+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW Article 24 1.

Les entités financières incluent dans leur politique de continuité des activités de TIC visée à l’article 11, paragraphe 1, du règlement (UE) 2022/2554 l’ensemble des éléments suivants:

a) 

une description:

i) 

des objectifs de la politique de continuité des activités de TIC, notamment l’interaction entre la continuité des activités de TIC et la continuité globale des activités, en tenant compte des résultats de l’analyse des incidences sur les activités visée à l’article 11, paragraphe 5, du règlement (UE) 2022/2554;

ii) 

du champ d’application des dispositifs, plans, procédures et mécanismes de continuité des activités de TIC, y compris des limitations et exclusions;

iii) 

de la période de temps à couvrir par les dispositifs, plans, procédures et mécanismes de continuité des activités de TIC;

iv) 

des critères d’activation et de désactivation des plans de continuité des activités de TIC, des plans de réponse et de rétablissement des TIC, ainsi que des plans de communication en situation de crise;

b) 

des dispositions concernant:

i) 

la gouvernance et l’organisation nécessaires à la mise en œuvre de la politique de continuité des activités de TIC, y compris les rôles, les responsabilités et les procédures de remontée des informations, en veillant à ce que des ressources suffisantes soient disponibles;

ii) 

l’alignement entre les plans de continuité des activités de TIC et les plans globaux de continuité des activités, en ce qui concerne au moins l’ensemble des éléments suivants:

1) 

les scénarios de défaillance potentielle, notamment les scénarios visés à l’article 26, paragraphe 2, du présent règlement;

2) 

les objectifs de rétablissement, en précisant que l’entité financière doit être en mesure de rétablir les opérations de ses fonctions critiques ou importantes après des perturbations en respectant un objectif en matière de délai de rétablissement et un objectif en matière de point de rétablissement;

iii) 

l’élaboration de plans de continuité des activités de TIC en cas de graves perturbations des activités dans le cadre de ces plans, et la hiérarchisation des mesures de continuité des activités de TIC selon une approche fondée sur les risques;

iv) 

l’élaboration, le test et l’examen des plans de réponse et de rétablissement des TIC, conformément aux articles 25 et 26 du présent règlement;

v) 

l’examen de l’efficacité des dispositifs, plans, procédures et mécanismes de continuité des activités de TIC mis en œuvre, conformément à l’article 26 du présent règlement;

vi) 

l’alignement de la politique de continuité des activités de TIC sur:

1) 

la politique de communication visée à l’article 14, paragraphe 2, du règlement (UE) 2022/2554;

2) 

les mesures de communication et de communication de crise visées à l’article 11, paragraphe 2, point e), du règlement (UE) 2022/2554.
EULAW Article 24 2.

En plus de respecter les exigences prévues au paragraphe 1, les contreparties centrales veillent à ce que leur politique de continuité des activités de TIC:

a) 

prévoie, pour leurs fonctions critiques, un délai de rétablissement maximal ne dépassant pas deux heures;

b) 

tienne compte des liens extérieurs et des interdépendances au sein des infrastructures financières, y compris les plates-formes de négociation compensées par la contrepartie centrale, les systèmes de règlement et de paiement des opérations sur titres, et les établissements de crédit utilisés par la contrepartie centrale ou par une contrepartie centrale à laquelle elle est liée;

c) 

exige la mise en place de dispositifs pour:

i) 

assurer la continuité des fonctions critiques ou importantes de la contrepartie centrale sur la base de scénarios de sinistres;

ii) 

maintenir un site de traitement secondaire capable d’assurer la continuité des fonctions critiques ou importantes de la même manière que le site primaire;

iii) 

maintenir ou avoir un accès immédiat à un site opérationnel secondaire permettant au personnel d’assurer la continuité du service si le site opérationnel principal n’est pas disponible;

iv) 

évaluer la nécessité de mettre en place des sites de traitement supplémentaires, en particulier lorsque la diversité des profils de risque des sites primaire et secondaire ne permet pas de garantir avec suffisamment de certitude que les objectifs de continuité des activités de la contrepartie centrale seront atteints dans tous les cas de figure.

Aux fins du point a), les contreparties centrales finalisent les procédures et les paiements de fin de journée à l’heure et à la date requises, et cela en toutes circonstances.

