+2. jagu
---+Artikkel 3 IKT-riski juhtimine

2. jagu

2. jagu

1. Ülevaade

,
Artikkel 3 IKT-riski juhtimine

Artikkel 3

IKT-riski juhtimine

Finantssektori ettevõtjad töötavad välja ja dokumenteerivad IKT-riski juhtimise põhimõtted ja menetlused ning rakendavad neid ning need põhimõtted ja menetlused peavad sisaldama kõike järgmist:

a) 

märge määruse (EL) 2022/2554 artikli 6 lõike 8 punkti b kohaselt kindlaks määratud IKT-riski taluvuse taseme heakskiitmise kohta;

b) 

IKT-riski hindamise menetlus ja metoodika, mis hõlmavad

i) 

selliste nõrkuste ja ohtude kindlaksmääramist, mis mõjutavad või võivad mõjutada toetatavaid ärifunktsioone, IKT-süsteeme ja neid funktsioone toetavaid IKT-varasid;

ii) 

selliste kvantitatiivsete või kvalitatiivsete näitajate kindlaksmääramist, mille abil mõõta punktis i osutatud nõrkuste ja ohtude mõju ning tõenäosust;

c) 

IKT-riski käsitlemise meetmete kindlaksmääramise, rakendamise ja dokumenteerimise kord tuvastatud ja hinnatud IKT-riskide jaoks, sealhulgas selliste IKT-riski käsitlemise meetmete kindlaksmääramine, mis on vajalikud selleks, et viia IKT-risk allapoole punktis a osutatud riskitaluvustaset;

d) 

pärast punktis c osutatud IKT-riski käsitlemise meetmete rakendamist alles jäänud IKT-jääkriskide jaoks

i) 

sätted IKT-jääkriskide kindlakstegemise kohta;

ii) 

rollide ja vastutusvaldkondade määramine seoses järgmisega:

(1) 

finantssektori ettevõtja punktis a osutatud riskitaluvustaset ületavate IKT-jääkriskide aktsepteerimine,

(2) 

käesoleva punkti d alapunktis iv osutatud läbivaatamisprotsess;

iii) 

aktsepteeritud IKT-jääkriskide loetelu koostamine, sealhulgas nende aktsepteerimise põhjendamine;

iv) 

sätted, mis käsitlevad aktsepteeritud IKT-jääkriskide läbivaatamist vähemalt kord aastas, sealhulgas

1) 

IKT-jääkriskide muutuste kindlakstegemist,

2) 

olemasolevate riskimaandamismeetmete hindamist,

3) 

selle hindamist, kas põhjused, mis õigustasid IKT-jääkriskide aktsepteerimist, on läbivaatamise kuupäeval endiselt kehtivad ja kohaldatavad;

e) 

sätted, mille kohaselt seirata

i) 

muutusi IKT-riskide ja küberohtude maastikul;

ii) 

sisemisi ja väliseid nõrkusi ning ohte;

iii) 

finantssektori ettevõtja IKT-riski, et kiiresti avastada muutused, mis võivad mõjutada tema IKT-riski profiili;

f) 

sätted protsessi kohta, millega tagatakse finantssektori ettevõtja äristrateegiasse ja digitaalse tegevuskerksuse strateegiasse tehtud muudatuste arvesse võtmine.

Esimese lõigu punkti c kohaldamisel peab nimetatud punktis osutatud menetlus tagama, et

a) 

seiratakse rakendatavate IKT-riski käsitlemise meetmete tõhusust;

b) 

hinnatakse, kas finantssektori ettevõtjale kindlaks määratud riskitaluvustase on saavutatud;

c) 

hinnatakse, kas finantssektori ettevõtja on vajaduse korral astunud samme nende meetmete parandamiseks või täiustamiseks.

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid