+Incident Communication and Reporting

Incident Communication and Reporting

Create communication plans to inform both internal (staff, senior management) and external (clients/customers, financial counterparts) stakeholders on incidents. Designate at least one person in the to be tasked with implementing the communication strategy for ICT- related incidents and fulfil the public and media function for that purpose. Inform affected customers promptly upon awareness of an incident that impacts them. Provide details on the incident and outline mitigating measures taken and planned. Report major incidents to the regulator, involving three stages: 1) initial notification upon discovering the incident (within 4 hours from the moment of classification of the incident as major, but no later than 24 hours from the time of detection of the incident) , 2) intermediate report on incident developments (within 72 hours from the submission of the initial notification even where the status or the handling of the incident have not changed, or when regular activities have been recovered), and 3) the final report with the root cause analysis and follow-up actions (no later than one month from the submission of the latest updated intermediate report). 

The reporting obligations may be outsourced to a third-party service provider. In case of such outsourcing, the financial entity remains fully responsible for the fulfilment of the incident reporting requirements.

Also provide notifications to the regulator on significant cyber threats. The incident reports and notifications on cyber threats shall follow the content guidelines defined in the corresponding RTS/ITS. 

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 13 artikla 2

2.   Finanssiyhteisöjen on toteutettava sellainen TVT:hen liittyvien poikkeamien jälkitarkastelu sen jälkeen kun laajavaikutteinen TVT:hen liittyvä poikkeama aiheuttaa keskeytymisiä niiden ydintoiminnoissa, jossa analysoidaan keskeytymisen syyt ja määritetään tarvittavat TVT-toimien tai 11 artiklassa tarkoitettujen TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden parannukset.

Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pyynnöstä ilmoitettava toimivaltaisille viranomaisille muutoksista, jotka on toteutettu ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkiarviointien seurauksena.

Ensimmäisessä alakohdassa tarkoitettujen TVT:hen liittyvien poikkeamien jälkitarkastelussa on selvitettävä, noudatettiinko vakiintuneita menettelyjä ja olivatko toteutetut toimet tuloksellisia, muun muassa seuraavien seikkojen osalta:

a)

turvallisuusvaroituksiin reagoinnin ja TVT:hen liittyvien poikkeamien vaikutuksen ja vakavuuden määrittämisen nopeus;

b)

rikosteknisen analyysin laatu ja nopeus, jos tämä katsotaan aiheelliseksi;

c)

poikkeaman eskaloinnin tuloksellisuus finanssiyhteisössä;

d)

sisäisen ja ulkoisen viestinnän vaikuttavuus.
EULAW 14 artikla 3

3.   Finanssiyhteisössä on oltava ainakin yksi henkilö, jonka tehtävänä on toteuttaa TVT:hen liittyviä poikkeamia koskeva viestintästrategia ja vastata tähän liittyvästä tiedottamisesta yleisölle ja tiedotusvälineille.
EULAW 17 artikla 1

1.   Finanssiyhteisöjen on määriteltävä, laadittava ja toteutettava TVT:hen liittyvien poikkeamien hallintaprosessi, jonka avulla TVT:hen liittyviä poikkeamia voidaan havaita ja hallinnoida ja niistä voidaan ilmoittaa.
EULAW 17 artikla 2

2.   Finanssiyhteisöjen on kirjattava kaikki TVT:hen liittyvät poikkeamat ja merkittävät kyberuhat. Finanssiyhteisöjen on laadittava asianmukaiset menettelyt ja prosessit, joilla taataan TVT:hen liittyvien poikkeamien yhdenmukainen ja yhdennetty valvonta, käsittely ja seuranta sen varmistamiseksi, että niiden perimmäiset syyt tunnistetaan, dokumentoidaan ja niihin puututaan, jotta tällaiset poikkeamat voidaan estää.
EULAW 17 artikla 3

3.   Edellä 1 kohdassa tarkoitetussa TVT:hen liittyvien poikkeamien hallintaprosessissa on

a)

otettava käyttöön varhaisen varoituksen indikaattorit;

b)

vahvistettava menettelyt, joiden avulla TVT:hen liittyvät poikkeamat voidaan tunnistaa, jäljittää, kirjata lokiin ja luokitella niiden tärkeyden, vakavuuden ja sen palvelun kriittisyyden mukaan, johon ne vaikuttavat, 18 artiklan 1 kohdassa vahvistettujen kriteerien mukaisesti;

c)

osoitettava tehtävät ja vastuualueet, jotka erityyppisten TVT:hen liittyvien poikkeamien ja skenaarioiden osalta on aktivoitava;

d)

esitettävä 14 artiklan mukaisesti viestintäsuunnitelmat, jotka koskevat tiedottamista henkilöstölle, ulkoisille sidosryhmille ja tiedotusvälineille sekä asiakkaille, sisäisiä eskalointimenettelyjä, myös TVT:hen liittyvien asiakasvalitusten osalta, sekä tarpeen mukaan tiedottamista vastapuolina toimiville finanssiyhteisöille;

e)

varmistettava, että ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoidaan asiaankuuluvalle ylemmälle johdolle, ja tiedotettava ylimmälle hallintoelimelle ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista selittämällä niiden vaikutukset ja niiden vuoksi toteutettavat reagointitoimet ja lisävalvontatoimet;

f)

otettava käyttöön TVT:hen liittyviin poikkeamiin liittyvät reagointimenettelyt, jotta voidaan lieventää niiden vaikutuksia ja varmistaa oikea-aikaisesti, että palvelut alkavat jälleen toimia ja ovat turvallisia.
EULAW 19 artikla 1

1.   Finanssiyhteisöjen on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista 46 artiklassa tarkoitetulle asianomaiselle toimivaltaiselle viranomaiselle tämän artiklan 4 kohdan mukaisesti.