Aux fins du point c) i), les dispositifs visés audit point garantissent la disponibilité de ressources humaines adéquates, une durée maximale d’indisponibilité des fonctions critiques ainsi qu’un transfert automatique et une reprise des activités sur un site secondaire.

Aux fins du point c) ii), le site secondaire de traitement visé audit point présente un profil de risque géographique distinct de celui du site primaire.
EULAW Article 24 3.

En plus de respecter les exigences prévues au paragraphe 1, les dépositaires centraux de titres veillent à ce que leur politique de continuité des activités de TIC:

a) 

tienne compte des liens et interdépendances avec les utilisateurs, les prestataires de services et fournisseurs de services de réseau essentiels, les autres dépositaires centraux de titres et les autres infrastructures de marché;

b) 

exige que ses dispositifs de continuité des activités de TIC garantissent que l’objectif en matière de délai de rétablissement des fonctions critiques ou importantes ne dépasse pas deux heures.
EULAW Article 24 4.

En plus de respecter les exigences prévues au paragraphe 1, les plates-formes de négociation veillent à ce que leur politique de continuité des activités de TIC garantisse:

a) 

qu’après un incident perturbateur, la négociation peut reprendre dans les deux heures, ou dans un délai proche de deux heures;

b) 

que la quantité maximale de données susceptibles d’être perdues par un service informatique de la plate-forme de négociation après un incident perturbateur est proche de zéro.
EULAW Article 25 1.
Lorsqu’elles testent les plans de continuité des activités de TIC conformément à l’article 11, paragraphe 6, du règlement (UE) 2022/2554, les entités financières tiennent compte de l’analyse des incidences sur les activités de l’entité financière et de l’évaluation du risque lié aux TIC visée à l’article 3, premier alinéa, point b), du présent règlement.
EULAW Article 25 2.

Les entités financières évaluent, au moyen des tests de leurs plans de continuité des activités de TIC visés au paragraphe 1, si elles sont en mesure d’assurer la continuité de leurs fonctions critiques ou importantes. Ces tests:

a) 

sont réalisés sur la base de scénarios de test simulant des perturbations potentielles, y compris un ensemble adéquat de scénarios graves mais plausibles;

b) 

comprennent, le cas échéant, des tests des services TIC fournis par des prestataires tiers de services TIC;

c) 

pour les entités financières, autres que les microentreprises, visées à l’article 11, paragraphe 6, deuxième alinéa, du règlement (UE) 2022/2554, comprennent des scénarios de basculement entre l’infrastructure de TIC principale et la capacité redondante, les sauvegardes et les installations redondantes;

d) 

sont conçus pour éprouver les hypothèses sur lesquelles se fondent les plans de continuité des activités, y compris les dispositifs de gouvernance et les plans de communication en situation de crise;

e) 

comportent des procédures visant à vérifier la capacité du personnel des entités financières, des prestataires tiers de services TIC, des systèmes de TIC et des services TIC à répondre de manière adéquate aux scénarios dûment pris en considération conformément à l’article 26, paragraphe 2.

Aux fins du point a), les entités financières incluent toujours dans les tests les scénarios envisagés pour l’élaboration des plans de continuité des activités.

Aux fins du point b), les entités financières tiennent dûment compte des scénarios liés à l’insolvabilité ou aux défaillances des prestataires tiers de services TIC ou aux risques politiques dans les juridictions des prestataires tiers de services TIC, le cas échéant.

Aux fins du point c), les tests permettent de vérifier si au moins les fonctions critiques ou importantes peuvent être exercées de manière appropriée pendant une durée suffisante et si le fonctionnement normal peut être rétabli.
EULAW Article 25 3.

En plus de respecter les exigences prévues au paragraphe 2, les contreparties centrales associent aux tests de leurs plans de continuité des activités de TIC visés au paragraphe 1:

a) 

les membres compensateurs;

b) 

les prestataires externes;

c) 

les établissements de l’infrastructure financière avec lesquels les contreparties centrales ont constaté des interdépendances dans le cadre de leur politique de continuité des activités.
EULAW Article 25 4.

