+Incident Classification Criteria

Incident Classification Criteria

Classify ICT-related incidents based on their impact using the following criteria: number of clients/customers or financial counterparts affected, number of transactions affected, reputational damage, duration of the incident and downtime of services, geographical spread of the incident, data loss in relation to the CIA-triad, criticality of the services affected, and the overall economic impact of the incident.

An incident is considered major if (1) any malicious unauthorised access to network and information systems is identified, which may result to data losses or (2) the thresholds of two additional criteria are met (refer to the DORA RTS IM (Major Incidents) sheet for the thresholds). Also, take into account recurring incidents, where recurring incidents are considered major when (1) the incidents have occurred at least twice within 6 months, (2) the incidents have the same apparent root cause, (3) the incidents collectively categorise as a major incident.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 18. cikk (1)

A pénzügyi szervezeteknek a következő kritériumok alapján kell osztályozniuk az IKT-vonatkozású incidenseket, és megállapítaniuk azok hatását:

a) 

az IKT-vonatkozású incidens által érintett ügyfelek vagy pénzügyi partnerek száma és/vagy relevanciája, és – adott esetben – az érintett tranzakciók mennyisége vagy száma, valamint az, hogy az IKT-vonatkozású incidensnek van-e a hírnevet érintő hatása;

b) 

az IKT-vonatkozású incidens időtartama, beleértve a leállási időt is;

c) 

az IKT-vonatkozású incidens földrajzi kiterjedése az érintett területek vonatkozásában, különösen, ha az több mint két tagállamot érint;

d) 

az IKT-vonatkozású incidenssel járó adatvesztések az adatok rendelkezésre állásához, hitelességéhez, integritásához vagy bizalmas jellegéhez kapcsolódóan;

e) 

az érintett szolgáltatások kritikussága, beleértve a pénzügyi szervezet ügyleteit és működését is;

f) 

az IKT-vonatkozású incidens gazdasági hatása – ideértve különösen a közvetlen és közvetett költségeket és veszteségeket – abszolút és relatív értelemben egyaránt.
EULAW 18. cikk (2)
A pénzügyi szervezetek a kiberfenyegetéseket jelentősnek minősítik a kockázatnak kitett szolgáltatások kritikussága alapján, ideértve a pénzügyi szervezet ügyleteit és műveleteit, a megcélzott ügyfelek vagy pénzügyi partnerek számát és/vagy relevanciáját, valamint a kockázatnak kitett területek földrajzi eloszlását.
EULAW 45. cikk (1)

A pénzügyi szervezetek kiberfenyegetésekkel kapcsolatban többek között az illetéktelen hozzáférésre utaló körülményekre, taktikákra, módszerekre, eljárásokra, kiberbiztonsági riasztásokra és konfigurációs eszközökre is kiterjedő információkat és hírszerzést oszthatnak meg egymással, amennyiben az ilyen információ- és hírszerzés-megosztás:

a) 

arra irányul, hogy a pénzügyi szervezetek javíthassák digitális működési rezilienciájukat, különösen a kiberfenyegetésekkel kapcsolatos tudatosság növelésével, a kiberfenyegetések terjedési képességének korlátozásával vagy megakadályozásával, a védelmi képességek, a fenyegetésészlelési módszerek, a mérséklési stratégiák vagy a reagálási és helyreállítási megoldások támogatásával;

b) 

pénzügyi szervezetek megbízható közösségein belül történik;

c) 

olyan információmegosztási megállapodások keretében történik, amelyek védik a megosztott információk esetlegesen érzékeny jellegét, és amelyek irányadó magatartási szabályai biztosítják az üzleti titoktartás, a személyes adatoknak az (EU) 2016/679 rendelettel összhangban történő védelme, valamint a versenypolitikára vonatkozó iránymutatások maradéktalan betartását.
EULAW 45. cikk (2)
Az (1) bekezdés c) pontjának alkalmazásában az információmegosztási megállapodásoknak meg kell határozniuk a részvétel feltételeit, valamint adott esetben rögzíteniük kell a hatóságok bevonásának részleteit és azt, hogy azok milyen minőségben kapcsolódhatnak az információmegosztási megállapodásokhoz, a harmadik fél IKT-szolgáltatók bevonásának részleteit és a működési elemeket, ideértve a célzott informatikai platformok alkalmazását.
EULAW 45. cikk (3)
A pénzügyi szervezeteknek értesíteniük kell az illetékes hatóságokat az (1) bekezdésben említett információmegosztási megállapodásban való részvételükről a tagságuk érvényesítésekor, vagy adott esetben a tagságuk megszűnéséről annak hatálybalépésekor.