+Business Continuity Policy

Business Continuity Policy

Establish an ICT business continuity policy that enables the continuity of critical or important functions, ensures rapid response to incidents, facilitates the resumption of activities, deployment of containment measures, activation and deactivation of response and recovery procedures, estimation of impact, damage, and losses, and provides clear communication to relevant stakeholders. Regularly review the business continuity policy and make necessary adjustments to enhance effectiveness.

Refer to Articles 24.2-4 of the RTS RM for specific requirements for Central counterparties, Trading venues, and Central security depositories.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW Artikkel 24 1.

Finantssektori ettevõtjad lisavad määruse (EL) 2022/2554 artikli 11 lõikes 1 osutatud IKT talitluspidevuse põhimõtetesse kõik järgmise:

a) 

kirjeldus järgmise kohta:

i) 

IKT talitluspidevuse põhimõtete eesmärgid, sealhulgas IKT talitluspidevuse ja üldise talitluspidevuse vahelised seosed, võttes arvesse määruse (EL) 2022/2554 artikli 11 lõikes 5 osutatud talitlusmõju analüüsi tulemusi;

ii) 

IKT talitluspidevuse korra, kavade, menetluste ja mehhanismide ulatus, sealhulgas piirangud ja erandid;

iii) 

IKT talitluspidevuse korra, kavade, menetluste ja mehhanismide rakendamise tähtajad;

iv) 

IKT talitluspidevuse kavade, IKT reageerimis- ja taastekavade ning kriisikommunikatsioonikavade aktiveerimise ja deaktiveerimise tingimused;

b) 

sätted järgmise kohta:

i) 

IKT talitluspidevuse põhimõtete rakendamise juhtimine ja korraldus, sealhulgas rollid, vastutusvaldkonnad ja eskalatsioonimenetlused, millega tagatakse piisavate vahendite olemasolu;

ii) 

IKT talitluspidevuse kavade ja üldiste talitluspidevuse kavade kooskõla, sealhulgas vähemalt kogu järgmine teave:

1) 

võimalikud tõrkestsenaariumid, sealhulgas käesoleva määruse artikli 26 lõikes 2 osutatud stsenaariumid,

2) 

taaste-eesmärgid, mille kohaselt finantssektori ettevõtja peab olema suuteline taastama pärast talitlushäiret oma kriitilise tähtsusega või olulised funktsioonid kooskõlas taasteaja ja taastekünnise eesmärgiga;

iii) 

nende kavade osana IKT talitluspidevuse kavade väljatöötamine tõsiste talitlushäirete puhuks ning IKT talitluspidevuse meetmete esmatähtsaks seadmine, kasutades riskipõhist lähenemisviisi;

iv) 

IKT reageerimis- ja taastekavade väljatöötamine, testimine ja läbivaatamine kooskõlas käesoleva määruse artiklitega 25 ja 26;

v) 

rakendatava IKT talitluspidevuse korra, kavade, menetluste ja mehhanismide tulemuslikkuse läbivaatamine kooskõlas käesoleva määruse artikliga 26;

vi) 

IKT talitluspidevuse põhimõtete kooskõlastamine

1) 

määruse (EL) 2022/2554 artikli 14 lõikes 2 osutatud kommunikatsioonipoliitikaga,

2) 

määruse (EL) 2022/2554 artikli 11 lõike 2 punktis e osutatud kommunikatsiooni- ja kriisijuhtimismeetmetega.
EULAW Artikkel 24 2.

Kesksed vastaspooled tagavad lisaks lõikes 1 osutatud nõuete täitmisele, et nende IKT talitluspidevuse põhimõtetes

a) 

kehtestatakse kriitilise tähtsusega funktsioonide maksimaalseks taasteajaks kuni kaks tundi;

b) 

võetakse arvesse väliseid seoseid ja vastastikust sõltuvust finantstaristutes, sealhulgas keskse vastaspoole kliiritavates kauplemiskohtades, väärtpaberiarveldus- ja maksesüsteemides ning keskse vastaspoole või seotud keskse vastaspoole kasutatavates krediidiasutustes;

c) 

esitatakse järgmised nõuded:

i) 

kehtestada avariistsenaariumidel põhinev kord, et tagada keskse vastaspoole kriitilise tähtsusega või oluliste funktsioonide talitluspidevus,

ii) 

omada varutöötluskohta, et tagada keskse vastaspoole kriitilise tähtsusega või oluliste funktsioonide edasitoimimine samal viisil kui peamises töötluskohas,

iii) 

omada kohest juurdepääsu varutöötluskohale, et töötajad saaksid tagada teenuste jätkumise, kui ligipääs peamisele tegevuskohale puudub,

iv) 

kaaluda täiendavate töötluskohtade vajadust, eelkõige juhul, kui peamise ja varutöötluskoha riskiprofiil ei erine nii palju, et oleks piisavalt kindel, et keskse vastaspoole talitluspidevuse eesmärgid täidetakse kõigi stsenaariumide korral.

Punkti a kohaldamisel teevad kesksed vastaspooled päevalõpu protseduurid ja maksed igas olukorras ettenähtud ajal ja päeval.

Punkti c alapunkti i kohaldamisel nähakse nimetatud punktis osutatud korraga ette piisavate inimressursside kättesaadavus, kriitilise tähtsusega funktsioonide maksimaalne seisuaeg ning varutöötluskohale üleminek ja taaste.

Punkti c alapunkti ii kohaldamisel peab nimetatud punktis osutatud varutöötluskoha geograafiline riskiprofiil erinema peamise töötluskoha riskiprofiilist.
EULAW Artikkel 24 3.

Väärtpaberite keskdepositooriumid tagavad lisaks lõikes 1 osutatud nõuete täitmisele, et nende IKT talitluspidevuse põhimõtetes

a) 

võetakse arvesse mis tahes seoseid ja vastastikust sõltuvust kasutajate, kriitilise tähtsusega teenuste osutajate, teiste väärtpaberite keskdepositooriumide ja muude turutaristutega;

b) 

nähakse ette, et IKT talitluspidevuse kord peab tagama, et kriitilise tähtsusega või oluliste funktsioonide taasteaja eesmärk ei ületa kaht tundi.
EULAW Artikkel 24 4.

Kauplemiskohad tagavad lisaks lõikes 1 osutatud nõuete täitmisele oma IKT talitluspidevuse põhimõtetega, et

a) 

kauplemist saab jätkata kahe tunni või peaaegu kahe tunni jooksul pärast häirivat intsidenti;

b) 

suurim andmehulk, mis võib kauplemiskoha IT-teenuse kaudu häire korral kaduma minna, on nullilähedane.
EULAW Artikkel 25 1.
IKT talitluspidevuse kavade testimisel vastavalt määruse (EL) 2022/2554 artikli 11 lõikele 6 võtavad finantssektori ettevõtjad arvesse oma talitlusmõju analüüsi ja käesoleva määruse artikli 3 lõike 1 punktis b osutatud IKT-riski hindamist.
EULAW Artikkel 25 2.

Finantssektori ettevõtjad hindavad lõikes 1 osutatud testimise teel, kas nad suudavad tagada oma kriitilise tähtsusega või oluliste funktsioonide talitluspidevuse. Kõnealune testimine

a) 

peab põhinema testimisstsenaariumidel, kus simuleeritakse võimalikke häireid, sealhulgas piisaval hulgal tõsistel, kuid usutavatel stsenaariumidel;

b) 

peab hõlmama vajaduse korral kolmandast isikust teenuseosutajate IKT-teenuste testimist;

c) 

peab hõlmama finantssektori ettevõtjate puhul, kes ei ole mikroettevõtjad, esmase IKT-taristu ning varuvõimsuse, varundusseadmete ja varurajatiste vahelise ümberlülituse stsenaariume, nagu on osutatud määruse (EL) 2022/2554 artikli 11 lõike 6 teises lõigus;

d) 

kavandatakse eesmärgiga seada kahtluse alla talitluspidevuse kavade aluseks olevad eeldused, sealhulgas juhtimiskord ja kriisikommunikatsioonikavad;

e) 

peab hõlmama menetlusi, millega kontrollida finantssektori ettevõtja töötajate, kolmandast isikust IKT-teenuste osutajate, IKT-süsteemide ja IKT-teenuste suutlikkust asjakohaselt reageerida artikli 26 lõike 2 kohaselt arvesse võetud stsenaariumidele.

Punkti a kohaldamisel testivad finantssektori ettevõtjad alati stsenaariume, mida võeti arvesse talitluspidevuse kavade väljatöötamisel.

Punkti b kohaldamisel võtavad finantssektori ettevõtjad nõuetekohaselt arvesse stsenaariume, mis on seotud kolmandast isikust IKT-teenuste osutajate maksejõuetuse või muude tõrgetega või poliitiliste riskidega kolmandast isikust IKT-teenuste osutajate jurisdiktsioonides, kui see on asjakohane.

Punkti c kohaldamisel kontrollitakse testimise käigus, kas vähemalt kriitilise tähtsusega või olulised funktsioonid toimivad nõuetekohaselt piisava aja jooksul ning kas on võimalik taastada tavapärane toimimine.
EULAW Artikkel 25 3.

Lisaks lõikes 2 osutatud nõuete täitmisele kaasavad kesksed vastaspooled lõikes 1 osutatud IKT talitluspidevuse kavade testimisse

a) 

kliirivaid liikmeid;

b) 

väliseid teenuseosutajaid;

c) 

finantstaristu asjaomaseid asutusi, kellega kesksetel vastaspooltel on talitluspidevuse põhimõtete kohaselt kindlaks tehtud vastastikune sõltuvus.
EULAW Artikkel 25 4.