En plus de respecter les exigences prévues au paragraphe 2, les dépositaires centraux de titres associent, le cas échéant, aux tests de leurs plans de continuité des activités de TIC visés au paragraphe 1:

a) 

les utilisateurs des dépositaires centraux de titres;

b) 

les prestataires de services et fournisseurs de services de réseau essentiels;

c) 

d’autres dépositaires centraux de titres;

d) 

d’autres infrastructures de marché;

e) 

d’autres établissements avec lesquels les dépositaires centraux de titres ont constaté des interdépendances dans le cadre de leur politique de continuité des activités.
EULAW Article 25 5.
Les entités financières documentent les résultats des tests visés au paragraphe 1. Toute défaillance constatée à la suite de ces tests est analysée, traitée et notifiée à l’organe de direction.
EULAW Article 26 1.

Lorsqu’elles élaborent les plans de réponse et de rétablissement des TIC visés à l’article 11, paragraphe 3, du règlement (UE) 2022/2554, les entités financières tiennent compte des résultats de l’analyse des incidences sur les activités de l’entité financière. Ces plans de réponse et de rétablissement des TIC:

a) 

définissent les conditions qui déclenchent leur activation ou désactivation, ainsi que toute exception à cette activation ou désactivation;

b) 

décrivent les mesures à prendre pour garantir la disponibilité, l’intégrité, la continuité et le rétablissement au moins des systèmes et services TIC qui soutiennent des fonctions critiques ou importantes de l’entité financière;

c) 

sont conçus pour atteindre les objectifs de rétablissement des opérations des entités financières;

d) 

sont documentés et mis à la disposition du personnel participant à l’exécution des plans de réponse et de rétablissement des TIC et sont facilement accessibles en cas d’urgence;

e) 

prévoient des options de rétablissement à court et à long terme, y compris de rétablissement partiel des systèmes;

f) 

définissent les objectifs des plans de réponse et de rétablissement des TIC et les conditions permettant de déclarer que ces plans ont été exécutés avec succès.

Aux fins du point d), les entités financières précisent clairement les rôles et responsabilités.
EULAW Article 26 2.

Les plans de réponse et de rétablissement des TIC visés au paragraphe 1 recensent les scénarios pertinents, y compris les scénarios de graves perturbations des activités et de probabilité accrue de survenance d’une perturbation. Ces plans établissent des scénarios fondés sur les informations actuelles sur les menaces et sur les enseignements tirés des perturbations des activités survenues antérieurement. Les entités financières tiennent dûment compte de tous les scénarios suivants:

a) 

des cyberattaques et des basculements entre l’infrastructure de TIC principale et la capacité redondante, les sauvegardes et les installations redondantes;

b) 

les scénarios dans lesquels la qualité de l’exécution d’une fonction critique ou importante se détériore à un niveau inacceptable, en prenant alors dûment en considération les incidences potentielles de l’insolvabilité ou d’autres défaillances de tout prestataire tiers de services TIC concerné;

c) 

la défaillance partielle ou totale des locaux, notamment des locaux de bureau et des locaux commerciaux, et des centres de données;

d) 

une défaillance substantielle des actifs de TIC ou de l’infrastructure de communication;

e) 

l’indisponibilité d’un nombre critique de membres du personnel ou de personnes chargées de garantir la continuité des opérations;

f) 

les incidences des événements liés au changement climatique et à la dégradation de l’environnement, des catastrophes naturelles, des pandémies et des attaques physiques, y compris des intrusions et des attentats terroristes;

g) 

les attaques internes;

h) 

l’instabilité politique et sociale, y compris, le cas échéant, dans la juridiction du prestataire tiers de services TIC et à l’endroit où les données sont stockées et traitées;

i) 

les coupures de courant à une grande échelle.
EULAW Article 26 3.
Lorsque les mesures de rétablissement primaires sont susceptibles de ne pas être réalisables à court terme en raison des coûts, des risques, de problèmes logistiques ou de circonstances imprévues, les plans de réponse et de rétablissement des TIC visés au paragraphe 1 envisagent d’autres options.
EULAW Article 26 4.
Dans le cadre des plans de réponse et de rétablissement des TIC visés au paragraphe 1, les entités financières étudient et mettent en œuvre des mesures de continuité pour atténuer les conséquences des défaillances des prestataires tiers de services TIC qui fournissent des services TIC à l’appui de fonctions critiques ou importantes de l’entité financière.