+Članak 11. 2.

Članak 11. 2.

Postupak za sigurnost podataka i sustava iz stavka 1. sadržava sve sljedeće elemente povezane sa sigurnosti podataka i IKT sustavâ u skladu s klasifikacijom iz članka 8. stavka 1. Uredbe (EU) 2022/2554:

(a) 

ograničenja pristupa iz članka 21. ove Uredbe, kojima se podupiru zahtjevi za zaštitu za svaku razinu klasifikacije;

(b) 

utvrđivanje polazne sigurne konfiguracije za IKT imovinu kojom se izloženost te IKT imovine kiberprijetnjama svodi na najmanju moguću mjeru i mjera za redovitu provjeru toga jesu li te polazne konfiguracije djelotvorno provedene;

(c) 

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se u IKT sustave i na krajnje uređaje instalira samo ovlašteni softver;

(d) 

utvrđivanje sigurnosnih mjera protiv zlonamjernih kodova;

(e) 

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se za prijenos i pohranu podataka financijskog subjekta upotrebljavaju samo ovlašteni mediji za pohranu podataka, sustavi i krajnji uređaji;

(f) 

sljedeće zahtjeve za sigurnu upotrebu prijenosnih krajnjih uređaja i privatnih neprijenosnih krajnjih uređaja:

i. 

zahtjev za upotrebu rješenja za upravljanje za daljinsko upravljanje krajnjim uređajima i daljinsko brisanje podataka financijskog subjekta;

ii. 

zahtjev za upotrebu sigurnosnih mehanizama koje članovi osoblja ili treće strane pružatelji IKT usluga ne mogu na neovlašteni način promijeniti, ukloniti ili premostiti;

iii. 

zahtjev za upotrebu prijenosnih uređaja za pohranu podataka samo ako unutar razine tolerancije financijskog subjekta na rizik postoji preostali IKT rizik iz članka 3. prvog stavka točke (a);

(g) 

proces za sigurno brisanje podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koje financijski subjekt više ne treba prikupljati ili pohranjivati;

(h) 

proces za sigurno odlaganje ili stavljanje izvan funkcije uređaja za pohranu podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koji sadržavaju povjerljive informacije;

(i) 

utvrđivanje i provedbu sigurnosnih mjera za sprječavanje gubitka i curenja podataka za sustave i krajnje uređaje;

(j) 

provedbu sigurnosnih mjera kako rad na daljinu i upotreba privatnih krajnjih uređaja ne bi negativno utjecali na sigurnost IKT-a financijskog subjekta;

(k) 

za IKT imovinu ili usluge kojima upravlja treća strana pružatelj IKT usluga, utvrđivanje i provedbu zahtjeva za održavanje digitalne operativne otpornosti u skladu s rezultatima klasifikacije podataka i procjene IKT rizika.

Za potrebe točke (b) za polaznu sigurnu konfiguraciju iz te točke uzimaju se u obzir vodeće prakse i primjerene tehnike utvrđene u standardima iz članka 2. točke 1. Uredbe (EU) br. 1025/2012.

Za potrebe točke (k) financijski subjekti razmatraju sljedeće:

(a) 

primjenu postavki koje preporučuje dobavljač na elementima kojima upravlja financijski subjekt;

(b) 

jasnu raspodjelu uloga i odgovornosti za informacijsku sigurnost između financijskog subjekta i treće strane pružatelja IKT usluga u skladu s načelom potpune odgovornosti financijskog subjekta za treću stranu pružatelja IKT usluga iz članka 28. stavka 1. točke (a) Uredbe (EU) 2022/2554 i za financijske subjekte iz članka 28. stavka 2. te uredbe i u skladu s politikom financijskog subjekta o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije;

(c) 

nužnost pružanja i održavanja odgovarajućih kompetencija unutar financijskog subjekta za upravljanje uslugom koja se upotrebljava i njezinu sigurnost;

(d) 

tehničke i organizacijske mjere za smanjenje rizika povezanih s infrastrukturom koju treća strana pružatelj IKT usluga upotrebljava za svoje IKT usluge, uzimajući u obzir vodeće prakse i standarde utvrđene u članku 2. točki 1. Uredbe (EU) br. 1025/2012.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi
NOREA ICT (Security) Systems, tools, and solutions
Design, procure, and implement security solutions and tooling with the goal to ensure resilience, continuity, and CIA of ICT systems, particularly those supporting critical or important functions.
NOREA Data Protection Practices
Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.
NOREA Vendor Recommended Security Settings

Consider the security measures and settings recommended by the third-party service provider delivering the ICT service. Implement technical and organisational measures to minimise the risks related to the infrastructure used and managed by the ICT third-party service provider.
NOREA Endpoint Devices
Enforce usage requirements for portable and nonportable endpoint devices. Ensure that only authorized data storage media, systems, and endpoint devices are used to transfer and store data. Implement security measures to ensure that teleworking and the use of private endpoint devices do not adversely impact the overall security of the entity. This includes having a centralized management solution to remotely manage and wipe endpoint devices, security mechanisms that cannot be modified, removed, or bypassed, and the use of removable data storage devices only when the residual ICT risk remains within predefined risk tolerance levels. Enforce security measures to allow only authorized software installation on systems and endpoint devices.
NOREA Secure Data Deletion and Disposal
Establish a process to securely delete data on and offpremises. Establish a process to securely dispose or decommission data storage devices on and offpremises that contain confidential information.
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.