+Testing and Assessment

Testing and Assessment

Regularly test ICT business continuity, response, and recovery plans, particularly in collaboration with third-party service providers supporting critical or important functions. Testing should  take into account the financial entity’s BIA and the ICT risk assessment and occur on a yearly basis and whenever there are significant changes to systems supporting critical or important functions. 
Tests must be based on realistic scenarios and encompass scenarios like cyber attacks, insolvency or failure of the third-party, backup restores, and switchover between primary and redundant processing sites. 
The testing shall verify whether at least critical or important functions can be operated appropriately, for a sufficient period of time and whether the normal functioning (of the business process) may be restored. Conduct testing of crisis communication plans to ensure effective communication strategies during a crisis or major disruption. Document test results and report any identified deficiencies resulting from the tests to the management body.

Refer to Articles 24.2-3 of the RTS RM for the specific requirements for Central counterparties and Central security depositories.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Regulaciones relacionadas

2. Requisitos identificados

Requisitos

3. Regulaciones relacionadas

Regulaciones
EULAW Artículo 11 1

1.   Como parte del marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6, apartado 1, y sobre la base de los requisitos de identificación establecidos en el artículo 8, las entidades financieras pondrán en práctica una política global de continuidad de la actividad en materia de TIC, que podrá ser adoptada como una política específica propia que forme parte integrante de la política global de continuidad de la actividad de la entidad financiera.
EULAW Artículo 11 6

6.   Como parte de su gestión global del riesgo relacionado con las TIC, las entidades financieras:

a)

someterán a prueba los planes de continuidad de la actividad y los planes de respuesta y recuperación en materia de TIC en relación con los sistemas de TIC que sustenten todas las funciones al menos una vez al año, así como en caso de que se produzca cualquier cambio sustancial en los sistemas de TIC que sustenten funciones esenciales o importantes;

b)

someterán a prueba los planes de comunicación en caso de crisis establecidos de conformidad con el artículo 14.

A efectos del párrafo primero, letra a), las entidades financieras que no sean microempresas incluirán, en los planes de pruebas, escenarios de ciberataques y de conmutación entre la infraestructura primaria de TIC y la capacidad redundante, las copias de seguridad y las instalaciones redundantes necesarias para cumplir con las obligaciones establecidas en el artículo 12.

Las entidades financieras revisarán periódicamente su política de continuidad de la actividad en materia de TIC y sus planes de respuesta y recuperación en materia de TIC teniendo en cuenta los resultados de las pruebas realizadas de conformidad con el párrafo primero y las recomendaciones derivadas de los controles de auditoría o las revisiones supervisoras.
EULAW Artículo 11 2

2.   Las entidades financieras aplicarán la política de continuidad de la actividad en materia de TIC mediante disposiciones, planes, procedimientos y mecanismos específicos, adecuados y documentados destinados a:

a)

garantizar la continuidad de las funciones esenciales o importantes de la entidad financiera;

b)

responder a todos los incidentes relacionados con las TIC y resolverlos rápida, adecuada y eficazmente de manera que se limiten los daños y se dé prioridad a la reanudación de las actividades y a las acciones de recuperación;

c)

activar, sin demora, planes específicos que permitan recurrir a medidas de contención, procesos y tecnologías adaptados a cada tipo de incidente relacionado con las TIC y que eviten nuevos daños, así como a procedimientos de respuesta y recuperación adaptados establecidos de conformidad con el artículo 12;

d)

estimar con carácter preliminar las repercusiones, daños y pérdidas;

e)

definir acciones de comunicación y gestión de crisis que garanticen la transmisión de información actualizada a todo el personal interno y las partes interesadas externas pertinentes de conformidad con el artículo 14, y su notificación a las autoridades competentes de conformidad con el artículo 19.
EULAW Artículo 11 4

4.   Las entidades financieras establecerán, mantendrán y someterán a prueba periódicamente planes adecuados de continuidad de las actividades de TIC, en particular en lo que se refiere a las funciones esenciales o importantes externalizadas o contratadas mediante acuerdos con proveedores terceros de servicios de TIC.
EULAW Artículo 11 5

5.   Como parte de la política global de continuidad de la actividad, las entidades financieras llevarán a cabo un análisis de impacto en el negocio de sus exposiciones a perturbaciones graves de la actividad. En el marco de dicho análisis, las entidades financieras evaluarán el impacto potencial de las perturbaciones graves de la actividad mediante criterios cuantitativos y cualitativos, utilizando datos internos y externos y análisis de escenarios, según proceda. El análisis de impacto en el negocio tendrá en cuenta el carácter esencial de las funciones empresariales identificadas y cartografiadas, los procesos de apoyo, las dependencias de terceros y los activos de información, así como sus interdependencias. Las entidades financieras garantizarán que los activos de TIC y los servicios de TIC se diseñen y utilicen en plena consonancia con el análisis de impacto en el negocio, en particular en lo que se refiere a garantizar adecuadamente la redundancia de todos los componentes esenciales.
EULAW Artículo 11 7

7.   Las entidades financieras que no sean microempresas dispondrán de una función de gestión de crisis que, en caso de activación de sus planes de continuidad de la actividad en materia de TIC o de sus planes de respuesta y recuperación en materia de TIC, establecerá, entre otros, procedimientos claros para gestionar las comunicaciones de crisis internas y externas de conformidad con el artículo 14.
EULAW Artículo 11 8

8.   Las entidades financieras mantendrán registros fácilmente accesibles de las actividades antes de las perturbaciones y durante estas cuando se activen sus planes de continuidad de la actividad en materia de TIC y sus planes de respuesta y recuperación en materia de TIC.
EULAW Artículo 11 9

9.   Los depositarios centrales de valores facilitarán a las autoridades competentes copias de los resultados de las pruebas de continuidad de la actividad en materia de TIC, o de ejercicios similares.
EULAW Artículo 11 10

10.   Las entidades financieras que no sean microempresas informarán a las autoridades competentes, si estas lo solicitan, una estimación de los costes y pérdidas anuales agregados causados por incidentes graves relacionados con las TIC.
EULAW Artículo 14 1

1.   Como parte del marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6, apartado 1, las entidades financieras dispondrán de planes de comunicación de crisis que permitan la divulgación responsable de, al menos, los incidentes graves relacionados con las TIC o las vulnerabilidades importantes a clientes y contrapartes, así como al público, según proceda.
EULAW Artículo 24 1.

Las entidades financieras incluirán en su política de continuidad de la actividad en materia de TIC a que se refiere el artículo 11, apartado 1, del Reglamento (UE) 2022/2554 todos los elementos siguientes:

a) 

una descripción de:

i) 

los objetivos de la política de continuidad de la actividad en materia de TIC, incluida la interrelación entre la continuidad de la actividad en sentido global y la continuidad de la actividad en materia de TIC, y teniendo en cuenta los resultados del análisis de impacto en el negocio a que se refiere el artículo 11, apartado 5, del Reglamento (UE) 2022/2554,

ii) 

el alcance de las disposiciones, planes, procedimientos y mecanismos para la continuidad de la actividad en materia de TIC, incluidas las limitaciones y exclusiones,

iii) 

el período que deben cubrir las disposiciones, planes, procedimientos y mecanismos para la continuidad de la actividad en materia de TIC,

iv) 

los criterios para activar y desactivar los planes de continuidad de la actividad en materia de TIC, los planes de respuesta y recuperación en materia de TIC y los planes de comunicación de crisis;

b) 

disposiciones sobre:

i) 

la gobernanza y organización para aplicar la política de continuidad de la actividad en materia de TIC, en particular las funciones y responsabilidades y los procedimientos de traslado a la instancia jerárquica superior que garanticen la disponibilidad de recursos suficientes,

ii) 

la armonización entre los planes de continuidad de la actividad en materia de TIC y los planes globales de continuidad de la actividad, en relación, como mínimo, con todos los aspectos siguientes:

