+Članak 11. 2.

Članak 11. 2.

Postupak za sigurnost podataka i sustava iz stavka 1. sadržava sve sljedeće elemente povezane sa sigurnosti podataka i IKT sustavâ u skladu s klasifikacijom iz članka 8. stavka 1. Uredbe (EU) 2022/2554:

(a) 

ograničenja pristupa iz članka 21. ove Uredbe, kojima se podupiru zahtjevi za zaštitu za svaku razinu klasifikacije;

(b) 

utvrđivanje polazne sigurne konfiguracije za IKT imovinu kojom se izloženost te IKT imovine kiberprijetnjama svodi na najmanju moguću mjeru i mjera za redovitu provjeru toga jesu li te polazne konfiguracije djelotvorno provedene;

(c) 

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se u IKT sustave i na krajnje uređaje instalira samo ovlašteni softver;

(d) 

utvrđivanje sigurnosnih mjera protiv zlonamjernih kodova;

(e) 

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se za prijenos i pohranu podataka financijskog subjekta upotrebljavaju samo ovlašteni mediji za pohranu podataka, sustavi i krajnji uređaji;

(f) 

sljedeće zahtjeve za sigurnu upotrebu prijenosnih krajnjih uređaja i privatnih neprijenosnih krajnjih uređaja:

i. 

zahtjev za upotrebu rješenja za upravljanje za daljinsko upravljanje krajnjim uređajima i daljinsko brisanje podataka financijskog subjekta;

ii. 

zahtjev za upotrebu sigurnosnih mehanizama koje članovi osoblja ili treće strane pružatelji IKT usluga ne mogu na neovlašteni način promijeniti, ukloniti ili premostiti;

iii. 

zahtjev za upotrebu prijenosnih uređaja za pohranu podataka samo ako unutar razine tolerancije financijskog subjekta na rizik postoji preostali IKT rizik iz članka 3. prvog stavka točke (a);

(g) 

proces za sigurno brisanje podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koje financijski subjekt više ne treba prikupljati ili pohranjivati;

(h) 

proces za sigurno odlaganje ili stavljanje izvan funkcije uređaja za pohranu podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koji sadržavaju povjerljive informacije;

(i) 

utvrđivanje i provedbu sigurnosnih mjera za sprječavanje gubitka i curenja podataka za sustave i krajnje uređaje;

(j) 

provedbu sigurnosnih mjera kako rad na daljinu i upotreba privatnih krajnjih uređaja ne bi negativno utjecali na sigurnost IKT-a financijskog subjekta;

(k) 

za IKT imovinu ili usluge kojima upravlja treća strana pružatelj IKT usluga, utvrđivanje i provedbu zahtjeva za održavanje digitalne operativne otpornosti u skladu s rezultatima klasifikacije podataka i procjene IKT rizika.

Za potrebe točke (b) za polaznu sigurnu konfiguraciju iz te točke uzimaju se u obzir vodeće prakse i primjerene tehnike utvrđene u standardima iz članka 2. točke 1. Uredbe (EU) br. 1025/2012.

Za potrebe točke (k) financijski subjekti razmatraju sljedeće:

(a) 

primjenu postavki koje preporučuje dobavljač na elementima kojima upravlja financijski subjekt;

(b) 

jasnu raspodjelu uloga i odgovornosti za informacijsku sigurnost između financijskog subjekta i treće strane pružatelja IKT usluga u skladu s načelom potpune odgovornosti financijskog subjekta za treću stranu pružatelja IKT usluga iz članka 28. stavka 1. točke (a) Uredbe (EU) 2022/2554 i za financijske subjekte iz članka 28. stavka 2. te uredbe i u skladu s politikom financijskog subjekta o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije;

(c) 

nužnost pružanja i održavanja odgovarajućih kompetencija unutar financijskog subjekta za upravljanje uslugom koja se upotrebljava i njezinu sigurnost;

(d) 

tehničke i organizacijske mjere za smanjenje rizika povezanih s infrastrukturom koju treća strana pružatelj IKT usluga upotrebljava za svoje IKT usluge, uzimajući u obzir vodeće prakse i standarde utvrđene u članku 2. točki 1. Uredbe (EU) br. 1025/2012.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi