+Business Continuity Oversight

Business Continuity Oversight

The Management body reviews and approves periodically (e.g. annually) the ICT business continuity policy and the ICT response and recovery plans.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις

3. Σχετικοί κανονισμοί

Κανονισμοί
EULAW Άρθρο 5 1

1.   Οι χρηματοοικονομικές οντότητες εφαρμόζουν πλαίσιο εσωτερικής διακυβέρνησης και ελέγχου το οποίο διασφαλίζει την αποτελεσματική και συνετή διαχείριση των κινδύνων ΤΠΕ, σύμφωνα με το άρθρο 6 παράγραφος 4, με σκοπό την επίτευξη υψηλού επιπέδου ψηφιακής επιχειρησιακής ανθεκτικότητας.
EULAW Άρθρο 5 2

2.   Το διοικητικό όργανο της χρηματοοικονομικής οντότητας καθορίζει, εγκρίνει, εποπτεύει και είναι υπεύθυνο για την εφαρμογή όλων των ρυθμίσεων σχετικά με το πλαίσιο διαχείρισης κινδύνων ΤΠΕ που προβλέπεται στο άρθρο 6 παράγραφος 1.

Για τους σκοπούς του πρώτου εδαφίου, το διοικητικό όργανο:

α)

φέρει την τελική ευθύνη για τη διαχείριση κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας,

β)

εφαρμόζει πολιτικές που στοχεύουν στη διασφάλιση της διατήρησης υψηλών προτύπων διαθεσιμότητας, γνησιότητας, ακεραιότητας και εμπιστευτικότητας των δεδομένων,

γ)

καθορίζει σαφείς ρόλους και αρμοδιότητες για όλες τις λειτουργίες που σχετίζονται με τις ΤΠΕ και θεσπίζει κατάλληλες ρυθμίσεις διακυβέρνησης για τη διασφάλιση αποτελεσματικής και έγκαιρης επικοινωνίας, συνεργασίας και συντονισμού μεταξύ των εν λόγω λειτουργιών,

δ)

φέρει τη συνολική ευθύνη για τον καθορισμό και την έγκριση της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας, όπως αναφέρεται στο άρθρο 6 παράγραφος 8, συμπεριλαμβανομένου του καθορισμού του κατάλληλου επιπέδου ανοχής των κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας, όπως αναφέρεται στο άρθρο 6 παράγραφος 8 στοιχείο β),

ε)

εγκρίνει, εποπτεύει και επανεξετάζει περιοδικά την εφαρμογή της πολιτικής επιχειρησιακής συνέχειας των ΤΠΕ και των σχεδίων αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ, που αναφέρονται, αντίστοιχα, στο άρθρο 11 παράγραφοι 1 και 3, τα οποία μπορούν να εγκριθούν ως ειδική συγκεκριμένη πολιτική που αποτελεί αναπόσπαστο μέρος της συνολικής πολιτικής επιχειρησιακής συνέχειας και του σχεδίου αντιμετώπισης και ανάκαμψης της λειτουργίας της χρηματοοικονομικής οντότητας,

στ)

εγκρίνει και επανεξετάζει περιοδικά τα προγράμματα εσωτερικού ελέγχου ΤΠΕ και τους ελέγχους ΤΠΕ της χρηματοοικονομικής οντότητας, καθώς και τις σημαντικές μεταβολές τους,

ζ)

διαθέτει τον κατάλληλο προϋπολογισμό και τον επανεξετάζει τακτικά, ώστε να καλύπτονται οι ανάγκες ψηφιακής επιχειρησιακής ανθεκτικότητας της χρηματοοικονομικής οντότητας όσον αφορά όλα τα είδη πόρων, μεταξύ των οποίων τα σχετικά προγράμματα ευαισθητοποίησης σε θέματα ασφάλειας των ΤΠΕ και η κατάρτιση για την ψηφιακή επιχειρησιακή ανθεκτικότητα που αναφέρονται στο άρθρο 13 παράγραφος 6, και τις δεξιότητες ΤΠΕ για όλους,

η)

εγκρίνει και επανεξετάζει τακτικά την πολιτική της χρηματοοικονομικής οντότητας σχετικά με τις ρυθμίσεις που αφορούν τη χρήση των υπηρεσιών ΤΠΕ οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ,

θ)

θέτει σε εφαρμογή σε εταιρικό επίπεδο διαύλους αναφοράς που θα του επιτρέπουν να ενημερώνεται δεόντως σχετικά με τα ακόλουθα:

i)

ρυθμίσεις που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ σχετικά με τη χρήση υπηρεσιών ΤΠΕ,

ii)

οποιεσδήποτε σχετικές προγραμματισμένες ουσιώδεις αλλαγές όσον αφορά τους τρίτους παρόχους υπηρεσιών ΤΠΕ,

iii)

τον δυνητικό αντίκτυπο των εν λόγω αλλαγών στις κρίσιμες ή σημαντικές λειτουργίες που υπόκεινται στις εν λόγω ρυθμίσεις, συμπεριλαμβανομένης σύνοψης ανάλυσης κινδύνου για την αξιολόγηση των επιπτώσεων των εν λόγω αλλαγών, και τουλάχιστον τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ και τις επιπτώσεις τους, καθώς και σχετικά με τα μέτρα αντιμετώπισης και ανάκαμψης και τα διορθωτικά μέτρα.
EULAW Άρθρο 5 3

3.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, καθορίζουν ρόλο για την παρακολούθηση των ρυθμίσεων που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ όσον αφορά τη χρήση των υπηρεσιών ΤΠΕ ή ορίζουν ένα ανώτερο διοικητικό στέλεχος ως αρμόδιο για την εποπτεία της έκθεσης σε σχετικό κίνδυνο και της συναφούς τεκμηρίωσης.
EULAW Άρθρο 5 4

4.   Τα μέλη του διοικητικού οργάνου της χρηματοοικονομικής οντότητας εξελίσσουν ενεργά και επαρκώς τις γνώσεις και τις δεξιότητές τους, ώστε να κατανοούν και να αξιολογούν τους κινδύνους ΤΠΕ και τις επιπτώσεις τους στις δραστηριότητες της χρηματοοικονομικής οντότητας, μεταξύ άλλων παρακολουθώντας ειδική κατάρτιση σε τακτική βάση, ανάλογη προς τους κινδύνους ΤΠΕ που τελούν υπό διαχείριση.
EULAW Άρθρο 6 8

8.   Το πλαίσιο διαχείρισης κινδύνων ΤΠΕ περιλαμβάνει στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας για τον καθορισμό του τρόπου εφαρμογής του πλαισίου. Για τον σκοπό αυτόν, η στρατηγική επιχειρησιακής ψηφιακής ανθεκτικότητας περιλαμβάνει τις μεθόδους αντιμετώπισης κινδύνων ΤΠΕ και επίτευξης συγκεκριμένων στόχων ΤΠΕ, ως εξής:

α)

επεξηγώντας τον τρόπο με τον οποίο το πλαίσιο διαχείρισης κινδύνων ΤΠΕ υποστηρίζει την επιχειρηματική στρατηγική και τους στόχους της χρηματοοικονομικής οντότητας,

β)

θεσπίζοντας το επίπεδο ανοχής κινδύνου για τους κινδύνους ΤΠΕ, σύμφωνα με τη διάθεση ανάληψης κινδύνων της χρηματοοικονομικής οντότητας, και αναλύοντας την ανοχή στις επιπτώσεις για τις διαταραχές των ΤΠΕ,

γ)

καθορίζοντας σαφείς στόχους ασφάλειας των πληροφοριών, συμπεριλαμβανομένων των βασικών δεικτών επιδόσεων και των βασικών μετρήσεων κινδύνου,

δ)

επεξηγώντας την αρχιτεκτονική αναφοράς των ΤΠΕ και τυχόν αλλαγές που απαιτούνται για την επίτευξη συγκεκριμένων επιχειρηματικών στόχων,

ε)

περιγράφοντας τους διάφορους μηχανισμούς που εφαρμόζονται για τον εντοπισμό των συμβάντων που σχετίζονται με τις ΤΠΕ, την αποτροπή των επιπτώσεών τους και την παροχή προστασίας από αυτές,

στ)

τεκμηριώνοντας την τρέχουσα κατάσταση όσον αφορά την ψηφιακή επιχειρησιακή ανθεκτικότητα με βάση τον αριθμό των αναφερόμενων μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ και την αποτελεσματικότητα των προληπτικών μέτρων,

ζ)

εφαρμόζοντας δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, σύμφωνα με το κεφάλαιο IV του παρόντος κανονισμού,

η)

περιγράφοντας μια στρατηγική επικοινωνίας σε περίπτωση συμβάντων που σχετίζονται με τις ΤΠΕ, η γνωστοποίηση των οποίων απαιτείται σύμφωνα με το άρθρο 14.
EULAW Άρθρο 13 4

4.   Οι χρηματοοικονομικές οντότητες παρακολουθούν την αποτελεσματικότητα της εφαρμογής της στρατηγικής τους για την ψηφιακή επιχειρησιακή ανθεκτικότητα που καθορίζεται στο άρθρο 6 παράγραφος 8. Χαρτογραφούν την εξέλιξη των κινδύνων ΤΠΕ με την πάροδο του χρόνου, αναλύουν τη συχνότητα, τα είδη, το μέγεθος και την εξέλιξη των συμβάντων που σχετίζονται με τις ΤΠΕ, ιδίως όσον αφορά τις κυβερνοεπιθέσεις και τις πρακτικές που ακολουθούν, με σκοπό να κατανοήσουν το επίπεδο έκθεσης σε κινδύνους ΤΠΕ, ιδίως όσον αφορά κρίσιμες ή σημαντικές λειτουργίες, και να ενισχύσουν τα επίπεδα ωριμότητας και ετοιμότητας της χρηματοοικονομικής οντότητας στον κυβερνοχώρο.