+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 7 Systèmes, protocoles et outils de TIC

Article 7

Systèmes, protocoles et outils de TIC

Afin d’atténuer et de gérer le risque lié aux TIC, les entités financières utilisent et tiennent à jour des systèmes, protocoles et outils de TIC qui sont:

a) 

adaptés à l’ampleur des opérations qui sous-tendent l’exercice de leurs activités, conformément au principe de proportionnalité visé à l’article 4;

b) 

fiables;

c) 

équipés d’une capacité suffisante pour traiter avec exactitude les données nécessaires à l’exécution des activités et à la fourniture des services en temps utile, et pour faire face aux pics de volume d’ordres, de messages ou de transactions, selon les besoins, y compris lorsque de nouvelles technologies sont mises en place;

d) 

suffisamment résilients sur le plan technologique pour répondre de manière adéquate aux besoins supplémentaires de traitement de l’information qui apparaissent en situation de tensions sur les marchés ou dans d’autres situations défavorables.
EULAW Article 8 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall identify, classify and adequately document all ICT supported business functions, roles and responsibilities, the information assets and ICT assets supporting those functions, and their roles and dependencies in relation to ICT risk. Financial entities shall review as needed, and at least yearly, the adequacy of this classification and of any relevant documentation.
EULAW Article 8 5

5.   Financial entities shall identify and document all processes that are dependent on ICT third-party service providers, and shall identify interconnections with ICT third-party service providers that provide services that support critical or important functions.
EULAW Article 8 6

6.   For the purposes of paragraphs 1, 4 and 5, financial entities shall maintain relevant inventories and update them periodically and every time any major change as referred to in paragraph 3 occurs.
EULAW Article 4 1.
Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre une politique de gestion des actifs de TIC.
EULAW Article 4 2.

La politique de gestion des actifs de TIC visée au paragraphe 1:

a) 

prescrit le suivi et la gestion du cycle de vie des actifs de TIC identifiés et classés conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554;

b) 

prescrit la tenue par l’entité financière d’un registre de tous les éléments suivants:

i) 

l’identifiant unique de chaque actif de TIC;

ii) 

des informations sur la localisation, physique ou logique, de tous les actifs de TIC;

iii) 

le classement de tous les actifs de TIC, tel que prévu par l’article 8, paragraphe 1, du règlement (UE) 2022/2254;

iv) 

l’identité des propriétaires d’actifs de TIC;

v) 

les fonctions ou services «métiers» soutenus par l’actif de TIC;

vi) 

les exigences en matière de continuité des activités de TIC, notamment les objectifs en matière de délai de rétablissement et de point de rétablissement;

vii) 

une mention précisant si l’actif de TIC est ou peut être exposé à des réseaux externes, y compris l’internet;

viii) 

les liens et interdépendances existant entre les actifs de TIC et les fonctions «métiers» qui utilisent chacun de ces actifs;

ix) 

le cas échéant, pour tous les actifs de TIC, les dates d’expiration des services d’appui réguliers, étendus et sur mesure fournis par des prestataires tiers de services TIC, après lesquelles ces actifs de TIC ne sont plus pris en charge par leur fournisseur ou par un prestataire tiers de services TIC;

c) 

prescrit la tenue, par les entités financières autres que des microentreprises, d’un registre des informations nécessaires pour procéder à l’évaluation spécifique du risque lié aux TIC sur tous les systèmes de TIC hérités prévue par l’article 8, paragraphe 7, du règlement (UE) 2022/2554.
EULAW Article 5 1.
Les entités financières élaborent, documentent et mettent en œuvre une procédure de gestion des actifs de TIC.
EULAW Article 5 2.

La procédure de gestion des actifs de TIC visée au paragraphe 1 précise les critères utilisés pour procéder à l’évaluation de la criticité des actifs d’information et des actifs de TIC soutenant des fonctions «métiers». Cette évaluation tient compte:

a) 

du risque lié aux TIC associé à ces fonctions «métiers» et de leur dépendance à l’égard des actifs d’information ou des actifs de TIC;

b) 

de l’incidence que la perte de confidentialité, d’intégrité et de disponibilité de ces actifs d’information et actifs de TIC aurait sur les processus opérationnels et les activités des entités financières.