VI. cím – Üzletmenetfolytonosság-menedzsment

A DORA-rendelet szerint alkalmazandó követelmények sérelme nélkül az eszközalapútoken-kibocsátóknak az (EU) 2023/1114 rendelet 34. cikkének (9) bekezdésével összhangban kidolgozott üzletmenet-folytonossági politika és tervek végrehajtásának részeként hatékony és eredményes, az üzletmenetfolytonosság-menedzsmentre vonatkozó, valamint – összhangban az eszközalapútoken-kibocsátó kockázatvállalási hajlandóságával és zavartűrésével – reagálási és helyreállítási terveket kell kidolgozniuk annak biztosítására, hogy képesek legyenek folyamatosan működni, kezelni tudják az olyan biztonsági eseményeket, amelyek megzavarhatják a kritikus műveletek végrehajtását, valamint súlyos üzleti zavarok esetén korlátozzák a veszteségeket és a szolgáltatásnyújtás zavarait. Az eszközalapútoken-kibocsátók az I. címben felsorolt arányossági kritériumok figyelembevételével létrehozhatnak egy külön, független üzletmenetfolytonossági funkciót ellátó egységet is.

Az eszközalapútoken- kibocsátók számos kritikus fontosságú erőforrásra támaszkodnak (pl. informatikai rendszerek, beleértve a felhőalapú szolgáltatásokat, kommunikációs rendszerek, kulcsfontosságú személyzet és épületek). Az üzletmenetfolytonosság-menedzsment az esetleges katasztrófából vagy az említett erőforrások hosszabb ideig tartó zavarából, és ebből következően az eszközalapútoken - kibocsátó szokásos üzletmenetének zavarából eredő működési, pénzügyi, jogi, reputációs és egyéb lényeges következmények eny hítése. Egyéb kockázatkezelési intézkedések az ilyen események valószínűségének csökkentését vagy a pénzügyi hatásuk harmadik felekre (pl. biztosítás segítségével) történő átruházását célozhatják meg.

A megbízható üzletmenetfolytonosság-menedzsment terv kidolgozásához az eszközalapútoken- kibocsátónak gondosan elemeznie kell a kockázati tényezőket és a súlyos üzletviteli fennakadásoknak való kitettségét, valamint belső és/vagy külső adatok és forgatókönyv- elemzés segítségével (mennyiségi és minőségi tekintetben egyaránt) értékelnie kell azok lehetséges hatásait. Ennek az elemzésnek meg kell vizsgálnia az eszközalapútoken-kibocsátónak azon képességét, hogy zavar esetén képes- e végrehajtani a kritikus művel eteket, és ki kell terjednie az összes üzletágra és belső szervezeti egységre, beleértve a kockázatkezelési funkciót ellátó egységet, illetve a kockázatkezelési eljárásokat is, és figyelembe kell vennie az azok között fennálló kölcsönös függőségeket is. Az elemzés eredményeinek elő kell segíteniük az eszközalapútoken- kibocsátó helyreállítási prioritásainak és célkitűzéseinek meghatározását.

A fent említett elemzés alapján az eszközalapútoken- kibocsátónak a következőket kell bevezetnie:

• a. vészhelyzeti és üzletmenetfolytonossági tervek, amelyek biztosítják, hogy az eszközalapútoken- kibocsátó megfelelően reagáljon a vészhelyzetekre, képes legyen végrehajtani a kritikus műveleteket, és meg tudja őrizni az alapvető adatokat szokásos üzletmenetének zavara esetén is;
• b. a kritikus erőforrásokra és a kritikus vagy fontos funkciókra vonatkozó helyreállítási tervek¹⁸ a zavarból való kilábalás, valamint annak lehetővé tétele érdekében, hogy az eszközalapútoken- kibocsátó megfelelő időkereten belül vissza tudjon térni szokásos üzletmenetéhez. A potenciális üzletviteli fennakadásokból fennmaradó kockázatoknak összhangban kell lenniük az eszközalapútoken-kibocsátó kockázatvállalási hajlandóságával.
• c. más tevékenységekre vonatkozóan, vagy ha a kritikus alapvető funkciók folyamatosságát nem lehet biztosítani, az eszközalapútoken-kibocsátóknak rendelkezniük kell az adatok és funkciók mielőbbi helyreállítását és tevékenységeik mielőbbi újraindítását célzó eljárásokkal.

A vészhelyzeti, üzletmenetfolytonossági és helyreállítási terveket dokumentálni kell, és gondosan végre kell hajtani. A dokumentációt a kockázatkezelési eljárásokért felelős munkatársak számára az üzletágakon, a belső szervezeti egységeken és a kockázatkez elési funkciót ellátó egységen belül elérhetővé kell tenni, valamint fizikailag elkülönített és vészhelyzet esetén könnyen hozzáférhető rendszerekben kell tárolni. Gondoskodni kell a megfelelő képzésekről. A terveket rendszeresen tesztelni és frissíteni ke ll. A tesztelés során előforduló kihívásokat vagy hibákat dokumentálni és elemezni kell, majd a terveket ennek megfelelően felül kell vizsgálni.