Protection Measures

1.   Finanssiyhteisöillä on oltava osana yleistä riskinhallintajärjestelmäänsä vankka, kattava ja hyvin dokumentoitu TVT-riskinhallintajärjestelmä, jonka avulla ne voivat puuttua TVT-riskiin nopeasti, tehokkaasti ja kattavasti ja varmistaa korkeatasoisen digitaalisen häiriönsietokyvyn.

2.   TVT-riskinhallintajärjestelmän tulee sisältää ainakin strategiat, toimintaperiaatteet, menettelyt, TVT-protokollat ja välineet, jotka ovat tarpeen kaiken tieto-omaisuuden ja TVT-omaisuuden, myös ohjelmistojen, tietokonelaitteistojen ja palvelimien, asianmukaiseksi ja riittäväksi suojelemiseksi, sekä kaikkien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien, kuten tilojen, datakeskusten ja nimettyjen herkkien alueiden suojelemiseksi niin, että voidaan varmistaa kaiken tieto-omaisuuden ja TVT-omaisuuden tarkoituksenmukainen suojelu riskeiltä, myös vahingoittumiselta ja luvattomalta pääsyltä tai käytöltä.

3.   Finanssiyhteisöjen on TVT-riskinhallintajärjestelmänsä mukaisesti minimoitava TVT-riskin vaikutus ottamalla käyttöön asianmukaisia strategioita, toimintaperiaatteita, menettelyjä, TVT-protokollia ja välineitä. Niiden on toimitettava toimivaltaisille viranomaisille näiden pyynnöstä TVT-riskiä ja TVT-riskinhallintajärjestelmäänsä koskevat kattavat ja ajantasaiset tiedot.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on annettava vastuu TVT-riskin hallinnasta ja valvonnasta valvontatoiminnolle ja varmistettava tällaisen valvontatoiminnon asianmukainen riippumattomuuden taso eturistiriitojen välttämiseksi. Finanssiyhteisöjen on huolehdittava siitä, että TVT-riskinhallintotehtävät, valvontatehtävät ja sisäisen tarkastuksen tehtävät ovat asianmukaisella tavalla eroteltuja ja riippumattomia kolmen puolustuslinjan mallin tai sisäisen riskinhallinnan ja valvonnan mallin mukaisesti.

5.   TVT-riskinhallintajärjestelmän on oltava dokumentoitu ja sitä on tarkasteltava uudelleen vähintään kerran vuodessa, tai mikroyritysten osalta määräajoin, ja laajavaikutteisten TVT:hen liittyvien poikkeamien sattuessa sekä digitaalisen häiriönsietokyvyn testauksen tai auditointiprosessien perusteella annettujen valvontaohjeiden tai päätelmien pohjalta. Sitä on parannettava jatkuvasti täytäntöönpanosta ja seurannasta saatujen kokemusten perusteella. Toimivaltaiselle viranomaiselle on toimitettava sen pyynnöstä kertomus TVT-riskinhallintajärjestelmän uudelleentarkastelusta.

7.   Finanssiyhteisöjen on otettava käyttöön sisäisen tarkastuksen päätelmien perusteella virallinen seurantaprosessi, johon sisältyvät säännöt kriittisten TVT-tarkastushavaintojen oikea-aikaisesta todentamisesta ja korjaamisesta.

9.   Finanssiyhteisöt voivat 8 kohdassa tarkoitetun digitaalisen häiriönsietokyvyn strategian yhteydessä määritellä konsernin tai yhteisön tasolla kokonaisvaltaisen usean toimittajan tarjoamien TVT-toimitusten strategian, jossa esitetään keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista ja selitetään periaatteet, joiden mukaan TVT-palveluntarjoajana olevien kolmansien osapuolten yhdistelmä valitaan.

10.   Finanssiyhteisöt voivat unionin oikeuden ja kansallisen alakohtaisen lainsäädännön mukaisesti ulkoistaa TVT-riskinhallintavaatimusten noudattamisen todentamistehtävät konsernin sisäisille tai ulkopuolisille yrityksille. Tällaisen ulkoistamisen tapauksessa finanssiyhteisö on edelleen täysin vastuussa TVT-riskinhallintavaatimusten noudattamisen todentamisesta.

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT:n tukemat liiketoiminnot, tehtävät ja vastuut, kyseisiä toimintoja tukevat tieto-omaisuus ja TVT-omaisuus sekä tehtävänsä ja riippuvuutensa suhteessa TVT-riskiin. Finanssiyhteisöjen on tarkasteltava uudelleen tämän luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.

1.   Jotta voidaan asianmukaisesti suojata TVT-järjestelmiä ja organisoida reagointitoimet, finanssiyhteisöjen on jatkuvasti seurattava ja valvottava TVT-järjestelmien ja -välineiden turvallisuutta ja toimintaa ja minimoitava TVT-riskin vaikutus TVT-järjestelmiin ottamalla käyttöön asianmukaiset TVT-turvallisuutta koskevat välineet, toimintatavat ja menettelyt.

4.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

Ensimmäisen alakohdan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa tai segmentoida välittömästi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Ensimmäisen alakohdan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava erityiset protokollat.

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää ja 8 artiklassa vahvistettujen yksilöintivaatimusten pohjalta otettava käyttöön kattavat TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet, jotka voidaan hyväksyä erillisinä erityisinä toimintaperiaatteina ja jotka ovat olennainen osa finanssiyhteisön yleisiä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita.

3.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää toteutettava siihen liittyvät TVT-reagointi- ja palautumissuunnitelmat, joille on tehtävä riippumaton sisäinen auditointi, jos finanssiyhteisö on muu kuin mikroyritys.

