+Incident Classification Criteria

Incident Classification Criteria

Classify ICT-related incidents based on their impact using the following criteria: number of clients/customers or financial counterparts affected, number of transactions affected, reputational damage, duration of the incident and downtime of services, geographical spread of the incident, data loss in relation to the CIA-triad, criticality of the services affected, and the overall economic impact of the incident.

An incident is considered major if (1) any malicious unauthorised access to network and information systems is identified, which may result to data losses or (2) the thresholds of two additional criteria are met (refer to the DORA RTS IM (Major Incidents) sheet for the thresholds). Also, take into account recurring incidents, where recurring incidents are considered major when (1) the incidents have occurred at least twice within 6 months, (2) the incidents have the same apparent root cause, (3) the incidents collectively categorise as a major incident.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 18 artikla 1

1.   Finanssiyhteisöjen on luokiteltava TVT:hen liittyvät poikkeamat ja määriteltävä niiden vaikutukset seuraavien kriteerien perusteella:

a)

niiden asiakkaiden tai finanssialan vastapuolien lukumäärä ja/tai merkityksellisyys, ja tarvittaessa toteutuneiden liiketoimien määrä tai lukumäärä, joihin TVT:hen liittyvä poikkeama on vaikuttanut, ja tieto siitä, onko TVT:hen liittyvällä poikkeamalla ollut maineeseen liittyviä vaikutuksia;

b)

TVT:hen liittyvän poikkeaman kesto, palvelukatkos mukaan lukien;

c)

sen alueen maantieteellinen laajuus, johon TVT:hen liittyvä poikkeama vaikuttaa, varsinkin jos se vaikuttaa useampaan kuin kahteen jäsenvaltioon;

d)

TVT:hen liittyvän poikkeaman aiheuttamat datan menetykset datan saatavuuden, aitouden, eheyden tai luottamuksellisuuden osalta;

e)

vaikutusten kohteena olevien palvelujen kriittisyys, finanssiyhteisön liiketoimet ja toiminnot mukaan lukien;

f)

TVT:hen liittyvän poikkeaman taloudelliset vaikutukset, erityisesti välittömät ja välilliset kustannukset ja tappiot, sekä absoluuttisesti että suhteellisesti ilmaistuna.
EULAW 18 artikla 2

2.   Finanssiyhteisöjen on luokiteltava kyberuhat merkittäviksi riskinalaisten palvelujen, mukaan lukien finanssiyhteisön liiketoimet ja toiminnot, kriittisyyden, kohteena olevien asiakkaiden tai finanssialan vastapuolten lukumäärän ja/tai merkityksellisyyden sekä riskialueiden maantieteellisen jakautumisen perusteella.
EULAW 45 artikla 1

1.   Finanssiyhteisöt voivat vaihtaa keskenään kyberuhkia koskevia tietoja ja tiedustelutietoja, mukaan lukien vaarantumisindikaattorit, taktiikat, tekniikat ja menettelyt, kyberturvallisuushälytykset ja konfigurointivälineet, siltä osin kuin tällainen tietojen ja tiedustelutietojen vaihto

a)

on tarkoitettu parantamaan finanssiyhteisöjen digitaalista häiriönsietokykyä erityisesti lisäämällä tietoisuutta kyberuhista, rajoittamalla tai estämällä kyberuhkien leviämiskykyä, tukemalla puolustautumisvalmiuksia, uhkien havaitsemistekniikoita, riskinlieventämisstrategioita tai reagointi- ja toipumisvaiheita;

b)

toteutetaan luotettavissa finanssiyhteisöjen muodostamissa yhteisöissä;

c)

toteutetaan tietojenvaihtojärjestelyillä, joilla suojellaan jaettujen tietojen mahdollista arkaluonteisuutta ja joita säännellään käytännesäännöillä kunnioittaen kaikilta osin liikesalaisuuksien luottamuksellisuutta ja asetuksen (EU) 2016/679 mukaista henkilötietojen suojaa ja noudattaen kilpailupolitiikkaa koskevia suuntaviivoja.
EULAW 45 artikla 2

2.   Edellä olevan 1 kohdan c alakohdan soveltamiseksi tietojenvaihtojärjestelyissä on määriteltävä osallistumisedellytykset ja tarvittaessa vahvistettava yksityiskohtaiset säännöt viranomaisten osallistumisesta ja siitä, missä ominaisuudessa viranomaiset voivat osallistua tietojenvaihtojärjestelyihin, TVT-palveluntarjoajana olevien kolmansien osapuolten osallistumisesta sekä operatiivisista elementeistä, mukaan lukien erityisten tietoteknisten alustojen käyttö.
EULAW 45 artikla 3

3.   Finanssiyhteisöjen on ilmoitettava toimivaltaisille viranomaisille osallistumisestaan 1 kohdassa tarkoitettuihin tietojenvaihtojärjestelyihin, kun niiden jäsenyys on vahvistettu, tai tapauksen mukaan jäsenyytensä päättymisestä, kun se tulee voimaan.