+Artikkel 27 2.

Artikkel 27 2.

Finantssektori ettevõtjad lisavad lõikes 1 osutatud aruandesse kõik järgmise:

a) 

sissejuhatav osa, milles on

i) 

selgelt nimetatud finantssektori ettevõtja, kelle kohta aruanne esitatakse, ja vajaduse korral kirjeldatud tema kontserni struktuuri,

ii) 

kirjeldatud aruande tausta: finantssektori ettevõtja teenuste, tegevuse ja toimingute laad, ulatus ja keerukus, organisatsiooniline struktuur, kindlaksmääratud kriitilise tähtsusega funktsioonid, strateegia, olulised käimasolevad projektid või tegevused, seosed, sõltuvus ettevõttesisestest ja lepingulistest IKT-teenustest ja -süsteemidest või mõju, mida selliste süsteemide toimimise lõppemine või märkimisväärne halvenemine avaldaks kriitilise tähtsusega või olulistele funktsioonidele ja turu tõhususele,

iii) 

esitatud kokkuvõte peamistest muudatustest, mis on tehtud IKT-riski juhtimise raamistikus pärast eelmise aruande esitamist,

iv) 

esitatud kõrgetasemeline ülevaade finantssektori ettevõtja praegusest ja lähiaja IKT-riski profiilist, ohumaastikust, finantssektori ettevõtja kontrollide hinnatud tõhususest ja tema turvaolekust;

b) 

kuupäev, mil finantssektori ettevõtja juhtorgan aruande heaks kiitis;

c) 

IKT-riski juhtimise raamistiku määruse (EL) 2022/2554 artikli 6 lõike 5 kohase läbivaatamise põhjuste kirjeldus;

d) 

läbivaatamisperioodi algus- ja lõppkuupäev;

e) 

teave läbivaatamise eest vastutaja kohta;

f) 

IKT-riski juhtimise raamistikus pärast eelmist läbivaatamist tehtud oluliste muudatuste ja täiustuste kirjeldus;

g) 

läbivaatamise tulemuste kokkuvõte ning läbivaatamisperioodil IKT-riski juhtimise raamistikus esinenud nõrkuste, puuduste ja lünkade tõsiduse üksikasjalik analüüs ja hinnang;

h) 

tuvastatud nõrkuste, puuduste ja lünkade kõrvaldamise meetmete kirjeldus, sealhulgas kõik järgmine:

i) 

tuvastatud nõrkuste, puuduste ja lünkade kõrvaldamiseks võetud meetmete kokkuvõte,

ii) 

meetmete rakendamise eeldatav kuupäev ja rakendamise sisekontrolliga seotud kuupäevad, sealhulgas teave kõnealuste meetmete rakendamise seisu kohta aruande koostamise kuupäeva seisuga, ning vajaduse korral selgitus selle kohta, kas on olemas oht, et tähtaegadest ei peeta kinni,

iii) 

meetmete rakendamiseks kasutatavad vahendid ja meetmete rakendamise eest vastutavate isikute kindlaksmääramine koos täpsustusega selle kohta, kas need vahendid ja isikud on sisemised või välised,

iv) 

meetmetes kavandatud muudatuste mõju finantssektori ettevõtja eelarve-, inim- ja materiaalsetele ressurssidele, sealhulgas parandusmeetmete rakendamiseks ette nähtud vahenditele,

v) 

vajaduse korral teave pädeva asutuse teavitamise korra kohta,

vi) 

kui tuvastatud nõrkuste, puuduste või lünkade suhtes ei kohaldata parandusmeetmeid, üksikasjalik selgitus nõrkuste, puuduste või lünkade mõju analüüsimisel või IKT-jääkriski hindamisel kasutatud kriteeriumide kohta ja seonduva jääkriski aktsepteerimise kriteeriumide kohta;

i) 

teave IKT-riski juhtimise raamistiku kavandatud edasiarendamise kohta;

j) 

IKT-riski juhtimise raamistiku läbivaatamise järeldused;

k) 

teave varasema läbivaatamise kohta, sealhulgas

i) 

varasemate läbivaatamiste loetelu,

ii) 

vajaduse korral viimases aruandes kindlaks määratud parandusmeetmete rakendamise seis,

iii) 

kui varasema läbivaatamise käigus kavandatud parandusmeetmed on osutunud ebatõhusaks või tekitanud ootamatuid probleeme, kirjeldus selle kohta, kuidas neid parandusmeetmeid saaks täiustada, või nende ootamatute probleemide kirjeldus;

l) 

aruande koostamisel kasutatud teabeallikad, sealhulgas kõik järgmine:

i) 

finantssektori ettevõtjate puhul, kes ei ole mikroettevõtjad, määruse (EL) 2022/2554 artikli 6 lõikes 6 osutatud siseauditite tulemused,

ii) 

vastavushindamise tulemused,

iii) 

IKT-vahendite, -süsteemide ja -protsesside digitaalse tegevuskerksuse testimise tulemused ning vajaduse korral ohuteabel põhinevale läbistustestimisele tugineva süvatestimise tulemused,

iv) 

välised allikad.

Punkti c kohaldamisel, juhul kui läbivaatamine algatati pärast järelevalvejuhiste saamist või digitaalse tegevuskerksuse testimisel või asjaomaste auditite raames tehtud järelduste põhjal, peab aruanne sisaldama selgeid viiteid neile juhistele või järeldustele, et oleks võimalik kindlaks teha läbivaatamise algatamise põhjus. Kui läbivaatamine algatati pärast IKT intsidente, peab aruanne sisaldama kõigi IKT intsidentide loetelu koos nende algpõhjuste analüüsiga.

Punkti f kohaldamisel peab kirjeldus sisaldama analüüsi selle kohta, millist mõju avaldavad muudatused finantssektori ettevõtja digitaalse tegevuskerksuse strateegiale, IKT sisekontrolli raamistikule ja IKT-riski juhtimisele.

1. Ülevaade

,

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid