+33. cikk A vezető felvigyázó feladatai
---+33. cikk (1)
---+33. cikk (2)
---+33. cikk (3)
---+33. cikk (4)
---+33. cikk (5)

33. cikk A vezető felvigyázó feladatai

1. Áttekintés

,
33. cikk (1)
A 31. cikk (1) bekezdésének b) pontjával összhangban kijelölt vezető felvigyázó elvégzi a kijelölt, kritikus harmadik fél IKT-szolgáltatók felvigyázását, és a felvigyázással kapcsolatos valamennyi kérdés céljából elsődleges kapcsolattartóként áll az említett kritikus harmadik fél IKT-szolgáltatók rendelkezésére.
33. cikk (2)
Az (1) bekezdés alkalmazásában a vezető felvigyázónak értékelnie kell, hogy a kritikus harmadik fél IKT-szolgáltatók mindegyike rendelkezik-e átfogó, megbízható és hatékony szabályokkal, eljárásokkal, mechanizmusokkal és intézkedésekkel azon tőle eredő IKT-kockázat kezeléséhez, amellyel a pénzügyi szervezetek szembesülhetnek.

Az első albekezdésben említett értékelésnek a kritikus harmadik fél IKT-szolgáltató által nyújtott IKT-szolgáltatások közül elsősorban a pénzügyi szervezetek kritikus vagy fontos funkcióit támogató szolgáltatásokra kell összpontosítania. Amennyiben az valamennyi releváns kockázat kezeléséhez szükséges, az említett értékelésnek ki kell terjednie a kritikus vagy fontos funkcióktól eltérő funkciókat támogató IKT-szolgáltatásokra is.
33. cikk (3)

A (2) bekezdésben említett értékelésnek ki kell terjednie a következőkre:

a) 

IKT-vonatkozású követelmények, hogy biztosítsák különösen azon szolgáltatások biztonságát, rendelkezésre állását, folytonosságát, skálázhatóságát és minőségét, amelyeket a kritikus harmadik fél IKT-szolgáltató nyújt pénzügyi szervezeteknek, valamint az adatok rendelkezésre állására, hitelességére, integritására vagy bizalmas jellegére vonatkozó magas szintű normák mindenkori fenntartásának képességét;

b) 

az IKT-biztonság biztosítását elősegítő fizikai biztonság, ezen belül a telephelyek, létesítmények, adatközpontok biztonsága;

c) 

a kockázatkezelési folyamatok, ezen belül az IKT-kockázatkezelési szabályzatok, az IKT-üzletmenetfolytonossági politika, valamint az IKT-reagálási és -helyreállítási tervek;

d) 

az irányítási rendszer, ezen belül az olyan szervezeti felépítés, amelyben az egyértelmű, átlátható és következetes felelősségi körök és elszámoltathatósági szabályok lehetővé teszik az eredményes IKT-kockázatkezelést;

e) 

a pénzügyi szervezeteket érő lényeges IKT-vonatkozású incidensek azonosítása, nyomon követése és haladéktalan bejelentése, valamint az említett incidensek – különösen a kibertámadások – kezelése és elhárítása;

f) 

az adathordozhatóságot, valamint az alkalmazások hordozhatóságát és kölcsönös átjárhatóságát biztosító mechanizmusok, amelyek biztosítják a pénzügyi szervezetek számára a felmondási jogok tényleges gyakorlását;

g) 

az IKT-rendszerek, -infrastruktúrák és -kontrollok tesztelése;

h) 

az IKT-auditok;

i) 

a pénzügyi szervezetek részére nyújtott IKT-szolgáltatásokra alkalmazandó releváns nemzeti és nemzetközi szabványok használata.
33. cikk (4)
A (2) bekezdésben említett értékelés alapján és a 34. cikk (1) bekezdésében említett közös felvigyázási hálózattal (KFH) koordinálva, a vezető felvigyázónak egyértelmű, részletes és indokolással ellátott egyéni felvigyázási tervet kell elfogadnia, amelyben az egyes kritikus harmadik fél IKT-szolgáltatók számára kitűzött éves felvigyázási célok és tervezett főbb felvigyázási intézkedések szerepelnek. A tervről évente értesíteni kell a kritikus harmadik fél IKT-szolgáltatót.

A felvigyázási terv elfogadása előtt a vezető felvigyázónak ismertetnie kell a felvigyázásiterv-javaslatot a kritikus harmadik fél IKT-szolgáltatóval.

A felvigyázásiterv-javaslat kézhezvételét követően a kritikus harmadik fél IKT-szolgáltató 15 naptári napon belül indokolással ellátott nyilatkozatot nyújthat be, amelyben igazolja az e rendelet hatályán kívül eső ügyfelekre gyakorolt várható hatást, és adott esetben kockázatcsökkentő megoldásokat mutat be.
33. cikk (5)
A (4) bekezdésben említett éves felvigyázási tervek elfogadását és arról a kritikus harmadik fél IKT-szolgáltatók értesítését követően az illetékes hatóságok csak a vezető felvigyázó egyetértésével hozhatnak az ilyen kritikus harmadik fél IKT-szolgáltatókra vonatkozó intézkedéseket.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok