστηριότητες, αναλύοντας τα αίτια της διαταραχής και προσδιορίζοντας τις βελτιώσεις που απαιτούνται στις λειτουργίες των ΤΠΕ ή στο πλαίσιο της πολιτικής επιχειρησιακής συνέχειας των ΤΠΕ, όπως αναφέρεται στο άρθρο 11.

Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, κοινοποιούν στις αρμόδιες αρχές, κατόπιν αιτήματος, τις αλλαγές που εφαρμόστηκαν μετά τις επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, όπως αναφέρεται στο πρώτο εδάφιο.

Οι επανεξετάσεις κατόπιν συμβάντων που σχετίζονται με τις ΤΠΕ, που αναφέρονται στο πρώτο εδάφιο, εξακριβώνουν αν τηρήθηκαν οι καθιερωμένες διαδικασίες και αν τα μέτρα που έχουν ληφθεί ήταν αποτελεσματικά, μεταξύ άλλων σε σχέση με τα εξής:

α)

την ταχύτητα αντίδρασης σε ειδοποιήσεις ασφάλειας και προσδιορισμού των επιπτώσεων και της σοβαρότητας των συμβάντων που σχετίζονται με τις ΤΠΕ,

β)

την ποιότητα και την ταχύτητα διενέργειας εγκληματολογικής ανάλυσης, εφόσον κρίνεται σκόπιμο,

γ)

την αποτελεσματικότητα της παραπομπής του συμβάντος στο κατάλληλο επίπεδο εντός της χρηματοοικονομικής οντότητας,

δ)

την αποτελεσματικότητα της εσωτερικής και εξωτερικής επικοινωνίας.
EULAW Άρθρο 14 3

3.   Η αρμοδιότητα της εφαρμογής της στρατηγικής επικοινωνίας για συμβάντα που σχετίζονται με τις ΤΠΕ και της εκτέλεσης των καθηκόντων προς το κοινό και τα μέσα ενημέρωσης ανατίθεται τουλάχιστον σε ένα πρόσωπο της χρηματοοικονομικής οντότητας.
EULAW Άρθρο 17 1

1.   Οι χρηματοοικονομικές οντότητες ορίζουν, θεσπίζουν και εφαρμόζουν διαδικασία διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, με σκοπό τον εντοπισμό, τη διαχείριση και την κοινοποίηση συμβάντων που σχετίζονται με τις ΤΠΕ.
EULAW Άρθρο 17 2

2.   Οι χρηματοοικονομικές οντότητες καταγράφουν όλα τα συμβάντα που σχετίζονται με τις ΤΠΕ και τις σημαντικές κυβερνοαπειλές. Οι χρηματοοικονομικές οντότητες θεσπίζουν κατάλληλες διεργασίες και διαδικασίες για τη διασφάλιση συνεπούς και ολοκληρωμένου ελέγχου, χειρισμού και παρακολούθησης συμβάντων που σχετίζονται με τις ΤΠΕ, ώστε να εξασφαλιστεί ότι τα βαθύτερα αίτια προσδιορίζονται, τεκμηριώνονται και αντιμετωπίζονται προκειμένου να προληφθεί η εκδήλωση τέτοιων συμβάντων.
EULAW Άρθρο 17 3

3.   Η διαδικασία διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ που αναφέρεται στην παράγραφο 1:

α)

θέτει σε εφαρμογή δείκτες έγκαιρης προειδοποίησης,

β)

καθιερώνει διαδικασίες για τον προσδιορισμό, την ανίχνευση, την καταγραφή, την κατηγοριοποίηση και την ταξινόμηση συμβάντων που σχετίζονται με τις ΤΠΕ ανάλογα με την προτεραιότητα και τη σοβαρότητά τους, και την κρισιμότητα των υπηρεσιών που επηρεάζονται, σύμφωνα με τα κριτήρια που καθορίζονται στο άρθρο 18 παράγραφος 1,

γ)

αναθέτει ρόλους και αρμοδιότητες που πρέπει να ενεργοποιηθούν για διάφορα είδη και σενάρια συμβάντων που σχετίζονται με τις ΤΠΕ,

δ)

καθορίζει σχέδια για την επικοινωνία με το προσωπικό, τους εκτός οντότητας συμφεροντούχους και τα μέσα ενημέρωσης, σύμφωνα με το άρθρο 14, και για την κοινοποίηση σε πελάτες, για εσωτερικές διαδικασίες παραπομπής συμβάντων στο κατάλληλο επίπεδο, συμπεριλαμβανομένων καταγγελιών πελατών που αφορούν τις ΤΠΕ, καθώς και για την παροχή πληροφοριών σε χρηματοοικονομικές οντότητες που ενεργούν ως αντισυμβαλλόμενοι, ανάλογα με την περίπτωση,

ε)

διασφαλίζει ότι τουλάχιστον τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ αναφέρονται στα αρμόδια ανώτερα διοικητικά στελέχη και ότι το διοικητικό όργανο τηρείται ενήμερο τουλάχιστον για τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, επεξηγώντας τις επιπτώσεις, την αντιμετώπιση και τις πρόσθετες δικλείδες ασφάλειας που πρέπει να καθοριστούν ως αποτέλεσμα τέτοιων συμβάντων που σχετίζονται με τις ΤΠΕ,

στ)

καθιερώνει διαδικασίες αντιμετώπισης συμβάντων που σχετίζονται με τις ΤΠΕ για να μετριαστούν οι επιπτώσεις και να διασφαλιστεί ότι οι υπηρεσίες καθίστανται εγκαίρως λειτουργικές και ασφαλείς.
EULAW Άρθρο 19 1

1.   Οι χρηματοοικονομικές οντότητες αναφέρουν στην αρμόδια αρχή μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, όπως ορίζεται στο άρθρο 46, σύμφωνα με την παράγραφο 4 του παρόντος άρθρου.

Όταν μια χρηματοοικονομική οντότητα υπόκειται σε εποπτεία από περισσότερες από μία εθνικές αρμόδιες αρχές, οι οποίες αναφέρονται στο άρθρο 46, τα κράτη μέλη ορίζουν ενιαία αρμόδια αρχή ως τη σχετική αρμόδια αρχή που είναι υπεύθυνη για την εκτέλεση των λειτουργιών και των καθηκόντων που προβλέπονται στο παρόν άρθρο.

Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, αναφέρουν μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ στη σχετική εθνική αρμόδια αρχή που ορίζεται σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, η οποία διαβιβάζει αμέσως την εν λόγω αναφορά στην ΕΚΤ.

Για τους σκοπούς του πρώτου εδαφίου, οι χρηματοοικονομικές οντότητες, αφού συλλέξουν και αναλύσουν όλες τις σχετικές πληροφορίες, καταρτίζουν την αρχική κοινοποίηση και τις αναφορές που προβλέπονται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, και τις υποβάλλουν στην αρμόδια αρχή. Σε περίπτωση που μια τεχνική αδυναμία εμποδίζει την υποβολή της αρχικής κοινοποίησης με τη χρήση του υποδείγματος, οι χρηματοοικονομικές οντότητες ενημερώνουν σχετικά την αρμόδια αρχή με εναλλακτικά μέσα.

Η αρχική κοινοποίηση και οι αναφορές που προβλέπονται στην παράγραφο 4 περιλαμβάνουν όλες τις απαραίτητες πληροφορίες προκειμένου η αρμόδια αρχή να είναι σε θέση να προσδιορίσει τη σημασία του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ και να προβεί σε εκτίμηση των πιθανών διασυνοριακών επιπτώσεων.

Με την επιφύλαξη των αναφορών σύμφωνα με το πρώτο εδάφιο από τη χρηματοοικονομική οντότητα στη σχετική αρμόδια αρχή, τα κράτη μέλη μπορούν επιπλέον να ορίζουν ότι ορισμένες ή όλες οι χρηματοοικονομικές οντότητες παρέχουν επίσης την αρχική κοινοποίηση και κάθε αναφορά που προβλέπεται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, στις αρμόδιες αρχές ή στις ομάδες αντιμετώπισης συμβάντων ασφάλειας σε υπολογιστές (CSIRT) που έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555
EULAW Άρθρο 19 2

2.   Οι χρηματοοικονομικές οντότητες μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική αρμόδια αρχή όταν θεωρούν ότι η απειλή είναι σημαντική για το χρηματοοικονομικό σύστημα, τους χρήστες υπηρεσιών ή τους πελάτες. Η σχετική αρμόδια αρχή μπορεί να παρέχει τις πληροφορίες αυτές σε άλλες σχετικές αρχές που αναφέρονται στην παράγραφο 6.

Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική εθνική αρμόδια αρχή, η οποία έχει οριστεί σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, και η οποία διαβιβάζει αμέσως την κοινοποίηση στην ΕΚΤ.

Τα κράτη μέλη μπορούν να ορίζουν ότι οι χρηματοοικονομικές οντότητες που κοινοποιούν σε προαιρετική βάση σύμφωνα με το πρώτο εδάφιο μπορούν επίσης να διαβιβάζουν την εν λόγω κοινοποίηση στις CSIRT που ορίζονται ή συστήνονται σύμφωνα με ην οδηγία (ΕΕ) 2022/2555
EULAW Άρθρο 19 3

3.   Κατά την εκδήλωση μείζονος συμβάντος, το οποίο σχετίζεται με τις ΤΠΕ και έχει επιπτώσεις στα οικονομικά συμφέροντα των πελατών, οι χρηματοοικονομικές οντότητες ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση, αφού λάβουν γνώση του συμβάντος, τους πελάτες όσον αφορά το μείζον συμβάν που σχετίζεται με τις ΤΠΕ και σχετικά με τα μέτρα που έχουν ληφθεί για τον περιορισμό των δυσμενών επιπτώσεων του εν λόγω συμβάντος.

Σε περίπτωση σημαντικής κυβερνοαπειλής, οι χρηματοοικονομικές οντότητες ενημερώνουν, κατά περίπτωση, τους πελάτες τους που ενδέχεται να επηρεαστούν σχετικά με τυχόν κατάλληλα μέτρα προστασίας τα οποία ενδέχεται να εξετάσουν οι τελευταίοι.
EULAW Άρθρο 19 4

4.   Οι χρηματοοικονομικές οντότητες, εντός των προθεσμιών που καθορίζονται σύμφωνα με το άρθρο 20 πρώτο εδάφιο στοιχείο α) σημείο ii), υποβάλλουν τα ακόλουθα στη σχετική αρμόδια αρχή:

α)

αρχική κοινοποίηση,

β)

ενδιάμεση αναφορά μετά την αρχική κοινοποίηση που αναφέρεται στο στοιχείο α), αμέσως μόλις μεταβληθεί σημαντικά η κατάσταση του αρχικού συμβάντος ή μεταβληθεί ο χειρισμός του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ βάσει νέων διαθέσιμων πληροφοριών, ακολουθούμενη, κατά περίπτωση, από επικαιροποιημένες κοινοποιήσεις κάθε φορά που είναι διαθέσιμη σχετική επικαιροποίηση της κατάστασης, καθώς και κατόπιν συγκεκριμένου αιτήματος της αρμόδιας αρχής,

γ)

τελική αναφορά, όταν ολοκληρωθεί η ανάλυση των βαθύτερων αιτίων, ανεξάρτητα από το αν έχουν ήδη εφαρμοστεί μέτρα μετριασμού, και όταν είναι διαθέσιμα τα στοιχεία των πραγματικών επιπτώσεων προς αντικατάσταση των εκτιμήσεων.
EULAW Άρθρο 19 5

5.   Οι χρηματοοικονομικές οντότητες μπορούν να αναθέτουν, σύμφωνα με το ενωσιακό και εθνικό τομεακό δίκαιο, τις υποχρεώσεις αναφοράς που προβλέπονται στο παρόν άρθρο σε τρίτο πάροχο υπηρεσιών. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την εκπλήρωση των απαιτήσεων αναφοράς συμβάντων.