Lisaks lõikes 2 osutatud nõuete täitmisele kaasavad väärtpaberite keskdepositooriumid vajaduse korral lõikes 1 osutatud IKT talitluspidevuse kavade testimisse

a) 

väärtpaberite keskdepositooriumide kasutajaid;

b) 

kriitilise tähtsusega teenuste osutajaid;

c) 

muid väärtpaberite keskdepositooriume;

d) 

muid turutaristuid;

e) 

mis tahes muid asutusi, kellega väärtpaberite keskdepositooriumil on talitluspidevuse põhimõtete kohaselt kindlaks tehtud vastastikune sõltuvus.
EULAW Artikkel 25 5.
Finantssektori ettevõtjad dokumenteerivad lõikes 1 osutatud testimise tulemused. Testimise käigus tuvastatud puudusi analüüsitakse, need kõrvaldatakse ja neist teatatakse juhtorganile.
EULAW Artikkel 26 1.

Määruse (EL) 2022/2554 artikli 11 lõikes 3 osutatud IKT reageerimis- ja taastekavade väljatöötamisel võtavad finantssektori ettevõtjad arvesse oma talitlusmõju analüüsi tulemusi. IKT reageerimis- ja taastekavade suhtes kehtivad järgmised nõuded:

a) 

kavades tuleb kindlaks määrata tingimused, mille korral kava aktiveeritakse või deaktiveeritakse, ning neist tehtavad erandid;

b) 

kavades tuleb kirjeldada, milliseid meetmeid peab võtma, et tagada vähemalt finantssektori ettevõtja kriitilise tähtsusega või olulisi funktsioone toetavate IKT-süsteemide ja -teenuste kättesaadavus, terviklus, järjekestvus ja taastamine;

c) 

kavad tuleb koostada eesmärgiga saavutada finantssektori ettevõtja taaste-eesmärgid;

d) 

kavad tuleb dokumenteerida ning teha kättesaadavaks IKT reageerimis- ja taastekavade elluviimises osalevatele töötajatele ning kavad peavad olema hädaolukorras kergesti kättesaadavad;

e) 

kavades tuleb ette näha nii lühi- kui ka pikaajalised taastevõimalused, sealhulgas süsteemide osaline taastamine;

f) 

kavades tuleb kindlaks määrata kava eesmärgid ning kava elluviimise õnnestunuks tunnistamise tingimused.

Punkti d kohaldamisel määravad finantssektori ettevõtjad selgelt kindlaks rollid ja vastutusvaldkonnad.
EULAW Artikkel 26 2.

Lõikes 1 osutatud IKT reageerimis- ja taastekavades määratakse kindlaks asjakohased stsenaariumid, sealhulgas tõsiste talitlushäirete stsenaariumid ja häirete esinemise tõenäosuse suurenemise stsenaariumid. Neis kavades esitatavate stsenaariumide väljatöötamisel võetakse aluseks olemasolev teave ohtude kohta ja varasemate talitlushäiretega seotud kogemused. Finantssektori ettevõtjad võtavad nõuetekohaselt arvesse kõike järgmist:

a) 

küberründed ning esmase IKT-taristu ja varuvõimsuse, varundusseadmete ja varurajatiste vahelised ümberlülitused;

b) 

stsenaariumid, kus kriitilise tähtsusega või olulise funktsiooni täitmise kvaliteet halveneb vastuvõetamatu tasemeni või viib ebaõnnestumiseni, arvestades hoolikalt asjaomaste kolmandast isikust IKT-teenuste osutajate maksejõuetuse või muude tõrgete võimalikku mõju;

c) 

ruumide, sealhulgas kontori- ja äriruumide ning andmekeskuste osaline või täielik kasutuskõlbmatuks muutumine;

d) 

IKT-varade või sidetaristu märkimisväärne rike;

e) 

kriitilise arvu töötajate või talitluspidevuse tagamise eest vastutavate töötajate puudumine;

f) 

kliimamuutuste ning keskkonnaseisundi halvenemisega seotud sündmuste, loodusõnnetuste, pandeemiate ja füüsiliste rünnete, sealhulgas sissetungi ja terrorirünnakute mõju;

g) 

siseründed;

h) 

poliitiline ja sotsiaalne ebastabiilsus, sealhulgas asjakohasel juhul kolmandast isikust IKT-teenuste osutaja jurisdiktsioonis ning andmete säilitamise ja töötlemise kohas;

i) 

ulatuslikud elektrikatkestused.
EULAW Artikkel 26 3.
Kui esmased taastemeetmed ei ole kulude, riskide, logistika või ettenägematute asjaolude tõttu lühikeses perspektiivis teostatavad, kaalutakse lõikes 1 osutatud IKT reageerimis- ja taastekavades alternatiivseid võimalusi.
EULAW Artikkel 26 4.
Finantssektori ettevõtjad kaaluvad ja rakendavad lõikes 1 osutatud IKT reageerimis- ja taastekavade raames talitluspidevuse meetmeid, millega leevendada tõrkeid selliste kolmandast isikust teenuseosutajate tegevuses, kes osutavad finantssektori ettevõtja kriitilise tähtsusega või olulisi funktsioone toetavaid IKT-teenuseid.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.