+Članak 27. 2.

Članak 27. 2.

Financijski subjekti u izvješće iz stavka 1. uključuju sve sljedeće informacije:

(a) 

uvodni odjeljak u kojem se:

i. 

jasno utvrđuje identitet financijskog subjekta koji je predmet izvješća i, prema potrebi, opisuje struktura njegove grupe;

ii. 

opisuje kontekst izvješća u smislu prirode, opsega i složenosti usluga, aktivnosti i operacija financijskog subjekta, njegove organizacije, utvrđenih ključnih funkcija, strategije, velikih tekućih projekata ili aktivnosti, odnosa i njegove ovisnosti o unutarnjim i ugovornim IKT uslugama i sustavima ili posljedica koje bi potpun gubitak ili znatno oštećenje tih sustava imalo na ključne ili važne funkcije i učinkovitost tržišta;

iii. 

sažeto opisuju glavne promjene u okviru za upravljanje IKT rizicima u odnosu na prethodno podneseno izvješće;

iv. 

sažeto opisuju trenutačni i kratkoročni profil IKT rizičnosti, prirodu prijetnji, procijenjenu djelotvornost kontrola i sigurnosni položaj financijskog subjekta;

(b) 

datum na koji je upravljačko tijelo financijskog subjekta odobrilo izvješće;

(c) 

opis razloga za preispitivanje okvira za upravljanje IKT rizicima u skladu s člankom 6. stavkom 5. Uredbe (EU) 2022/2554;

(d) 

datum početka i završetka razdoblja preispitivanja;

(e) 

funkciju odgovornu za preispitivanje;

(f) 

opis glavnih promjena i unaprjeđenja okvira za upravljanje IKT rizicima od prethodnog preispitivanja;

(g) 

sažetak nalaza preispitivanja te detaljnu analizu i procjenu ozbiljnosti slabosti, nedostataka i odstupanja u okviru za upravljanje IKT rizicima tijekom razdoblja preispitivanja;

(h) 

opis mjera za otklanjanje utvrđenih slabosti, nedostataka i odstupanja, što uključuje sve sljedeće:

i. 

sažetak mjera poduzetih kako bi se otklonile utvrđene slabosti, nedostaci i odstupanja;

ii. 

očekivani datum provedbe mjera i datume povezane s unutarnjom kontrolom provedbe, što uključuje informacije o napretku provedbe tih mjera na datum izrade nacrta izvješća uz obrazloženje, prema potrebi, postoji li rizik od nepoštivanja rokova;

iii. 

alate koji se upotrebljavaju i utvrđivanje funkcija odgovornih za provedbu mjera, što uključuje pojedinosti o tome radi li se o unutarnjim ili vanjskim alatima i funkcijama;

iv. 

opis učinka promjena predviđenih u sklopu mjera na proračunske, ljudske i materijalne resurse financijskog subjekta, među ostalim resurse namijenjene za provedbu korektivnih mjera;

v. 

informacije o procesu za informiranje nadležnog tijela, prema potrebi;

vi. 

ako utvrđene slabosti, nedostaci ili odstupanja nisu podložni korektivnim mjerama, detaljno obrazloženje kriterija upotrijebljenih za analizu učinka tih slabosti, nedostataka ili odstupanja kako bi se procijenio povezani preostali IKT rizik te učinka kriterija upotrijebljenih za prihvaćanje povezanog preostalog rizika;

(i) 

informacije o planiranoj daljnjoj razradi okvira za upravljanje IKT rizicima;

(j) 

zaključke iz preispitivanja okvira za upravljanje IKT rizicima;

(k) 

informacije o prošlim preispitivanjima, među ostalim:

i. 

popis prošlih preispitivanja;

ii. 

prema potrebi, stanje provedbe korektivnih mjera utvrđenih u prethodnom izvješću;

iii. 

ako se pokazalo da predložene korektivne mjere iz prošlih preispitivanja nisu djelotvorne ili su dovele do neočekivanih poteškoća, opis načina na kojim bi se te korektivne mjere mogle poboljšati ili opis tih neočekivanih poteškoća;

(l) 

izvore informacija upotrijebljenih za pripremu izvješća, među ostalim:

i. 

za financijske subjekte osim mikropoduzeća, kako je navedeno u članku 6. stavku 6. Uredbe (EU) 2022/2554, rezultate unutarnjih revizija;

ii. 

rezultate procjena usklađenosti;

iii. 

rezultate testiranja digitalne operativne otpornosti i, prema potrebi, rezultate naprednog testiranja IKT alata, sustava i procesa putem penetracijskog testiranja vođenog prijetnjama (TLPT);

iv. 

vanjske izvore.

Za potrebe točke (c), ako je preispitivanje pokrenuto na temelju uputa nadzornog tijela ili zaključaka iz relevantnog testiranja operativne otpornosti ili revizijskih procesa, izvješće sadržava izričita upućivanja na te upute ili zaključke kako bi se mogao utvrditi razlog za pokretanje preispitivanja. Ako je preispitivanje pokrenuto zbog IKT incidenata, izvješće sadržava popis svih IKT incidenata i analizu temeljnih uzroka incidenata.

Za potrebe točke (f) opis sadržava analizu učinka promjena na strategiju za digitalnu operativnu otpornost financijskog subjekta, na okvir unutarnje kontrole IKT-a financijskog subjekta i na upravljanje IKT rizicima financijskog subjekta.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi