+Artikkel 11 2.

Artikkel 11 2.

Lõikes 1 osutatud andmete ja süsteemide turvalisuse menetlus peab hõlmama kõiki järgmisi andmete ja IKT-süsteemide turvalisusega seotud elemente kooskõlas määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega:

a) 

käesoleva määruse artiklis 21 osutatud pääsupiirangud, mis toetavad vastava liigitustaseme kaitsenõudeid;

b) 

IKT-varade turvalise konfigureerimise lähtealuse kindlaksmääramine nii, et minimeeritakse varade avatust küberohtudele, ning meetmed, millega kontrollitakse korrapäraselt, kas neid lähtealuseid kasutatakse tõhusalt;

c) 

selliste turvameetmete kindlaksmääramine, millega tagatakse, et IKT-süsteemidesse ja lõppseadmetesse installitakse ainult lubatud tarkvara;

d) 

ründekoodide vastaste turvameetmete kindlaksmääramine;

e) 

selliste turvameetmete kindlaksmääramine, millega tagatakse, et finantssektori ettevõtja andmete edastamiseks ja säilitamiseks kasutatakse ainult lubatud andmekandjaid, süsteeme ja lõppseadmeid;

f) 

järgmised nõuded, et tagada kaasaskantavate lõppseadmete ja mittekaasaskantavate isiklike lõppseadmete turvaline kasutamine:

i) 

nõue kasutada juhtimislahendust lõppseadmete kaugjuhtimiseks ja finantssektori ettevõtja andmete kaugkustutamiseks,

ii) 

nõue kasutada turvamehhanisme, mida töötajad või kolmandast isikust IKT-teenuste osutajad ei saa loata muuta, eemaldada või vältida,

iii) 

nõue kasutada eemaldatavaid andmesalvestusseadmeid üksnes juhul, kui IKT-jääkrisk jääb allapoole finantssektori ettevõtja artikli 3 esimese lõigu punktis a osutatud riskitaluvustaset;

g) 

protsess, millega kustutatakse turvaliselt finantssektori ettevõtja ruumides või mujal säilitatavad andmed, mida finantssektori ettevõtjal ei ole enam vaja koguda või säilitada;

h) 

protsess, millega turvaliselt likvideeritakse või kõrvaldatakse kasutusest finantssektori ettevõtja ruumides või mujal asuvad konfidentsiaalset teavet sisaldavad andmesalvestusseadmed;

i) 

selliste turvameetmete kindlaksmääramine ja rakendamine, millega välditakse süsteemide ja lõppseadmete puhul andmekadu ja -leket;

j) 

turvameetmete rakendamine tagamaks, et kaugtöö ja isiklike lõppseadmete kasutamine ei kahjusta finantssektori ettevõtja IKT turvalisust;

k) 

kolmandast isikust IKT-teenuste osutaja käitatavate IKT-varade või -teenuste puhul digitaalse tegevuskerksuse säilitamist käsitlevate nõuete kindlaksmääramine ja rakendamine kooskõlas andmeliigituse ja IKT-riski hindamise tulemustega.

Punkti b kohaldamisel võetakse nimetatud punktis osutatud turvalise konfigureerimise lähtealuse puhul arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardites sätestatud asjakohaseid meetodeid.

Punkti k kohaldamisel võtavad finantssektori ettevõtjad arvesse järgmist:

a) 

teenuseosutaja soovitatud seadete rakendamine enda käitatavate elementide puhul;

b) 

infoturbe rollide ja vastutusvaldkondade selge jaotus finantssektori ettevõtja ja kolmandast isikust IKT-teenuste osutaja vahel kooskõlas määruse (EL) 2022/2554 artikli 28 lõike 1 punktis a sätestatud põhimõttega, mille kohaselt finantssektori ettevõtjal lasub täielik vastutus oma kolmandast isikust IKT-teenuste osutaja eest, ning selle määruse artikli 28 lõikes 2 osutatud finantssektori ettevõtjate puhul kooskõlas finantssektori ettevõtja kehtestatud kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise põhimõtetega;

c) 

vajadus tagada ja säilitada finantssektori ettevõtja piisav pädevus kasutatava teenuse haldamiseks ja turvalisuse tagamiseks;

d) 

tehnilised ja korralduslikud meetmed, et minimeerida kolmandast isikust IKT-teenuste osutaja teenuste jaoks kasutatava taristuga seotud riske, võttes arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardeid.

1. Ülevaade

,

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid