+ICT Risk management framework

ICT Risk management framework

A sound, comprehensive and well-documented ICT risk management framework is in place. Which as goal to address all ICT risks properly and ensure a high level of digital resilience. The reponsibility for risk management is properly assigned to a control function. 

The ICT risk management framework shall be documented and reviewed at least annually, or periodically for microenterprises, with immediate reviews triggered by major ICT-related incidents or supervisory feedback. Continuous improvement will be ensured by incorporating lessons learned from implementation, monitoring, and audits. The report of the review will be prepared according to the requirements as stated in chapter 5 (Article 27) of the RTS RM and will be made available for submission to the competent authority upon request. 

Assess new standards and relevant technology developments in the field of information security, cybersecurity and resilience on a continuous basis and make proposals on how they can strengthen the information security and cybersecurity control measures of the institution.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 6 artikla 1

1.   Finanssiyhteisöillä on oltava osana yleistä riskinhallintajärjestelmäänsä vankka, kattava ja hyvin dokumentoitu TVT-riskinhallintajärjestelmä, jonka avulla ne voivat puuttua TVT-riskiin nopeasti, tehokkaasti ja kattavasti ja varmistaa korkeatasoisen digitaalisen häiriönsietokyvyn.
EULAW 6 artikla 2

2.   TVT-riskinhallintajärjestelmän tulee sisältää ainakin strategiat, toimintaperiaatteet, menettelyt, TVT-protokollat ja välineet, jotka ovat tarpeen kaiken tieto-omaisuuden ja TVT-omaisuuden, myös ohjelmistojen, tietokonelaitteistojen ja palvelimien, asianmukaiseksi ja riittäväksi suojelemiseksi, sekä kaikkien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien, kuten tilojen, datakeskusten ja nimettyjen herkkien alueiden suojelemiseksi niin, että voidaan varmistaa kaiken tieto-omaisuuden ja TVT-omaisuuden tarkoituksenmukainen suojelu riskeiltä, myös vahingoittumiselta ja luvattomalta pääsyltä tai käytöltä.
EULAW 6 artikla 3

3.   Finanssiyhteisöjen on TVT-riskinhallintajärjestelmänsä mukaisesti minimoitava TVT-riskin vaikutus ottamalla käyttöön asianmukaisia strategioita, toimintaperiaatteita, menettelyjä, TVT-protokollia ja välineitä. Niiden on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä TVT-riskiä ja TVT-riskinhallintajärjestelmäänsä koskevat kattavat ja ajantasaiset tiedot.
EULAW 6 artikla 4

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on annettava vastuu TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistettava tällaisen valvontatoiminnon asianmukainen riippumattomuuden taso eturistiriitojen välttämiseksi. Finanssiyhteisöjen on huolehdittava siitä, että TVT-riskinhallintotehtävät, valvontatehtävät ja sisäisen tarkastuksen tehtävät ovat asianmukaisella tavalla eroteltuja ja riippumattomia kolmen puolustuslinjan mallin tai sisäisen riskinhallinnan ja valvonnan mallin mukaisesti.
EULAW 6 artikla 5

5.   TVT-riskinhallintajärjestelmän on oltava dokumentoitu ja sitä on tarkasteltava uudelleen vähintään kerran vuodessa, tai mikroyritysten osalta määräajoin, ja laajavaikutteisten TVT:hen liittyvien poikkeamien sattuessa sekä digitaalisen häiriönsietokyvyn testauksen tai auditointiprosessien perusteella annettujen valvontaohjeiden tai päätelmien pohjalta. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on toimitettava sen pyynnöstä kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.
EULAW 6 artikla 7

7.   Finanssiyhteisöjen on otettava käyttöön sisäisen tarkastuksen päätelmien perusteella virallinen seurantaprosessi, johon sisältyvät säännöt kriittisten TVT-tarkastushavaintojen oikea-aikaisesta todentamisesta ja korjaamisesta.
EULAW 6 artikla 9

9.   Finanssiyhteisöt voivat 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian yhteydessä määritellä konsernin tai yhteisön tasolla kokonaisvaltaisen usean toimittajan tarjoamien TVT-toimitusten strategian, jossa esitetään keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista ja selitetään periaatteet, joiden mukaan TVT-palveluntarjoajana olevien kolmansien osapuolten yhdistelmä valitaan.
EULAW 6 artikla 10

10.   Finanssiyhteisöt voivat unionin oikeuden ja kansallisen alakohtaisen lainsäädännön mukaisesti ulkoistaa TVT-riskinhallintavaatimusten noudattamisen todentamistehtävät konsernin sisäisille tai ulkopuolisille yrityksille. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa TVT-riskinhallintavaatimusten noudattamisen todentamisesta.
EULAW 8 artikla 1

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT:n tukemat liiketoiminnot, tehtävät ja vastuut, kyseisiä toimintoja tukevat tieto-omaisuus ja TVT-omaisuus sekä tehtävänsä ja riippuvuutensa suhteessa TVT-riskiin. Finanssiyhteisöjen on tarkasteltava uudelleen tämän luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.
EULAW 9 artikla 1

1.   Jotta voidaan asianmukaisesti suojata TVT-järjestelmiä ja organisoida reagointitoimet, finanssiyhteisöjen on jatkuvasti seurattava ja valvottava TVT-järjestelmien ja -välineiden turvallisuutta ja toimintaa ja minimoitava TVT-riskin vaikutus TVT-järjestelmiin ottamalla käyttöön asianmukaiset TVT-turvallisuutta koskevat välineet, toimintatavat ja menettelyt.
EULAW 9 artikla 4

4.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.

Ensimmäisen alakohdan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa tai segmentoida välittömästi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Ensimmäisen alakohdan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava erityiset protokollat.
EULAW 11 artikla 1

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää ja 8 artiklassa vahvistettujen yksilöintivaatimusten pohjalta otettava käyttöön kattavat TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet, jotka voidaan hyväksyä erillisinä erityisinä toimintaperiaatteina ja jotka ovat olennainen osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita.
EULAW 11 artikla 3

3.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava siihen liittyvät TVT-reagointi- ja palautumissuunnitelmat, joille on tehtävä riippumaton sisäinen auditointi, jos finanssiyhteisö on muu kuin mikroyritys.
EULAW 11 artikla 6

6.   Finanssiyhteisöjen on osana kattavaa TVT-riskinhallintajärjestelmäänsä

a)

testattava TVT-toiminnan jatkuvuussuunnitelmia ja TVT-reagointi- ja palautumissuunnitelmia suhteessa kaikkia toimintoja tukeviin TVT-järjestelmiin ainakin kerran vuodessa sekä siinä tapauksessa, että kriittisiä tai tärkeitä toimintoja tukevissa TVT-järjestelmissä tapahtuu merkittäviä muutoksia;

b)

testattava 14 artiklan mukaisesti laadittuja kriisiviestintäsuunnitelmia.

Ensimmäisen alakohdan a alakohdan soveltamista varten muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on sisällytettävä testaussuunnitelmiin skenaariot, jotka koskevat kyberhyökkäyksiä ja vaihtoa ensisijaisen TVT-infrastruktuurin ja 12 artiklassa säädettyjen velvoitteiden täyttämiseksi tarvittavan varakapasiteetin, varmuuskopioiden ja varajärjestelmien välillä.

Finanssiyhteisöjen on tarkasteltava TVT-liiketoiminnan jatkuvuutta koskevia toimintaperiaatteitaan ja TVT-reagointi- ja palautumissuunnitelmiansa säännöllisesti uudelleen ottaen huomioon ensimmäisen alakohdan mukaisesti suoritettujen testien tulokset ja auditointien tai valvontatarkastusten perusteella annetut suositukset.
EULAW 12 artikla 1

1.   Jotta TVT-järjestelmät ja data voidaan palauttaa niin, että palvelukatkos jää mahdollisimman lyhyeksi ja keskeytymisten ja menetysten määrää rajoitetaan, finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä laadittava ja dokumentoitava:

a)

varmuuskopiointikäytännöt ja -menettelyt, joissa määritellään varmuuskopioitava data ja varmuuskopioinnin vähimmäistiheys tietojen kriittisyyden tai datan luottamuksellisuustason mukaan;

b)

palautus- ja toipumismenettelyt ja -menetelmät.
EULAW 12 artikla 2

2.   Finanssiyhteisöjen on perustettava varmuuskopiointijärjestelmiä, jotka voidaan aktivoida varmuuskopiointikäytäntöjen ja -menettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien mukaisesti. Varmuuskopiointijärjestelmien aktivointi ei saa vaarantaa verkko- ja tietojärjestelmien turvallisuutta eikä datan saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Varmuuskopiointimenettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien testaus on suoritettava säännöllisin väliajoin.
EULAW 12 artikla 3

3.   Palauttaessaan varmuuskopioitua dataa omien järjestelmiensä avulla finanssiyhteisöjen on käytettävä TVT-järjestelmiä, jotka on fyysisesti ja loogisesti erotettu lähteenä olevasta TVT-järjestelmästä. TVT-järjestelmät on suojattava turvallisesti kaikelta luvattomalta pääsyltä tai TVT:hen liittyvältä korruptoitumiselta, ja niiden on tarpeen mukaan mahdollistettava dataa ja järjestelmien varmuuskopioita käyttävien palvelujen oikea-aikainen palauttaminen.

Keskusvastapuolten osalta toipumissuunnitelmien on mahdollistettava kaikkien liiketoimien toipuminen keskeytymisen tapahtuessa, jotta keskusvastapuoli voi turvallisesti jatkaa toimintaansa ja saattaa toimituksen loppuun määräpäivänä.

Raportointipalvelujen tarjoajien on lisäksi pidettävä yllä riittävät resurssit, ja niillä on oltava varmuuskopiointi- ja palautusjärjestelyt käytössä palvelujensa tarjoamiseksi ja ylläpitämiseksi kaikkina aikoina.
EULAW 13 artikla 3

3.   Kokemukset, jotka on saatu 26 ja 27 artiklan mukaisesti toteutetusta digitaalisen häiriönsietokyvyn testauksesta sekä todellisista TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, sekä TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien ja TVT-reagointi- ja -toipumissuunnitelmien käynnistämisen yhteydessä kohdatut haasteet ja vastapuolten kanssa vaihdetut ja valvontatarkastusten yhteydessä arvioidut tiedot on asianmukaisesti ja jatkuvasti sisällytettävä TVT-riskinarviointiprosessiin. Kyseisten havaintojen perusteella on tehtävä asianmukaiset tarkastukset 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän asianomaisiin komponentteihin.
EULAW 13 artikla 5

5.   Ylemmän TVT-henkilöstön on raportoitava ylimmälle hallintoelimelle ainakin vuosittain 3 kohdassa tarkoitetuista havainnoista ja esitettävä suosituksia.
EULAW 13 artikla 7

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on jatkuvasti seurattava teknologian kehitystä, myös voidakseen ymmärtää tällaisten uusien teknologioiden käyttöönoton mahdollisia vaikutuksia TVT-turvallisuusvaatimuksiin ja digitaaliseen häiriönsietokykyyn. Niiden on pysyteltävä ajan tasalla uusimmissa TVT-riskinhallintaprosesseissa, jotta nykyisiä tai uusia kyberhyökkäysten muotoja voidaan torjua tuloksellisesti.
EULAW 14 artikla 2

2.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmää toteutettava sekä sisäisen henkilöstön jäsenille että ulkoisille sidosryhmille suunnattua viestintäpolitiikkaa. Henkilöstölle suunnatussa viestintäpolitiikassa on tehtävä ero TVT-riskinhallintaan ja erityisesti reagointi- ja toipumistoimiin osallistuvan henkilöstön ja toisaalta sen henkilöstön välillä, jolle on tiedotettava kyseisistä toimista.
EULAW 24 artikla 1

1.   Voidakseen arvioida varautumista TVT:hen liittyvien poikkeamien käsittelyyn ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita ja aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen laadittava vankka ja kattava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 6 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.
EULAW 28 artikla 2

2.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä, on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen tapauksen mukaan huomioon 6 artiklan 9 kohdassa tarkoitettu usean toimittajan tarjoamien TVT-toimitusten strategia. Kolmansiin osapuoliin liittyvää TVT-riskiä koskevassa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Ylimmän hallintoelimen on finanssiyhteisön kokonaisriskiprofiilin sekä liike-elämän palvelujen laajuuden ja monitahoisuuden arvioinnin perusteella tarkasteltava säännöllisesti uudelleen havaittuja riskejä, jotka liittyvät kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin.
EULAW 28 artikla 3

3.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmien ja konsolidointiryhmien tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, ja ne, jotka eivät kata näitä.

Finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille vähintään vuosittain TVT-palvelujen käyttöä koskevien uusien järjestelyjen määrästä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista TVT-palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle sen pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin kaikista kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista suunnitelluista sopimusjärjestelyistä sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.
EULAW 1 artikla Yleinen riskiprofiili ja monimutkaisuus

1 artikla

Yleinen riskiprofiili ja monimutkaisuus

Kun laaditaan ja toteutetaan II osastossa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä sekä III osastossa tarkoitettua yksinkertaistettua TVT-riskinhallintajärjestelmää, on otettava huomioon finanssiyhteisön koko ja yleinen riskiprofiili sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monimutkaisuutta lisäävät tai vähentävät tekijät, mukaan lukien tekijät, jotka liittyvät

a) 

salaukseen ja salaustekniikkaan;

b) 

TVT-toimien turvallisuuteen;

c) 

verkkoturvallisuuteen;

d) 

TVT-hankkeiden ja -muutosten hallintaan;

e) 

vaikutuksiin, joita TVT-riskillä mahdollisesti on tietojen luottamuksellisuuteen, eheyteen ja saatavuuteen, sekä vaikutuksiin, joita häiriöillä mahdollisesti on finanssiyhteisön toiminnan jatkuvuuteen ja käytettävyyteen.
EULAW 2 artikla 1.

Finanssiyhteisöjen on varmistettava, että niiden TVT-turvallisuutta koskevat toimintaperiaatteet, tietoturva ja niihin liittyvät asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitetut menettelyt, protokollat ja välineet sisällytetään niiden TVT-riskinhallintajärjestelmään. Finanssiyhteisöjen on vahvistettava tässä luvussa säädetyt TVT-turvallisuutta koskevat toimintaperiaatteet, menettelyt, protokollat ja välineet siten, että

a) 

niillä varmistetaan verkkojen turvallisuus;

b) 

niihin sisältyy asianmukainen suojaus tunkeutumisia ja tiedon väärinkäyttöä vastaan;

c) 

niillä turvataan tietojen saatavuus, aitous, eheys ja luottamuksellisuus, myös käyttämällä salaustekniikoita;

d) 

niillä taataan tietojen täsmällinen ja nopea siirtäminen ilman merkittäviä häiriöitä ja tarpeettomia viivästyksiä.
EULAW 2 artikla 2.

Finanssiyhteisöjen on varmistettava 1 kohdassa tarkoitettujen TVT-turvallisuutta koskevien toimintaperiaatteiden osalta, että

a) 

ne ovat linjassa asetuksen (EU) 2022/2554 6 artiklan 8 kohdassa tarkoitettuun digitaalisen häiriönsietokyvyn strategiaan sisältyvien finanssiyhteisön tietoturvatavoitteiden kanssa;

b) 

niissä ilmoitetaan päivä, jona ylin hallintoelin on virallisesti hyväksynyt TVT-turvallisuutta koskevat toimintaperiaatteet;

c) 

ne sisältävät indikaattoreita ja toimenpiteitä, joilla

i) 

seurataan TVT-turvallisuutta koskevien toimintaperiaatteiden, menettelyjen, protokollien ja välineiden täytäntöönpanoa;

ii) 

kirjataan poikkeamat tästä täytäntöönpanosta;

iii) 

varmistetaan, että finanssiyhteisön digitaalinen häiriönsietokyky on turvattu ii alakohdassa tarkoitettujen poikkeamien varalta;

d) 

niissä yksilöidään henkilöstön vastuut kaikilla tasoilla finanssiyhteisön TVT-turvallisuuden varmistamiseksi;

e) 

niissä täsmennetään seuraukset, joita aiheutuu, jos finanssiyhteisön henkilöstö ei noudata TVT-turvallisuutta koskevia toimintaperiaatteita, jos tätä koskevia määräyksiä ei ole annettu finanssiyhteisön muissa toimintaperiaatteissa;

f) 

niissä luetellaan asiakirja-aineisto, joka on säilytettävä;

g) 

niissä määritetään tehtävien eriyttämisjärjestelyt tapauksen mukaan joko kolmen puolustuslinjan mallin tai muun sisäisen riskinhallinta- ja valvontamallin mukaisesti, jotta vältetään eturistiriidat;

h) 

niissä otetaan huomioon johtavat käytännöt ja tarvittaessa asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit;

i) 

niissä määritetään TVT-turvallisuutta koskevien toimintaperiaatteiden, menettelyjen, käytäntöjen ja välineiden kehittämiseen, täytäntöönpanoon ja ylläpitoon liittyvät tehtävät ja vastuut;

j) 

niitä tarkastellaan uudelleen asetuksen (EU) 2022/2554 6 artiklan 5 kohdan mukaisesti;

k) 

niissä otetaan huomioon finanssiyhteisöä koskevat olennaiset muutokset, mukaan lukien olennaiset muutokset finanssiyhteisön toiminnassa tai prosesseissa, kyberuhkaympäristössä tai sovellettavissa oikeudellisissa velvoitteissa.
EULAW 3 artikla TVT-riskinhallinta

3 artikla

TVT-riskinhallinta

Finanssiyhteisöjen on laadittava, dokumentoitava ja otettava käyttöön TVT-riskinhallinnan toimintaperiaatteet ja menettelyt, jotka sisältävät kaikki seuraavat osatekijät:

a) 

ilmoitus asetuksen (EU) 2022/2554 6 artiklan 8 kohdan b alakohdan mukaisesti vahvistetun TVT-riskin riskitason hyväksymisestä;

b) 

TVT-riskinarviointia koskeva menettely ja menetelmät, joilla määritetään

i) 

haavoittuvuudet ja uhat, jotka vaikuttavat tai voivat vaikuttaa tuettuihin liiketoimintoihin sekä TVT-järjestelmiin ja TVT-omaisuuteen, jolla kyseisiä toimintoja tuetaan;

ii) 

määrälliset tai laadulliset indikaattorit, joilla mitataan i alakohdassa tarkoitettujen haavoittuvuuksien ja uhkien vaikutusta ja todennäköisyyttä;

c) 

menettely tunnistettujen ja arvioitujen TVT-riskien hallintatoimenpiteiden määrittämiseksi, toteuttamiseksi ja dokumentoimiseksi, mukaan lukien sellaisten TVT-riskinhallintatoimenpiteiden määrittäminen, jotka ovat tarpeen TVT-riskin saattamiseksi a alakohdassa tarkoitetulle riskitasolle;

d) 

niiden TVT-jäännösriskien osalta, joita edelleen esiintyy c alakohdassa tarkoitettujen TVT-riskinhallintatoimenpiteiden toteuttamisen jälkeen:

i) 

määräykset kyseisten TVT-jäännösriskien tunnistamisesta;

ii) 

tehtävien ja vastuiden osoittaminen seuraavien osalta:

1) 

sellaisten TVT-jäännösriskien hyväksyminen, jotka ylittävät a alakohdassa tarkoitetun finanssiyhteisön riskitason;

2) 

tämän d alakohdan iv alakohdassa tarkoitettu uudelleentarkasteluprosessi;

iii) 

luettelon laatiminen hyväksytyistä TVT-jäännösriskeistä, mukaan lukien perustelut niiden hyväksymiselle;

iv) 

määräykset hyväksyttyjen TVT-jäännösriskien uudelleentarkastelusta vähintään kerran vuodessa, mukaan lukien seuraavat:

1) 

TVT-jäännösriskien mahdollisten muutosten tunnistaminen;

2) 

käytettävissä olevien lieventämistoimenpiteiden arviointi;

3) 

arvio siitä, ovatko TVT-jäännösriskien hyväksymisen perustelut edelleen päteviä ja sovellettavissa uudelleentarkastelun ajankohtana;

e) 

määräykset seuraavien seurannasta:

i) 

mahdolliset muutokset TVT:hen liittyvässä riski- ja kyberuhkaympäristössä;

ii) 

sisäiset ja ulkoiset haavoittuvuudet ja uhat:

iii) 

finanssiyhteisön TVT-riski, jotta voidaan nopeasti havaita muutokset, jotka voivat vaikuttaa finanssiyhteisön TVT-riskiprofiiliin;

f) 

määräykset prosessista, jolla varmistetaan, että finanssiyhteisön liiketoimintastrategiaan ja digitaalisen häiriönsietokyvyn strategiaan tehdyt muutokset otetaan huomioon.

Sovellettaessa ensimmäisen kohdan c alakohtaa kyseisessä alakohdassa tarkoitetulla menettelyllä on varmistettava

a) 

toteutettujen TVT-riskinhallintatoimenpiteiden tuloksellisuuden seuranta;

b) 

arvio siitä, onko finanssiyhteisölle vahvistetut riskitasot saavutettu;

c) 

arvio siitä, onko finanssiyhteisö korjannut tai parantanut tarpeen mukaan kyseisiä toimenpiteitä.
EULAW 8 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön TVT-toimia koskevat toimintaperiaatteet ja menettelyt. Toimintaperiaatteissa ja menettelyissä on täsmennettävä, miten finanssiyhteisöt käyttävät, seuraavat ja valvovat TVT-omaisuuttaan ja miten omaisuuden toiminta palautetaan, mukaan lukien TVT-toimien dokumentointi.
EULAW 8 artikla 2.

Edellä 1 kohdassa tarkoitettujen TVT-toimia koskevien toimintaperiaatteiden ja menettelyjen on sisällettävä kaikki seuraavat:

a) 

kuvaus TVT-omaisuudesta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmän turvallista asentamista, huoltoa, konfigurointia ja purkamista koskevat vaatimukset;

ii) 

TVT-omaisuuden käyttämän tieto-omaisuuden hallintaa koskevat vaatimukset, mukaan lukien niiden automatisoitua ja manuaalista käsittelyä koskevat vaatimukset;

iii) 

aiemman sukupolven TVT-järjestelmien määrittämistä ja valvontaa koskevat vaatimukset;

b) 

TVT-järjestelmien valvonta ja seuranta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmien varmuuskopiointia ja palauttamista koskevat vaatimukset;

ii) 

aikataulutusvaatimukset ottaen huomioon TVT-järjestelmien keskinäiset riippuvuussuhteet;

iii) 

protokollat jäljitysketjuja ja järjestelmälokitietoja varten;

iv) 

vaatimukset, joilla varmistetaan, että sisäisen tarkastuksen ja muun testauksen suorittamisesta liiketoiminnalle aiheutuvat häiriöt ovat minimaalisia;

v) 

vaatimukset, jotka koskevat TVT-tuotantoympäristöjen erottamista kehitys- ja testausympäristöistä sekä muista tuotannon ulkopuolisista ympäristöistä;

vi) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöstä erillisissä ympäristöissä;

vii) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöissä;

c) 

virheiden käsittely TVT-järjestelmien osalta, mukaan lukien kaikki seuraavat:

i) 

virheiden käsittelyä koskevat menettelyt ja protokollat;

ii) 

tuki- ja eskalaatioyhteyspisteet, mukaan lukien ulkoiset tukipisteet odottamattomia operatiivisia tai teknisiä poikkeamia varten;

iii) 

TVT-järjestelmän uudelleenkäynnistys-, takaisinkierto- ja palautusmenettelyt, joita käytetään TVT-järjestelmän häiriötilanteissa.

Kun sovelletaan b alakohdan v alakohtaa, ympäristöjen erottamisessa on otettava huomioon kaikki ympäristön osatekijät, mukaan lukien tilit, tiedot ja yhteydet, kuten 13 artiklan 1 kohdan a alakohdassa edellytetään.

Kun sovelletaan b alakohdan vii alakohtaa, 1 kohdassa tarkoitetuissa toimintaperiaatteissa ja menettelyissä on määrättävä, että tapaukset, joissa testaus suoritetaan tuotantoympäristössä, on selkeästi määritetty ja perusteltu, että ne ovat määräaikaisia ja että asiaankuuluva toiminto on hyväksynyt ne 16 artiklan 6 kohdan mukaisesti. Finanssiyhteisöjen on varmistettava TVT-järjestelmien ja tuotantodatan saatavuus, luottamuksellisuus, eheys ja aitous tuotantoympäristössä toteutettavien kehittämis- ja testaustoimien aikana.