Jos finanssiyhteisöä valvoo useampi kuin yksi 46 artiklassa tarkoitettu kansallinen toimivaltainen viranomainen, jäsenvaltioiden on nimettävä yksi toimivaltainen viranomainen asianomaiseksi toimivaltaiseksi viranomaiseksi, joka vastaa tässä artiklassa säädettyjen tehtävien ja velvollisuuksien suorittamisesta.

Luottolaitosten, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, on raportoitava laajavaikutteisista TVT:hen liittyvistä poikkeamista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä kyseinen raportti välittömästi EKP:lle.

Ensimmäistä alakohtaa sovellettaessa finanssiyhteisöjen on kaikkien asiaankuuluvien tietojen keräämisen ja analysoinnin jälkeen laadittava tämän artiklan 4 kohdassa tarkoitetut alustava ilmoitus ja raportit 20 artiklassa tarkoitettuja malleja käyttäen ja toimitettava ne toimivaltaiselle viranomaiselle. Jos tekninen mahdottomuus estää alustavan ilmoituksen toimittamisen mallia käyttäen, finanssiyhteisöjen on ilmoitettava siitä toimivaltaiselle viranomaiselle vaihtoehtoisin keinoin.

Jäljempänä 4 kohdassa tarkoitetuissa alustavassa ilmoituksessa ja raporteissa on esitettävä kaikki tiedot, jotka toimivaltainen viranomainen tarvitsee voidakseen määrittää laajavaikutteisen TVT:hen liittyvän poikkeaman merkityksen ja arvioida mahdollisia rajatylittäviä vaikutuksia.

Rajoittamatta ensimmäisen alakohdan mukaista raportointia, jonka finanssiyhteisö suorittaa asianomaiselle toimivaltaiselle viranomaiselle, jäsenvaltiot voivat lisäksi päättää, että joidenkin tai kaikkien finanssiyhteisöjen on myös toimitettava alustava ilmoitus ja kaikki tämän artiklan 4 kohdassa tarkoitetut raportit 20 artiklassa tarkoitettuja malleja käyttäen toimivaltaisille viranomaisille tai direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille tietoturvaloukkauksiin reagoiville ja niitä tutkiville yksiköille, jäljempänä ’CSIRT-yksiköt’.
EULAW 19 artikla 2

2.   Finanssiyhteisöt voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista asianomaiselle toimivaltaiselle viranomaiselle, jos ne pitävät uhkaa merkittävänä rahoitusjärjestelmän, palvelujen käyttäjien tai asiakkaiden kannalta. Asianomainen toimivaltainen viranomainen voi toimittaa tällaisia tietoja 6 kohdassa tarkoitetuille muille asianomaisille viranomaisille.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, voivat vapaaehtoisesti ilmoittaa merkittävistä kyberuhkista direktiivin 2013/36/EU 4 artiklan mukaisesti nimetylle asianomaiselle kansalliselle toimivaltaiselle viranomaiselle, jonka on välitettävä ilmoitus välittömästi EKP:lle.

Jäsenvaltiot voivat päättää, että ne finanssiyhteisöt, jotka ensimmäisen alakohdan mukaisesti suorittavat ilmoittamisen vapaaehtoisesti, voivat toimittaa kyseisen ilmoituksen myös direktiivin (EU) 2022/2555 mukaisesti nimetyille tai perustetuille CSIRT-yksiköille.
EULAW 19 artikla 3

3.   Jos laajavaikutteinen TVT:hen liittyvä poikkeama ilmenee ja vaikuttaa asiakkaiden taloudellisiin etuihin, finanssiyhteisöjen on ilman aiheetonta viivytystä välittömästi tultuaan asiasta tietoisiksi ilmoitettava asiakkailleen laajavaikutteisesta TVT:hen liittyvästä poikkeamasta ja toimenpiteistä, joita on toteutettu tällaisen poikkeaman haitallisten vaikutusten lieventämiseksi.

Jos kyseessä on merkittävä kyberuhka, finanssiyhteisöjen on tarvittaessa ilmoitettava asiakkailleen, joihin asia mahdollisesti vaikuttaa, kaikista asianmukaisista suojatoimenpiteistä, joiden toteuttamista nämä voivat harkita.
EULAW 19 artikla 4

4.   Finanssiyhteisöjen on 20 artiklan ensimmäisen kohdan a alakohdan ii alakohdan mukaisesti vahvistettavissa määräajoissa toimitettava asianomaiselle toimivaltaiselle viranomaiselle seuraavat:

a)

alustava ilmoitus;

b)

väliraportti a alakohdassa tarkoitetun alustavan ilmoituksen jälkeen heti, kun alkuperäisen poikkeaman tila on muuttunut merkittävästi tai laajavaikutteisen TVT:hen liittyvän poikkeaman käsittely on muuttunut saatavilla olevien uusien tietojen perusteella, ja tarvittaessa päivitetyt ilmoitukset aina kun asiaa koskeva tilannepäivitys on saatavilla, sekä toimivaltaisen viranomaisen sitä erikseen pyytäessä;

c)

loppuraportti, kun perimmäisten syiden analysointi on saatu päätökseen, riippumatta siitä, onko lieventäviä toimenpiteitä jo toteutettu, ja kun arvioiden sijasta voidaan esittää todellisia vaikutuksia koskevat luvut.
EULAW 19 artikla 5

5.   Finanssiyhteisöt voivat ulkoistaa unionin ja kansallisen alakohtaisen lainsäädännön mukaisesti tämän artiklan mukaiset raportointivelvollisuudet palveluntarjoajana olevalle kolmannelle osapuolelle. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa poikkeamien raportointia koskevien vaatimusten täyttämisestä.