1) 

posibles escenarios de fallo, en particular los escenarios a que se refiere el artículo 26, apartado 2, del presente Reglamento;

2) 

objetivos de recuperación, con la especificación de que, tras sufrir perturbaciones, la entidad financiera debe ser capaz de recuperar las operaciones de sus funciones esenciales o importantes dentro de un objetivo de tiempo de recuperación y un objetivo de punto de recuperación,

iii) 

la elaboración, dentro de dichos planes, de planes de continuidad de la actividad en materia de TIC para el caso de perturbaciones graves de la actividad, y la priorización de las acciones de continuidad de la actividad en materia de TIC utilizando un enfoque basado en el riesgo,

iv) 

la elaboración, sometimiento a prueba y revisión de planes de respuesta y recuperación en materia de TIC, de conformidad con los artículos 25 y 26 del presente Reglamento,

v) 

la revisión de la eficacia de las disposiciones, planes, procedimientos y mecanismos para la continuidad de la actividad en materia de TIC aplicados, de conformidad con el artículo 26 del presente Reglamento,

vi) 

la armonización de la política de continuidad de la actividad en materia de TIC con:

1) 

la política de comunicación a que se refiere el artículo 14, apartado 2, del Reglamento (UE) 2022/2554;

2) 

las acciones de comunicación y comunicación de crisis a que se refiere el artículo 11, apartado 2, letra e), del Reglamento (UE) 2022/2554.
EULAW Artículo 24 2.

Además de los requisitos a que se refiere el apartado 1, las entidades de contrapartida central velarán por que su política de continuidad de la actividad en materia de TIC:

a) 

establezca un tiempo máximo de recuperación de sus funciones esenciales no superior a dos horas;

b) 

tenga en cuenta los vínculos externos y las interdependencias existentes dentro de la infraestructura financiera, incluidos los centros de negociación de cuya compensación se encargue la entidad de contrapartida central, los sistemas de pago y de liquidación de valores y las entidades de crédito utilizadas por la entidad de contrapartida central o una entidad de contrapartida central vinculada;

c) 

exija que se establezcan mecanismos para:

i) 

garantizar la continuidad de las funciones esenciales o importantes de la entidad de contrapartida central sobre la base de escenarios de catástrofe,

ii) 

mantener un centro de tratamiento secundario capaz de garantizar la continuidad de las funciones esenciales o importantes de la entidad de contrapartida central del mismo modo que el centro principal,

iii) 

mantener un centro secundario de actividad, o tener acceso inmediato a él, para permitir al personal garantizar la continuidad del servicio en caso de que no pueda disponerse del emplazamiento principal de la actividad,

iv) 

estudiar la necesidad de contar con centros de tratamiento adicionales, en particular si la diversidad de los perfiles de riesgo de los centros principal y secundario no ofrece suficiente seguridad en cuanto al cumplimiento de los objetivos de continuidad de la actividad de la entidad de contrapartida central en todos los escenarios.

A efectos de la letra a), las entidades de contrapartida central realizarán los pagos y procedimientos de cierre de jornada en cualquier circunstancia en el día y la hora previstos.

A efectos de la letra c), inciso i), los mecanismos a que se refiere dicho inciso contemplarán la disponibilidad de recursos humanos adecuados, el tiempo máximo de paralización de las funciones esenciales y el traspaso para recuperación a un centro secundario.

A efectos de la letra c), inciso ii), el centro de tratamiento secundario a que se refiere dicha letra tendrá un perfil de riesgo geográfico distinto al del centro principal.
EULAW Artículo 24 3.

Además de los requisitos a que se refiere el apartado 1, los depositarios centrales de valores velarán por que su política de continuidad de la actividad en materia de TIC:

a) 

tenga en cuenta los vínculos e interdependencias con los usuarios, los prestadores de servicios esenciales, otros depositarios centrales de valores y otras infraestructuras del mercado;

b) 

exija que sus mecanismos de continuidad de la actividad en materia de TIC garanticen que el objetivo de tiempo de recuperación de sus funciones esenciales o importantes no sea superior a dos horas.
EULAW Artículo 24 4.

Además de los requisitos a que se refiere el apartado 1, los centros de negociación velarán por que su política de continuidad de la actividad en materia de TIC garantice:

a) 

que la negociación puede reanudarse antes de que transcurran dos horas desde que se produzca un incidente perturbador, o en un plazo cercano;

b) 

que la cantidad máxima de datos que puedan perderse en cualquier servicio informático del centro de negociación después de un incidente perturbador sea próxima a cero.
EULAW Artículo 25 1.
Al someter a prueba los planes de continuidad de la actividad en materia de TIC de conformidad con el artículo 11, apartado 6, del Reglamento (UE) 2022/2554, las entidades financieras tendrán en cuenta su análisis de impacto en el negocio y la evaluación del riesgo relacionado con las TIC a que se refiere el artículo 3, apartado 1, letra b), del presente Reglamento.
EULAW Artículo 25 2.

Las entidades financieras, mediante las pruebas de los planes de continuidad de la actividad en materia de TIC a que se refiere el apartado 1, evaluarán si dichos planes son capaces de garantizar la continuidad de sus funciones esenciales o importantes. Dichas pruebas:

a) 

se llevarán a cabo sobre la base de escenarios de prueba que simulen posibles perturbaciones, incluido un conjunto adecuado de escenarios graves pero verosímiles;

b) 

comprenderán, en su caso, el sometimiento a prueba de los servicios de TIC prestados por proveedores terceros de servicios de TIC;

c) 

en el caso de las entidades financieras que no sean microempresas, tal como se contempla en el artículo 11, apartado 6, párrafo segundo, del Reglamento (UE) 2022/2554, comprenderán escenarios de conmutación entre la infraestructura primaria de TIC y la capacidad redundante, las copias de seguridad y las instalaciones redundantes;

d) 

estarán diseñadas para poner en cuestión las hipótesis en las que se basen los planes de continuidad de la actividad, incluidos los mecanismos de gobernanza y los planes de comunicación de crisis;

e) 

incluirán procedimientos para verificar la capacidad del personal de las entidades financieras, los proveedores terceros de servicios de TIC, los sistemas de TIC y los servicios de TIC para responder de forma adecuada ante los escenarios que han de tenerse debidamente en cuenta de conformidad con el artículo 26, apartado 2.

A efectos de la letra a), las entidades financieras incluirán siempre en las pruebas los escenarios que se hayan tomado en consideración a la hora de elaborar los planes de continuidad de la actividad.

A efectos de la letra b), las entidades financieras tomarán debidamente en consideración los escenarios vinculados a la insolvencia u otros fallos de los proveedores terceros de servicios de TIC o vinculados a riesgos políticos en los países o territorios de tales proveedores, en su caso.

A efectos de la letra c), las pruebas verificarán si al menos las funciones esenciales o importantes pueden desempeñarse adecuadamente durante un período de tiempo suficiente y si es posible restablecer el funcionamiento normal.
EULAW Artículo 25 3.

Además de los requisitos a que se refiere el apartado 2, las entidades de contrapartida central asociarán a las pruebas de los planes de continuidad de la actividad en materia de TIC a que se refiere el apartado 1 a:

a) 

los miembros compensadores;

b) 

los proveedores externos;

c) 

las entidades pertinentes de la infraestructura financiera con respecto a las cuales hayan determinado la existencia de interdependencias en el marco de su política de continuidad de la actividad.
EULAW Artículo 25 4.

Además de los requisitos a que se refiere el apartado 2, los depositarios centrales de valores asociarán a las pruebas de los planes de continuidad de la actividad en materia de TIC a que se refiere el apartado 1, según proceda, a:

a) 

sus usuarios;

b) 

los prestadores de servicios esenciales;

c) 

otros depositarios centrales de valores;

d) 

otras infraestructuras del mercado;

e) 

otras entidades con respecto a las cuales hayan determinado la existencia de interdependencias en el marco de su política de continuidad de la actividad.
EULAW Artículo 25 5.
Las entidades financieras documentarán los resultados de las pruebas a que se refiere el apartado 1. Toda deficiencia detectada en las pruebas será objeto de análisis, tratamiento y comunicación al órgano de dirección.
EULAW Artículo 26 1.

Al elaborar los planes de respuesta y recuperación en materia de TIC a que se refiere el artículo 11, apartado 3, del Reglamento (UE) 2022/2554, las entidades financieras tendrán en cuenta los resultados de su análisis de impacto en el negocio. Dichos planes de respuesta y recuperación en materia de TIC:

a) 

especificarán las condiciones que motivarán su activación o desactivación, así como toda excepción a dicha activación o desactivación;

b) 

describirán las medidas que deben adoptarse para garantizar la disponibilidad, integridad, continuidad y recuperación de, al menos, los sistemas y servicios de TIC que sustenten funciones esenciales o importantes de la entidad financiera;

c) 

estarán concebidos para cumplir los objetivos de recuperación de las operaciones de las entidades financieras;

d) 

se documentarán y pondrán a disposición del personal que participe en su ejecución y serán fácilmente accesibles en caso de emergencia;

e) 

contemplarán opciones de recuperación tanto a corto como a largo plazo, incluida la recuperación parcial de los sistemas;

f) 

establecerán los objetivos que persiguen y las condiciones para considerar que se han ejecutado correctamente.

A efectos de la letra d), las entidades financieras especificarán claramente las funciones y responsabilidades.
EULAW Artículo 26 2.

Los planes de respuesta y recuperación en materia de TIC a que se refiere el apartado 1 determinarán los escenarios pertinentes, entre ellos escenarios de perturbaciones graves en la actividad y de incremento de la probabilidad de que se produzcan perturbaciones. Los escenarios de los planes se elaborarán sobre la base de la información actual en materia de amenazas y las conclusiones extraídas de anteriores perturbaciones de la actividad. Las entidades financieras tendrán debidamente en cuenta todos los escenarios siguientes:

a) 

ciberataques y conmutaciones entre la infraestructura primaria de TIC y la capacidad redundante, las copias de seguridad y las instalaciones redundantes;

b) 

escenarios en los que la calidad de la ejecución de una función esencial o importante se deteriore hasta un nivel inaceptable o falle, así como escenarios en los que se contemplen debidamente las posibles repercusiones de la insolvencia u otros fallos de cualquier proveedor tercero de servicios de TIC pertinente;

c) 

fallo parcial o total de los locales, incluidas las oficinas y los locales de uso profesional, y de los centros de datos;

d) 

fallo importante de los activos de TIC o de la infraestructura de comunicación;

e) 

indisponibilidad de un número crucial de miembros del personal o de los miembros del personal a cargo de garantizar la continuidad de las operaciones;

f) 

repercusiones de sucesos relacionados con el cambio climático y la degradación del medio ambiente, catástrofes naturales, pandemias y ataques físicos, como intrusiones y atentados terroristas;

g) 

ataques internos;

h) 

inestabilidad política y social, en particular, cuando proceda, en el territorio o país del proveedor tercero de servicios de TIC y en la ubicación en la que se almacenen y traten los datos;

i) 

cortes de energía generalizados.
EULAW Artículo 26 3.
Los planes de respuesta y recuperación en materia de TIC a que se refiere el apartado 1 contemplarán opciones alternativas ante la eventualidad de que las medidas primarias de recuperación no sean viables a corto plazo debido a los costes, los riesgos, la logística o circunstancias imprevistas.
EULAW Artículo 26 4.
Dentro de los planes de respuesta y recuperación en materia de TIC a que se refiere el apartado 1, las entidades financieras contemplarán y aplicarán medidas de continuidad para mitigar los fallos de los proveedores terceros de servicios de TIC que sustenten funciones esenciales o importantes de dichas entidades.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.