+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW Članak 24. 1.

Financijski subjekti u svoju politiku kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 1. Uredbe (EU) 2022/2554 uključuju sve sljedeće:

(a) 

opis:

i. 

ciljeva politike kontinuiteta poslovanja u području IKT-a, među ostalim međusobnog odnosa IKT-a i općeg kontinuiteta poslovanja, pri čemu se uzimaju u obzir rezultati analize učinka na poslovanje (BIA) iz članka 11. stavka 5. Uredbe (EU) 2022/2554;

ii. 

opsega aranžmana, planova, postupaka i mehanizama za kontinuitet poslovanja u području IKT-a, među ostalim ograničenja i izuzeća;

iii. 

vremenskog okvira aranžmana, planova, postupaka i mehanizama za kontinuitet poslovanja u području IKT-a;

iv. 

kriterija za aktiviranje i deaktiviranje planova kontinuiteta poslovanja u području IKT-a, planova odgovora i oporavka u području IKT-a i planova komunikacije u krizi;

(b) 

odredbe o:

i. 

upravljanju i organizaciji za provedbu politike kontinuiteta poslovanja u području IKT-a, što uključuje uloge, odgovornosti i postupke eskalacije kojima se osigurava dostupnost dostatnih resursa;

ii. 

usklađivanju planova kontinuiteta poslovanja u području IKT-a i općih planova kontinuiteta poslovanja, što se odnosi barem na sljedeće:

1. 

potencijalne scenarije prekida, među ostalim scenarije iz članka 26. stavka 2. ove Uredbe;

2. 

ciljeve oporavka, pri čemu financijski subjekt nakon poremećaja može unutar ciljnog vremena oporavka obnoviti svoje ključne ili važne funkcije na ciljnu točku oporavka;

iii. 

izradi planova kontinuiteta poslovanja u području IKT-a za znatne poremećaje u poslovanju u sklopu tih planova te određivanju prioriteta mjera za kontinuitet poslovanja u području IKT-a na temelju pristupa koji se temelji na procjeni rizika;

iv. 

izradi, testiranju i preispitivanju planova odgovora i oporavka u području IKT-a u skladu s člancima 25. i 26. ove Uredbe;

v. 

preispitivanju i djelotvornosti provedenih aranžmana, planova, postupaka i mehanizama za kontinuitet poslovanja u području IKT-a u skladu s člankom 26. ove Uredbe;

vi. 

usklađivanju politike kontinuiteta poslovanja u području IKT-a sa sljedećim:

1. 

komunikacijskom politikom iz članka 14. stavka 2. Uredbe (EU) 2022/2554;

2. 

komunikacijskim mjerama i komunikacijskim mjerama u krizi iz članka 11. stavka 2. točke (e) Uredbe (EU) 2022/2554.
EULAW Članak 24. 2.

Središnje druge ugovorne strane uz zahtjeve iz stavka 1. osiguravaju da njihova politika kontinuiteta poslovanja u području IKT-a:

(a) 

sadržava najdulje vrijeme oporavka ključnih funkcija koje nije dulje od dva sata;

(b) 

uzima u obzir vanjske povezanosti i međuovisnosti unutar financijskih infrastruktura, što uključuje mjesta trgovanja na kojima se poravnanje provodi putem središnje druge ugovorne strane, sustave namire vrijednosnih papira i platne sustave te kreditne institucije kojima se koristi središnja druga ugovorna strana ili povezana središnja druga ugovorna strana;

(c) 

zahtijeva uspostavu mehanizama za:

i. 

osiguranje kontinuiteta ključnih ili važnih funkcija središnje druge ugovorne strane na temelju scenarija katastrofe;

ii. 

održavanje sekundarnog mjesta za obradu kojim se može osigurati kontinuitet ključnih ili važnih funkcija središnje druge ugovorne strane jednak primarnome mjestu;

iii. 

održavanje sekundarnog poslovnog mjesta ili neposredan pristup tom mjestu kako bi osoblju moglo osigurati kontinuitet usluge ako primarno poslovno mjesto nije dostupno;

iv. 

razmatranje potrebe za dodatnim mjestima za obradu, posebno ako zbog različitosti profila rizičnosti primarnog i sekundarnog mjesta nije dovoljno pouzdano da će ciljevi kontinuiteta poslovanja središnje druge ugovorne strane biti ispunjeni u svim scenarijima.

Za potrebe točke (a) središnje druge ugovorne strane u svim okolnostima dovršavaju postupke i plaćanja na kraju dana u traženom roku i na traženi dan.

Za potrebe točke (c) podtočke i. aranžmanima iz te točke uređuju se barem raspoloživost odgovarajućih ljudskih resursa, najdulje vrijeme nefunkcioniranja ključnih funkcija te prijelaz na sekundarno mjesto i oporavak poslovanja na tome mjestu.

Za potrebe točke (c) podtočke ii. sekundarno mjesto za obradu iz te točke ima profil geografske rizičnosti koji je različit od onog primarnog mjesta.
EULAW Članak 24. 3.

Središnji depozitoriji vrijednosnih papira uz zahtjeve iz stavka 1. osiguravaju da se njihovom politikom kontinuiteta poslovanja u području IKT-a:

(a) 

uzima u obzir vanjske povezanosti i međuovisnosti s korisnicima, ključnim pružateljima službi i usluga, drugim središnjim depozitorijima vrijednosnih papira i drugim tržišnim infrastrukturama;

(b) 

zahtijeva da se aranžmanima za kontinuitet poslovanja u području IKT-a omogućuje ciljno vrijeme oporavka ključnih ili važnih funkcija koje nije dulje od dva sata.
EULAW Članak 24. 4.

Mjesta trgovanja uz zahtjeve iz stavka 1. osiguravaju da se njihovom politikom kontinuiteta poslovanja u području IKT-a jamči:

(a) 

da se trgovanje može nastaviti u roku od dva sata od incidenta koji uzrokuje poremećaj ili malo kasnije;

(b) 

da je najveća količina podataka koji se mogu izgubiti iz svake IT usluge mjesta trgovanja nakon incidenta koji uzrokuje poremećaj blizu nuli.
EULAW Članak 25. 1.
Financijski subjekti pri testiranju planova kontinuiteta poslovanja u području IKT-a u skladu s člankom 11. stavkom 6. Uredbe (EU) 2022/2554 uzimaju u obzir analizu učinka na poslovanje (BIA) i procjenu IKT rizika iz članka 3. stavka 1. točke (b) ove Uredbe.
EULAW Članak 25. 2.

Financijski subjekti testiranjem planova kontinuiteta poslovanja u području IKT-a iz stavka 1. procjenjuju mogu li osigurati kontinuitet svojih ključnih ili važnih funkcija. To testiranje:

(a) 

provodi se na temelju testnih scenarija kojima se simuliraju potencijalni poremećaji, a uključuju odgovarajući niz ozbiljnih, ali vjerojatnih scenarija;

(b) 

prema potrebi, uključuje testiranje IKT usluga koje pružaju treće strane pružatelji IKT usluga;

(c) 

za financijske subjekte osim mikropoduzeća, kako je navedeno u članku 11. stavku 6. drugom podstavku Uredbe (EU) 2022/2554, uključuje scenarije prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu;

(d) 

osmišljeno je radi preispitivanja pretpostavki na kojima se temelje planovi kontinuiteta poslovanja, među ostalim aranžmani za upravljanje i planovi komunikacije u krizi;

(e) 

uključuju postupke za provjeru sposobnosti osoblja financijskih subjekata, trećih strana pružatelja IKT usluga, IKT sustava i IKT usluga da primjereno odgovore na scenarije utvrđene u skladu s člankom 26. stavkom 2.

Za potrebe točke (a) financijski subjekti u testiranje uvijek uključuju scenarije koji su uzeti u obzir pri izradi planova kontinuiteta poslovanja.

Za potrebe točke (b) financijski subjekti, prema potrebi, uzimaju u obzir scenarije povezane s nesolventnosti ili prekidima trećih strana pružatelja IKT usluga ili političkim rizicima u jurisdikcijama u kojima se nalaze treće strane pružatelji IKT usluga.

Za potrebe točke (c) testiranjem se provjerava mogu li se barem ključne ili važne funkcije dovoljno dugo održati na odgovarajući način i može li se ponovno uspostaviti uobičajen rad.
EULAW Članak 25. 3.

Središnje druge ugovorne strane uz zahtjeve iz stavka 2. u testiranje planova kontinuiteta poslovanja u području IKT-a iz stavka 1. uključuju:

(a) 

članove sustava poravnanja;

(b) 

vanjske pružatelje usluga;

(c) 

relevantne institucije u financijskoj infrastrukturi s kojima središnje druge ugovorne strane imaju međuovisnosti utvrđene u politici kontinuiteta poslovanja.
EULAW Članak 25. 4.

Središnji depozitoriji vrijednosnih papira uz zahtjeve iz stavka 2. u testiranje planova kontinuiteta poslovanja u području IKT-a iz stavka 1. uključuju:

(a) 

korisnike središnjih depozitorija vrijednosnih papira;

(b) 

pružatelje ključnih javnih i drugih usluga;

(c) 

druge središnje depozitorije vrijednosnih papira;

(d) 

druge tržišne infrastrukture;

(e) 

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja.
EULAW Članak 25. 5.
Financijski subjekti dokumentiraju rezultate testiranja iz stavka 1. Svi nedostaci utvrđeni na temelju tog testiranja analiziraju se, otklanjaju i prijavljuju upravljačkom tijelu.
EULAW Članak 26. 1.

Financijski subjekti pri izradi planova odgovora i oporavka u području IKT-a iz članka 11. stavka 3. Uredbe (EU) 2022/2554 uzimaju u obzir rezultate svoje analize učinka na poslovanje (BIA). Ti planovi odgovora i oporavka u području IKT-a:

(a) 

uključuju opis uvjeta za njihovu aktivaciju ili deaktivaciju te sve iznimke povezane s tom aktivacijom i deaktivacijom;

(b) 

uključuju opis mjera koje se poduzimaju za osiguranje dostupnosti, cjelovitosti, kontinuiteta i oporavka barem IKT sustava i usluga kojima se podupiru ključne ili važne funkcije financijskog subjekta;

(c) 

osmišljeni su tako da se pomoću njih ostvaruju ciljevi oporavka operacija financijskih subjekata;

(d) 

dokumentiraju se i stavljaju na raspolaganje osoblju uključenom u izvršenje planova odgovora i oporavka u području IKT-a te su lako dostupni u hitnim slučajevima;

(e) 

uključuju mogućnosti kratkoročnog i dugoročnog oporavka, među ostalim djelomičan oporavak sustava;

(f) 

uključuju ciljeve planova odgovora i oporavka u području IKT-a te uvjete za utvrđivanje uspješnog izvršenja tih planova.

Za potrebe točke (d) financijski subjekti jasno određuju uloge i odgovornosti.
EULAW Članak 26. 2.

Planovima odgovora i oporavka u području IKT-a iz stavka 1. utvrđuju se relevantni scenariji, među ostalim scenariji znatnih poremećaja u poslovanju i povećane vjerojatnosti pojave poremećaja. U tim se planovima osmišljavaju scenariji na temelju aktualnih informacija o prijetnjama i iskustva stečenog tijekom prethodnih poremećaja poslovanja. Financijski subjekti uzimaju u obzir sve sljedeće scenarije:

(a) 

kibernetičke napade i prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu;

(b) 

scenarije u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće, pri čemu razmatraju mogući učinak nesolventnosti ili drugih oblika prekida relevantne treće strane pružatelja IKT usluga;

(c) 

djelomični ili potpuni prekid prostora, među ostalim ureda i poslovnih prostora te podatkovnih centara;

(d) 

znatan prekid IKT imovine ili komunikacijske infrastrukture;

(e) 

nedostupnost ključnog broja osoblja ili članova osoblja odgovornih za kontinuitet poslovanja;

(f) 

učinak klimatskih promjena i događaja povezanih s degradacijom okoliša, prirodnih katastrofa, pandemija i fizičkih napada, među ostalim neovlaštenih upada i terorističkih napada;

(g) 

unutarnje napade;

(h) 

političku i društvenu nestabilnost, među ostalim, prema potrebi, u jurisdikciji u kojoj se nalaze treća strana pružatelj IKT usluga te na lokaciji na kojoj se pohranjuju i obrađuju podaci;

(i) 

opsežne nestanke struje.
EULAW Članak 26. 3.
Ako primarne mjere oporavka nisu kratkoročno izvedive zbog troškova, rizika, logistike ili nepredviđenih okolnosti, u planovima odgovora i oporavka u području IKT-a iz stavka 1. razmatraju se alternativne mogućnosti.
EULAW Članak 26. 4.
Financijski subjekti u sklopu planova odgovora i oporavka u području IKT-a iz stavka 1. razmatraju i provode mjere kontinuiteta za ublažavanje prekida trećih strana pružatelja IKT usluga kojima se podupiru ključne ili važne funkcije financijskog subjekta.