6.   Finanssiyhteisöjen on osana kattavaa TVT-riskinhallintajärjestelmäänsä

Ensimmäisen alakohdan a alakohdan soveltamista varten muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on sisällytettävä testaussuunnitelmiin skenaariot, jotka koskevat kyberhyökkäyksiä ja vaihtoa ensisijaisen TVT-infrastruktuurin ja 12 artiklassa säädettyjen velvoitteiden täyttämiseksi tarvittavan varakapasiteetin, varmuuskopioiden ja varajärjestelmien välillä.

Finanssiyhteisöjen on tarkasteltava TVT-liiketoiminnan jatkuvuutta koskevia toimintaperiaatteitaan ja TVT-reagointi- ja palautumissuunnitelmiansa säännöllisesti uudelleen ottaen huomioon ensimmäisen alakohdan mukaisesti suoritettujen testien tulokset ja auditointien tai valvontatarkastusten perusteella annetut suositukset.

1.   Jotta TVT-järjestelmät ja data voidaan palauttaa niin, että palvelukatkos jää mahdollisimman lyhyeksi ja keskeytymisten ja menetysten määrää rajoitetaan, finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä laadittava ja dokumentoitava:

2.   Finanssiyhteisöjen on perustettava varmuuskopiointijärjestelmiä, jotka voidaan aktivoida varmuuskopiointikäytäntöjen ja -menettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien mukaisesti. Varmuuskopiointijärjestelmien aktivointi ei saa vaarantaa verkko- ja tietojärjestelmien turvallisuutta eikä datan saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Varmuuskopiointimenettelyjen sekä palautus- ja toipumismenettelyjen ja -menetelmien testaus on suoritettava säännöllisin väliajoin.

3.   Palauttaessaan varmuuskopioitua dataa omien järjestelmiensä avulla finanssiyhteisöjen on käytettävä TVT-järjestelmiä, jotka on fyysisesti ja loogisesti erotettu lähteenä olevasta TVT-järjestelmästä. TVT-järjestelmät on suojattava turvallisesti kaikelta luvattomalta pääsyltä tai TVT:hen liittyvältä korruptoitumiselta, ja niiden on tarpeen mukaan mahdollistettava dataa ja järjestelmien varmuuskopioita käyttävien palvelujen oikea-aikainen palauttaminen.

Keskusvastapuolten osalta toipumissuunnitelmien on mahdollistettava kaikkien liiketoimien toipuminen keskeytymisen tapahtuessa, jotta keskusvastapuoli voi turvallisesti jatkaa toimintaansa ja saattaa toimituksen loppuun määräpäivänä.

Raportointipalvelujen tarjoajien on lisäksi pidettävä yllä riittävät resurssit, ja niillä on oltava varmuuskopiointi- ja palautusjärjestelyt käytössä palvelujensa tarjoamiseksi ja ylläpitämiseksi kaikkina aikoina.

3.   Kokemukset, jotka on saatu 26 ja 27 artiklan mukaisesti toteutetusta digitaalisen häiriönsietokyvyn testauksesta sekä todellisista TVT:hen liittyvistä poikkeamista, erityisesti kyberhyökkäyksistä, sekä TVT-liiketoiminnan jatkuvuutta koskevien suunnitelmien ja TVT-reagointi- ja -toipumissuunnitelmien käynnistämisen yhteydessä kohdatut haasteet ja vastapuolten kanssa vaihdetut ja valvontatarkastusten yhteydessä arvioidut tiedot on asianmukaisesti ja jatkuvasti sisällytettävä TVT-riskinarviointiprosessiin. Kyseisten havaintojen perusteella on tehtävä asianmukaiset tarkastukset 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmän asianomaisiin komponentteihin.

5.   Ylemmän TVT-henkilöstön on raportoitava ylimmälle hallintoelimelle ainakin vuosittain 3 kohdassa tarkoitetuista havainnoista ja esitettävä suosituksia.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on jatkuvasti seurattava teknologian kehitystä, myös voidakseen ymmärtää tällaisten uusien teknologioiden käyttöönoton mahdollisia vaikutuksia TVT-turvallisuusvaatimuksiin ja digitaaliseen häiriönsietokykyyn. Niiden on pysyteltävä ajan tasalla uusimmissa TVT-riskinhallintaprosesseissa, jotta nykyisiä tai uusia kyberhyökkäysten muotoja voidaan torjua tuloksellisesti.

2.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmää toteutettava sekä sisäisen henkilöstön jäsenille että ulkoisille sidosryhmille suunnattua viestintäpolitiikkaa. Henkilöstölle suunnatussa viestintäpolitiikassa on tehtävä ero TVT-riskinhallintaan ja erityisesti reagointi- ja toipumistoimiin osallistuvan henkilöstön ja toisaalta sen henkilöstön välillä, jolle on tiedotettava kyseisistä toimista.

1.   Voidakseen arvioida varautumista TVT:hen liittyvien poikkeamien käsittelyyn ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita ja aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen laadittava vankka ja kattava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 6 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.

2.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä, on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen tapauksen mukaan huomioon 6 artiklan 9 kohdassa tarkoitettu usean toimittajan tarjoamien TVT-toimitusten strategia. Kolmansiin osapuoliin liittyvää TVT-riskiä koskevassa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Ylimmän hallintoelimen on finanssiyhteisön kokonaisriskiprofiilin sekä liike-elämän palvelujen laajuuden ja monitahoisuuden arvioinnin perusteella tarkasteltava säännöllisesti uudelleen havaittuja riskejä, jotka liittyvät kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin.

3.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmien ja konsolidointiryhmien tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, ja ne, jotka eivät kata näitä.

Finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille vähintään vuosittain TVT-palvelujen käyttöä koskevien uusien järjestelyjen määrästä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista TVT-palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle sen pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin kaikista kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista suunnitelluista sopimusjärjestelyistä sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.