+Business Continuity Oversight

Business Continuity Oversight

The Management body reviews and approves periodically (e.g. annually) the ICT business continuity policy and the ICT response and recovery plans.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 5 artikla 1

1.   Finanssiyhteisöillä on oltava sisäinen hallinto- ja valvontakehys, jolla varmistetaan TVT-riskin tehokas ja järkevä hallinnointi 6 artiklan 4 kohdan mukaisesti, jotta voidaan saavuttaa digitaalisen häiriönsietokyvyn korkea taso.
EULAW 5 artikla 2

2.   Finanssiyhteisön ylimmän hallintoelimen on määriteltävä ja vahvistettava kaikki 6 artiklan 1 kohdassa tarkoitettuun TVT-riskinhallintajärjestelmään liittyvät järjestelyt, valvottava niiden toteuttamista ja vastattava niistä.

Ensimmäisen alakohdan soveltamiseksi ylimmän hallintoelimen on

a)

kannettava lopullinen vastuu finanssiyhteisön TVT-riskistä;

b)

otettava käyttöön toimintatapoja, joilla pyritään pitämään datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla;

c)

määriteltävä selkeät roolit ja vastuut kaikille TVT:hen liittyville toiminnoille ja otettava käyttöön asianmukaiset hallintojärjestelyt, joilla varmistetaan tehokas ja oikea-aikainen viestintä, yhteistyö ja koordinointi kyseisten toimintojen välillä;

d)

kannettava kokonaisvastuu 6 artiklan 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian laatimisesta ja hyväksymisestä, mukaan lukien finanssiyhteisön TVT-riskin asianmukaisen 6 artiklan 8 kohdan b alakohdassa tarkoitetun riskitason määrittäminen;

e)

vahvistettava 11 artiklan 1 kohdassa tarkoitetut finanssiyhteisön TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sekä 11 artiklan 3 kohdassa tarkoitetut TVT-reagointi- ja palautumissuunnitelmat, jotka voidaan hyväksyä erityisinä toimintaperiaatteina, jotka ovat erottamaton osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita ja reagointi- ja palautussuunnitelmaa, sekä valvottava niiden täytäntöönpanoa ja tarkasteltava niitä säännöllisesti uudelleen;

f)

vahvistettava finanssiyhteisön sisäiset TVT-auditointisuunnitelmat, tehdyt TVT-auditoinnit ja olennaiset muutokset niihin sekä tarkasteltava niitä säännöllisesti uudelleen;

g)

osoitettava asianmukaiset määrärahat ja tarkasteltava niitä säännöllisesti uudelleen, jotta finanssiyhteisön digitaalisen häiriönsietokyvyn tarpeet voidaan täyttää kaikkien eri resurssityyppien osalta, mukaan lukien 13 artiklan 6 kohdassa tarkoitetut asianmukaiset TVT-turvallisuutta koskevat valistusohjelmat ja digitaalista häiriönsietokykyä käsittelevä koulutus sekä koko henkilöstön TVT-osaaminen;

h)

vahvistettava finanssiyhteisön toimintaperiaatteet, jotka koskevat TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöön liittyviä järjestelyjä, ja tarkasteltava niitä säännöllisesti uudelleen;

i)

otettava käyttöön yritystasolla raportointikanavia, joiden avulla sille voidaan asianmukaisesti tiedottaa seuraavista:

i)

TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehdyistä TVT-palvelujen käyttöä koskevista järjestelyistä,

ii)

suunnitelluista TVT-palveluntarjoajana olevia kolmansia osapuolia koskevista merkittävistä muutoksista,

iii)

tällaisten muutosten mahdollisesta vaikutuksesta kyseisten järjestelyjen kohteena oleviin kriittisiin tai tärkeisiin toimintoihin, mukaan lukien riskianalyysin tiivistelmä kyseisten muutosten vaikutusten arvioimiseksi, ja ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista ja niiden vaikutuksista sekä reagointi-, palautus- ja korjaustoimenpiteistä.
EULAW 5 artikla 3

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on perustettava tehtävä, johon kuuluu TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa tehtyjen TVT-palvelujen käyttöä koskevien järjestelyjen valvonta, tai nimettävä ylemmän johdon jäsen vastaamaan niihin liittyvän kokonaisriskin ja niitä koskevan dokumentaation valvonnasta.
EULAW 5 artikla 4

4.   Finanssiyhteisön ylimmän hallintoelimen jäsenten on aktiivisesti ylläpidettävä riittäviä tietoja ja osaamista, jotka ovat tarpeen TVT-riskin ja siitä finanssiyhteisön toiminnalle aiheutuvien vaikutusten ymmärtämistä ja arvioimista varten, mukaan lukien säännöllinen osallistuminen erityiskoulutukseen, joka vastaa hallittavaa TVT-riskiä.
EULAW 6 artikla 8

8.   TVT-riskinhallintajärjestelmän on sisällettävä digitaalisen häiriönsietokyvyn strategia, jossa esitetään, miten järjestelmä pannaan täytäntöön. Sitä varten digitaalisen häiriösietokyvyn strategiaan on sisällyttävä menetelmät, joiden avulla puututaan TVT-riskiin ja saavutetaan erityiset TVT-tavoitteet siten, että

a)

kuvataan, miten TVT-riskinhallintajärjestelmä tukee finanssiyhteisön liiketoimintastrategiaa ja -tavoitteita;

b)

määritetään riskitaso TVT-riskille finanssiyhteisön riskinottohalun mukaisesti ja analysoidaan TVT-keskeytymisten sietokyky;

c)

asetetaan selkeät tietoturvatavoitteet, mukaan lukien keskeiset tulosindikaattorit ja keskeiset riskimittarit;

d)

kuvataan TVT-viiterakenne ja tiettyjen liiketoimintatavoitteiden saavuttamiseksi mahdollisesti tarvittavat muutokset;

e)

luetellaan käytössä olevat mekanismit TVT:hen liittyvien poikkeamien havaitsemiseksi, niiden haittavaikutusten estämiseksi ja niiltä suojautumiseksi;

f)

todennetaan nykyinen digitaalisen häiriönsietokyvyn tilanne ilmoitettujen laajavaikutteisten TVT:hen liittyvien poikkeamien lukumäärän ja ehkäisevien toimenpiteiden tehokkuuden perusteella;

g)

toteutetaan digitaalisen häiriönsietokyvyn testaus tämän asetuksen IV luvun mukaisesti;

h)

laaditaan viestintästrategia sellaisia TVT:hen liittyviä poikkeamia varten, joiden julkistamista edellytetään 14 artiklan mukaisesti.
EULAW 13 artikla 4

4.   Finanssiyhteisöjen on seurattava 6 artiklan 8 kohdassa tarkoitetun digitaalista häiriönsietokykyä koskevan strategiansa toteutuksen tuloksellisuutta. Niiden on kartoitettava TVT-riskin kehitystä ajan mittaan, analysoitava TVT:hen liittyvien poikkeamien esiintymistiheyttä, tyyppejä, laajuutta ja kehitystä, erityisesti kyberhyökkäyksiä ja niiden toteuttamistapoja, voidakseen selvittää finanssiyhteisön TVT-riskille altistumisen tason, erityisesti kriittisten tai tärkeiden toimintojen osalta, ja tehostaa sen kybervalmiutta ja kyberuhkiin varautumista.