+Članak 10. 2.

Članak 10. 2.

Postupcima upravljanja ranjivostima iz stavka 1.:

(a) 

utvrđuju se i ažuriraju relevantni i pouzdani izvori informacija za povećanje i održavanje razine informiranosti o ranjivostima;

(b) 

osiguravaju se performanse automatiziranog skeniranja i procjena ranjivosti IKT imovine, pri čemu su učestalost i opseg tih aktivnosti razmjerni klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine;

(c) 

provjerava se sljedeće:

i. 

obrađuju li treće strane pružatelji IKT usluga ranjivosti povezane s IKT uslugama koje pružaju financijskom subjektu;

ii. 

izvješćuju li pravodobno ti pružatelji usluga financijski subjekt barem o ključnim ranjivostima te statističkim podacima i trendovima;

(d) 

prati upotreba sljedećeg:

i. 

knjižnica treće strane, među ostalim knjižnica otvorenog koda, koje se upotrebljavaju za IKT usluge kojima se podupiru ključne ili važne funkcije;

ii. 

IKT usluga koje je financijski subjekt sam razvio ili koje je treća strana pružatelj IKT usluga posebno prilagodio ili razvio za financijski subjekt;

(e) 

utvrđuju se postupci za odgovorno obavješćivanje klijenata, partnerskih financijskih subjekata i javnosti o ranjivostima;

(f) 

daje se prioritet uvođenju zakrpi i drugim mjerama za ublažavanje kako bi se uklonile utvrđene ranjivosti;

(g) 

prati se i provjerava uklanjanje ranjivosti;

(h) 

zahtijeva se evidentiranje svih otkrivenih ranjivosti koje utječu na IKT sustave i praćenje njihova saniranja.

Za potrebe točke (b) financijski subjekti barem jednom tjedno provode automatizirano skeniranje i procjenu ranjivosti IKT imovine za IKT imovinu kojom se podupiru ključne ili važne funkcije.

Za potrebe točke (c) financijski subjekti zahtijevaju da treće strane pružatelji IKT usluga istražuju relevantne ranjivosti, utvrđuju njihove temeljne uzroke i poduzimanju odgovarajuće mjere za ublažavanje.

Za potrebe točke (d) financijski subjekti, prema potrebi u suradnji s trećom stranom pružateljem IKT usluga, prate verziju i moguća ažuriranja knjižnica treće strane. U slučaju gotove (spremna za upotrebu) IKT imovine koja je nabavljena i upotrebljava se za rad IKT usluga kojima se ne podupiru ključne ili važne funkcije ili sastavnih dijelova te IKT imovine, financijski subjekti u najvećoj mogućoj mjeri prate upotrebu knjižnica treće strane, među ostalim knjižnica otvorenog koda.

Za potrebe točke (f) financijski subjekti uzimaju u obzir ključnost ranjivosti, klasifikaciju utvrđenu u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i profil rizičnosti IKT imovine na koju utječu utvrđene ranjivosti.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi
NOREA Resource Management
Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).
NOREA Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.
NOREA Patch Management
Identify and evaluate available ICT assets (e.g., software and hardware) patches and updates using automated tools, to the extent possible. Deploy patches to address identified vulnerabilities. Prioritize the deployment of patches and other mitigation measures based on the criticality of the vulnerability and the classification and risk profile of the affected assets. Establish emergency procedures for patching and updating ICT assets. Test and deploy ICT asset patches and updates. Set due dates for the installation of ICT asset patches and updates, and establish escalation procedures in case the due dates cannot be met. In cases where no patches can be applied or are available, identify and implement alternative mitigation measures within the set due dates.
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.