+Security Requirements

Security Requirements

Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 8. 1.
Financijski subjekti u sklopu politika, postupaka, protokola i alata za sigurnost IKT-a iz članka 9. stavka 2. Uredbe (EU) 2022/2554 izrađuju, dokumentiraju i provode politike i postupke za upravljanje operacijama IKT-a. Tim se politikama i postupcima utvrđuje kako financijski subjekti upotrebljavaju, prate, kontroliraju i obnavljaju svoju IKT imovinu, što uključuje dokumentiranje operacija IKT-a.
EULAW Članak 8. 2.

Politike i postupci za operacije IKT-a iz stavka 1. sadržavaju sve sljedeće:

(a) 

opis IKT imovine, koji uključuje sve sljedeće:

i. 

zahtjeve povezane sa sigurnom instalacijom, održavanjem, konfiguracijom i deinstalacijom IKT sustava;

ii. 

zahtjeve za upravljanje informacijskom imovinom koja se upotrebljava za IKT imovinu, među ostalim njezinu automatiziranu i ručnu obradu i upotrebu;

iii. 

zahtjeve za utvrđivanje i kontrolu zastarjelih IKT sustava;

(b) 

kontrole i praćenje IKT sustava, što uključuje sve sljedeće:

i. 

zahtjeve za sigurnosno kopiranje i ponovnu uspostavu IKT sustavâ;

ii. 

zahtjeve za izradu rasporeda, pri čemu se uzimaju u obzir međuovisnosti među IKT sustavima;

iii. 

protokole za revizijski postupak i podatke u evidenciji sustava;

iv. 

zahtjeve da se unutarnjim revizijama i drugim testiranjima smanje mogući poremećaji u poslovanju;

v. 

zahtjeve za odvajanje produkcijskih okruženja IKT-a od okruženja u kojima se IKT sustavi razvijaju i testiraju te od drugih neprodukcijskih okruženja;

vi. 

zahtjeve za razvoj i testiranje u okruženjima odvojenima od produkcijskog okruženja;

vii. 

zahtjeve za razvoj i testiranje u produkcijskim okruženjima;

(c) 

postupanje s greškama u IKT sustavima, što uključuje sve sljedeće:

i. 

postupke i protokole za postupanje s greškama;

ii. 

kontakte za podršku i eskalaciju, među ostalim vanjske kontakte za podršku u slučaju neočekivanih operativnih ili tehničkih problema;

iii. 

postupke za ponovno pokretanje, vraćanje na prethodnu verziju i oporavak IKT sustava u slučaju poremećaja u IKT sustavu.

Za potrebe točke (b) podtočke v. odvajanje se odnosi na sve sastavne dijelove okruženja, među ostalim račune, podatke ili veze u skladu s člankom 13. prvim stavkom točkom (a).

Za potrebe točke (b) podtočke vii. politikama i postupcima iz stavka 1. predviđa se da su slučajevi u kojima se testiranje provodi u produkcijskom okruženju jasno utvrđeni, obrazloženi i vremenski ograničeni te da ih je odobrila relevantna funkcija u skladu s člankom 16. stavkom 6. Financijski subjekti osiguravaju dostupnost, povjerljivost, cjelovitost i vjerodostojnost IKT sustavâ i produkcijskih podataka tijekom aktivnosti razvoja i testiranja u produkcijskom okruženju.
EULAW Članak 17. 1.

Financijski subjekti u sklopu zaštitnih mjera za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka u postupke upravljanja promjenama IKT-a iz članka 9. stavka 4. točke (e) Uredbe (EU) 2022/2554 u vezi sa svim promjenama softvera, hardvera, komponenata ugrađenog softvera, sustava ili sigurnosnih parametara uključuju sve sljedeće elemente:

(a) 

provjeru ispunjenosti zahtjeva za sigurnost IKT-a;

(b) 

mehanizme za neovisnost funkcija koje odobravaju promjene i funkcija odgovornih za zahtijevanje i provedbu tih promjena;

(c) 

jasan opis uloga i odgovornosti kako bi se osiguralo:

i. 

da se promjene definiraju i planiraju;

ii. 

da se utvrdi primjereni prelazak;

iii. 

da se promjene kontrolirano testiraju i dovrše;

iv. 

da postoji djelotvorno osiguranje kvalitete;

(d) 

dokumentiranje pojedinosti o promjenama i obavješćivanje o njima, među ostalim o:

i. 

svrsi i opsegu promjene;

ii. 

rokovima za provedbu promjene;

iii. 

očekivanim ishodima;

(e) 

utvrđivanje rezervnih postupaka i odgovornosti, što uključuje postupke i odgovornosti za odustajanje od promjena ili oporavak od neuspješno provedenih promjena;

(f) 

postupke, protokole i alate za upravljanje hitnim promjenama s odgovarajućim zaštitnim mjerama;

(g) 

postupke za dokumentiranje, ponovnu evaluaciju, procjenu i odobrenje hitnih promjena nakon njihove provedbe, što uključuje zaobilazna rješenja i zakrpe;

(h) 

utvrđivanje potencijalnog učinka promjene na postojeće mjere za sigurnost IKT-a i procjenu je li zbog te promjene potrebno donijeti dodatne mjere za sigurnost IKT-a.
EULAW Članak 17. 2.
Središnje druge ugovorne strane i središnji depozitoriji vrijednosnih papira nakon znatnih promjena u IKT sustavima te sustave strogo testiranu simulirajući visoko opterećenje.

Središnje druge ugovorne strane u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

članove sustava poravnanja i klijente;

(b) 

interoperabilne središnje druge ugovorne strane;

(c) 

druge zainteresirane strane.

Središnji depozitoriji vrijednosnih papira u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

korisnike;

(b) 

pružatelje ključnih javnih i drugih usluga;

(c) 

druge središnje depozitorije vrijednosnih papira;

(d) 

druge tržišne infrastrukture;

(e) 

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja u području IKT-a.