|
+Άρθρο 27 2. |
Άρθρο 27 2.Οι χρηματοοικονομικές οντότητες περιλαμβάνουν όλες τις ακόλουθες πληροφορίες στην έκθεση που αναφέρεται στην παράγραφο 1:
α)
ένα εισαγωγικό τμήμα το οποίο:
i)
προσδιορίζει σαφώς τη χρηματοοικονομική οντότητα που αποτελεί το αντικείμενο της έκθεσης και περιγράφει τη δομή του ομίλου της, κατά περίπτωση·
ii)
περιγράφει το πλαίσιο της έκθεσης όσον αφορά τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών της χρηματοοικονομικής οντότητας, την οργάνωσή της, τις προσδιορισμένες κρίσιμες λειτουργίες, τη στρατηγική, μείζονα υπό εξέλιξη έργα ή δραστηριότητες, τις σχέσεις και την εξάρτησή της από ενδοεπιχειρησιακές και ανατεθείσες υπηρεσίες και συστήματα ΤΠΕ ή τις επιπτώσεις που θα είχε η ολική απώλεια ή σοβαρή υποβάθμιση των εν λόγω συστημάτων σε κρίσιμες ή σημαντικές λειτουργίες και στην αποτελεσματικότητα της αγοράς·
iii)
συνοψίζει τις σημαντικές αλλαγές στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ από την προηγούμενη έκθεση που υποβλήθηκε·
iv)
παρέχει συνοπτική παρουσίαση του τρέχοντος και του βραχυπρόθεσμου προφίλ κινδύνου ΤΠΕ, του τοπίου των απειλών, της εκτιμώμενης αποτελεσματικότητας των δικλείδων ασφαλείας και των πολιτικών ασφάλειας της χρηματοοικονομικής οντότητας·
β)
την ημερομηνία έγκρισης της έκθεσης από το διοικητικό όργανο της χρηματοοικονομικής οντότητας·
γ)
περιγραφή του λόγου επανεξέτασης του πλαισίου διαχείρισης κινδύνων ΤΠΕ σύμφωνα με το άρθρο 6 παράγραφος 5 του κανονισμού (ΕΕ) 2022/2554·
δ)
τις ημερομηνίες έναρξης και λήξης της περιόδου επανεξέτασης·
ε)
αναφορά της λειτουργίας που είναι υπεύθυνη για την επανεξέταση·
στ)
περιγραφή των σημαντικών αλλαγών και βελτιώσεων στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ από την προηγούμενη επανεξέταση·
ζ)
σύνοψη των πορισμάτων της επανεξέτασης και λεπτομερή ανάλυση και αξιολόγηση της σοβαρότητας των αδυναμιών, των ελλείψεων και των κενών στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ κατά τη διάρκεια της περιόδου επανεξέτασης·
η)
περιγραφή των μέτρων για την αντιμετώπιση των αδυναμιών, των ελλείψεων και των κενών που εντοπίστηκαν, μεταξύ άλλων όλα τα ακόλουθα:
i)
σύνοψη των μέτρων που ελήφθησαν για την αποκατάσταση των αδυναμιών, των ελλείψεων και των κενών που εντοπίστηκαν·
ii)
αναμενόμενη ημερομηνία εφαρμογής των μέτρων και ημερομηνίες που σχετίζονται με τον εσωτερικό έλεγχο της εφαρμογής, συμπεριλαμβανομένων πληροφοριών σχετικά με την πρόοδο της εφαρμογής των εν λόγω μέτρων κατά την ημερομηνία σύνταξης της έκθεσης, με επεξήγηση, κατά περίπτωση, του ενδεχόμενου κινδύνου μη τήρησης των προθεσμιών·
iii)
εργαλεία που πρέπει να χρησιμοποιούνται και προσδιορισμό της λειτουργίας που είναι υπεύθυνη για την εκτέλεση των μέτρων, με λεπτομερή περιγραφή του αν τα εργαλεία και οι λειτουργίες είναι εσωτερικά ή εξωτερικά·
iv)
περιγραφή των επιπτώσεων που έχουν στους δημοσιονομικούς, ανθρώπινους και υλικούς πόρους της χρηματοοικονομικής οντότητας οι αλλαγές που προβλέπονται στα μέτρα, συμπεριλαμβανομένων των πόρων που προορίζονται για την εφαρμογή τυχόν διορθωτικών μέτρων·
v)
πληροφορίες σχετικά με τη διαδικασία ενημέρωσης της αρμόδιας αρχής, κατά περίπτωση·
vi)
όταν οι αδυναμίες, οι ελλείψεις ή τα κενά που εντοπίζονται δεν υπόκεινται σε διορθωτικά μέτρα, λεπτομερή επεξήγηση των κριτηρίων που χρησιμοποιούνται για την ανάλυση των επιπτώσεων των εν λόγω αδυναμιών, ελλείψεων ή κενών, για την αξιολόγηση της σχετικής εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ, καθώς και των κριτηρίων που χρησιμοποιούνται για την αποδοχή της σχετικής εναπομένουσας έκθεσης σε κινδύνους·
θ)
πληροφορίες σχετικά με τις προγραμματισμένες περαιτέρω εξελίξεις του πλαισίου διαχείρισης κινδύνων ΤΠΕ·
ι)
συμπεράσματα που προκύπτουν από την επανεξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ·
ια)
πληροφορίες σχετικά με προηγούμενες επισκοπήσεις, μεταξύ άλλων:
i)
κατάλογο προηγούμενων επανεξετάσεων μέχρι σήμερα·
ii)
κατά περίπτωση, κατάσταση εφαρμογής των διορθωτικών μέτρων που προσδιορίζονται στην τελευταία έκθεση·
iii)
όταν τα προτεινόμενα διορθωτικά μέτρα σε προηγούμενες επανεξετάσεις έχουν αποδειχθεί αναποτελεσματικά ή έχουν δημιουργήσει απρόβλεπτες προκλήσεις, περιγραφή του τρόπου με τον οποίο τα εν λόγω διορθωτικά μέτρα θα μπορούσαν να βελτιωθούν ή των εν λόγω απροσδόκητων προκλήσεων·
ιβ)
πηγές πληροφοριών που χρησιμοποιήθηκαν για την κατάρτιση της έκθεσης, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:
i)
για χρηματοοικονομικές οντότητες πλην των πολύ μικρών επιχειρήσεων που αναφέρονται στο άρθρο 6 παράγραφος 6 του κανονισμού (ΕΕ) 2022/2554, τα αποτελέσματα των εσωτερικών ελέγχων·
ii)
τα αποτελέσματα των αξιολογήσεων συμμόρφωσης·
iii)
τα αποτελέσματα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας και, κατά περίπτωση, τα αποτελέσματα προηγμένων δοκιμών —βασιζόμενα σε δοκιμές παρείσδυσης βάσει απειλών (TLPT)— εργαλείων, συστημάτων και διαδικασιών ΤΠΕ·
iv)
εξωτερικές πηγές. Για τους σκοπούς του στοιχείου γ), όταν η επανεξέταση ξεκινά μετά από εποπτικές οδηγίες ή συμπεράσματα που προέκυψαν από σχετικές δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας ή διαδικασίες ελέγχου, η έκθεση περιέχει ρητές αναφορές στις εν λόγω οδηγίες ή στα συμπεράσματα, οι οποίες επιτρέπουν τον προσδιορισμό του λόγου έναρξης της επανεξέτασης. Όταν η επανεξέταση ξεκινά μετά από συμβάντα που σχετίζονται με τις ΤΠΕ, η έκθεση περιέχει τον κατάλογο όλων των συμβάντων που σχετίζονται με τις ΤΠΕ με ανάλυση των βαθύτερων αιτίων του συμβάντος. Για τους σκοπούς του στοιχείου στ), η περιγραφή περιλαμβάνει ανάλυση των επιπτώσεων των αλλαγών στη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας της χρηματοοικονομικής οντότητας, στο πλαίσιο εσωτερικού ελέγχου ΤΠΕ της χρηματοοικονομικής οντότητας και στη διακυβέρνηση διαχείρισης κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας. 1. Επισκόπηση
1.1 Παραπομπές1.2 Εντοπισμένες απαιτήσεις1.3 Σχετικά πρότυπα2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|