+Artikkel 15 IKT-riski juhtimise vahendite, meetodite, protsesside ja põhimõtete edasine ühtlustamine
---+Article 15 (a)
---+Article 15 (b)
---+Article 15 (c)
---+Article 15 (d)
---+Article 15 (e)
---+Article 15 (f)
---+Article 15 (g)
---+Article 15 2
---+Article 15 3
---+Article 15 4

Artikkel 15 IKT-riski juhtimise vahendite, meetodite, protsesside ja põhimõtete edasine ühtlustamine

Artikkel 15

IKT-riski juhtimise vahendite, meetodite, protsesside ja põhimõtete edasine ühtlustamine

Euroopa järelevalveasutused töötavad ühiskomitee kaudu ja Euroopa Liidu Küberturvalisuse Ametiga (ENISA) konsulteerides välja ühiste regulatiivsete tehniliste standardite eelnõud, et:

a) 

täpsustada artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtetesse, menetlustesse, protokollidesse ja vahenditesse lisatavaid elemente, et tagada võrkude turvalisus, võimaldada piisavaid kaitsemeetmeid sissetungide ja andmete väärkasutamise vastu, säilitada andmete kättesaadavus, autentsus, terviklus ja konfidentsiaalsus, sealhulgas krüptomeetodeid kasutades, ning tagada andmete täpne ja kiire ning ilma suuremate häirete ja põhjendamatute viivitusteta ülekandmine;

b) 

töötada välja artikli 9 lõike 4 punktis c osutatud pääsuhalduse õiguste kontrolli täiendavad komponendid ja nendega seotud personalipoliitika, milles määratakse kindlaks pääsuõigused, õiguste andmise ja tühistamise menetlused, IKT-riskiga seotud anomaalse käitumise seire asjakohaste näitajate alusel, sealhulgas võrgu kasutamise mustrite, tundide, IT-tegevuse ja tundmatute seadmete alusel;

c) 

arendada edasi artikli 10 lõikes 1 sätestatud mehhanisme, mis võimaldavad kõrvalekaldeid kiiresti avastada, ning artikli 10 lõikes 2 sätestatud kriteeriume, mis käivitavad IKT intsidentide tuvastamise ja neile reageerimise protsessid;

d) 

täpsustada artikli 11 lõikes 1 osutatud IKT talitluspidevuse põhimõtete komponente;

e) 

täpsustada artikli 11 lõikes 6 osutatud IKT talitluspidevuse kavade testimist tagamaks, et sellisel testimisel võetakse igakülgselt arvesse stsenaariume, mille korral kriitilise tähtsusega või olulise funktsiooni täitmise kvaliteet halveneb vastuvõetamatu tasemeni või funktsiooni täitmine ebaõnnestub, ning võetakse igakülgselt arvesse asjaomase kolmandast isikust IKT-teenuse osutaja maksejõuetuse või muude tõrgete võimalikku mõju ja poliitilisi riske (kui neid on) vastavate teenuseosutajate jurisdiktsioonides;

f) 

täpsustada artikli 11 lõikes 3 osutatud IKT reageerimis- ja taastekavade komponente;

g) 

täpsustada artikli 6 lõikes 5 osutatud IKT-riski juhtimise raamistiku läbivaatamist käsitleva aruande sisu ja vormi.

Kõnealuste regulatiivsete tehniliste standardite eelnõude väljatöötamisel võtavad Euroopa järelevalveasutused arvesse finantssektori ettevõtja suurust ja üldist riskiprofiili ning tema teenuste, tegevuse ja toimingute laadi, ulatust ja keerukust, võttes igati arvesse spetsiifilisi omadusi, mis tulenevad eri finantsteenuste sektorite tegevuse eripärast.

Euroopa järelevalveasutused esitavad kõnealused regulatiivsete tehniliste standardite eelnõud komisjonile hiljemalt 17. jaanuariks 2024.

Komisjonile antakse õigus käesolevat määrust täiendada, võttes vastu esimeses lõigus osutatud regulatiivsed tehnilised standardid kooskõlas määruste (EL) nr 1093/2010, (EL) nr 1094/2010 ja (EL) nr 1095/2010 artiklitega 10–14.

1. Ülevaade

,
Article 15 (a)

specify further elements to be included in the ICT security policies, procedures, protocols and tools referred to in Article 9(2), with a view to ensuring the security of networks, enable adequate safeguards against intrusions and data misuse, preserve the availability, authenticity, integrity and confidentiality of data, including cryptographic techniques, and guarantee an accurate and prompt data transmission without major disruptions and undue delays;
Article 15 (b)

develop further components of the controls of access management rights referred to in Article 9(4), point (c), and associated human resource policy specifying access rights, procedures for granting and revoking rights, monitoring anomalous behaviour in relation to ICT risk through appropriate indicators, including for network use patterns, hours, IT activity and unknown devices;
Article 15 (c)

develop further the mechanisms specified in Article 10(1) enabling a prompt detection of anomalous activities and the criteria set out in Article 10(2) triggering ICT-related incident detection and response processes;
Article 15 (d)

specify further the components of the ICT business continuity policy referred to in Article 11(1);
Article 15 (e)

specify further the testing of ICT business continuity plans referred to in Article 11(6) to ensure that such testing duly takes into account scenarios in which the quality of the provision of a critical or important function deteriorates to an unacceptable level or fails, and duly considers the potential impact of the insolvency, or other failures, of any relevant ICT third-party service provider and, where relevant, the political risks in the respective providers’ jurisdictions;
Article 15 (f)

specify further the components of the ICT response and recovery plans referred to in Article 11(3);
Article 15 (g)

specifying further the content and format of the report on the review of the ICT risk management framework referred to in Article 6(5);
Article 15 2

When developing those draft regulatory technical standards, the ESAs shall take into account the size and the overall risk profile of the financial entity, and the nature, scale and complexity of its services, activities and operations, while duly taking into consideration any specific feature arising from the distinct nature of activities across different financial services sectors.
Article 15 3

The ESAs shall submit those draft regulatory technical standards to the Commission by 17 January 2024.
Article 15 4

Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in the first paragraph in accordance with Articles 10 to 14 of Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010.

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid