+Incident Management Process

Incident Management Process

Implement an incident management process to detect, manage, and report ICT incidents. This includes incident response procedures to mitigate impacts and ensure timely restoration of services. Assign specific roles and responsibilities for various incident scenarios. Also, establish a list of contacts with internal functions and external stakeholders that are directly involved in ICT operations security, including on detection and monitoring cyber threats, detection of anomalous activities and vulnerability management. Establish early warning indicators for potential incidents and incident triggers upon the occurance of malicious activity, data losses, adverse impact detected on financial entity's transactions and operations, systems and network unavailability, problems reported by users of the financial entity, and incident notifications from an third-party service provider detected in the systems and networks of the third-party service provider and which may affect the financial entity. Identify, document, and address incident root causes. Conduct post-ICT-related incident reviews after major disruptions. Analyze causes, evaluate response promptness and quality, and assess incident escalation and communication effectiveness.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 13. cikk (2)
A pénzügyi szervezetek az alaptevékenységeiket megzavaró, jelentős IKT-vonatkozású incidenseket követően elvégzik az IKT-vonatkozású incidensek utólagos felülvizsgálatát, elemezve a zavar okait, és azonosítva az IKT- műveletekben vagy a 11. cikkben említett IKT-üzletmenetfolytonossági politikában teendő szükséges javításokat.

A mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek kérésre tájékoztatniuk kell az illetékes hatóságokat az IKT-vonatkozású incidensek első albekezdésben említett utólagos felülvizsgálatát követően végrehajtott változásokról.

Az IKT-vonatkozású incidensek első albekezdésben említett utólagos felülvizsgálata keretében meg kell állapítani, hogy a kialakított eljárásokat követték-e, és a megtett intézkedések eredményesek voltak-e többek között a következők vonatkozásában:

a) 

a biztonsági riasztásokra való reagálásnak, valamint az IKT-vonatkozású incidensek hatása és súlyossága megállapításának a gyorsasága;

b) 

adott esetben az igazságügyi szakértői elemzés elvégzésének minősége és sebessége;

c) 

a pénzügyi szervezeten belüli incidens-eszkaláció eredményessége;

d) 

a belső és külső kommunikáció eredményessége.
EULAW 14. cikk (3)
A pénzügyi szervezeten belül legalább egy személyt meg kell bízni az IKT-vonatkozású incidensekre vonatkozó kommunikációs stratégia végrehajtásával, akinek e célból a nyilvánossággal és a médiával kapcsolatos feladatot is el kell látnia.
EULAW 17. cikk (1)
A pénzügyi szervezeteknek meg kell határozniuk, ki kell alakítaniuk és végre kell hajtaniuk az IKT-vonatkozású incidensek észlelésére, kezelésére és bejelentésére szolgáló folyamatot.
EULAW 17. cikk (2)
A pénzügyi szervezetek nyilvántartanak valamennyi IKT-vonatkozású incidenst és jelentős kiberfenyegetést. A pénzügyi szervezetek megfelelő eljárásokat és folyamatokat alakítanak ki, hogy biztosítsák az IKT-vonatkozású incidensek következetes és integrált monitorozását, kezelését és utókövetését, biztosítsák a kiváltó okok azonosítását, dokumentálását és kezelését az ilyen incidensek előfordulásának megelőzése érdekében.
EULAW 17. cikk (3)

Az IKT-vonatkozású incidensek (1) bekezdésben említett kezelési folyamata keretében:

a) 

korai előrejelző mutatókat kell bevezetni;

b) 

a 18. cikk (1) bekezdésében meghatározott kritériumok alapján meg kell határozni az IKT-vonatkozású incidensek azonosítását, nyomon követését, naplózását, kategorizálását és osztályozását biztosító, azok prioritásának és súlyosságának megfelelő, és az érintett szolgáltatások kritikusságának megfelelő eljárásokat;

c) 

ki kell jelölni azon szerep- és felelősségi köröket, amelyeket az IKT-vonatkozású incidensek egyes típusai és forgatókönyvei tekintetében aktiválni kell;

d) 

meg kell határozni a személyzettel, a külső érdekelt felekkel és a médiával a 14. cikkel összhangban folytatott kommunikációra, az ügyfelek értesítésére, a belső eszkalációs eljárásokra – ideértve az IKT-vonatkozású ügyfélpanaszok kezelését is –, továbbá adott esetben a partner pénzügyi szervezetek tájékoztatására vonatkozó terveket;

e) 

biztosítani kell, hogy legalább a jelentős IKT-vonatkozású incidenseket bejelentik a releváns felső vezetésnek, és tájékoztatni kell a vezető testületet legalább a jelentős IKT-vonatkozású incidensekről, ismertetve az ilyen IKT-vonatkozású incidensek eredményeként megállapítandó hatást, reagálást és további kontrollokat;

f) 

meg kell határozni az IKT-vonatkozású incidensekre való reagálást célzó eljárásokat a hatások enyhítése, valamint annak biztosítása érdekében, hogy a szolgáltatások mielőbb működőképessé és biztonságossá váljanak.
EULAW 19. cikk (1)
A pénzügyi szervezeteknek a jelentős IKT-vonatkozású incidenseket az e cikk (4) bekezdésével összhangban be kell jelenteniük a 46. cikkben említett releváns illetékes hatóságnak.

Amennyiben egy pénzügyi szervezet a 46. cikkben említett illetékes nemzeti hatóságok közül egynél több felügyelete alá tartozik, a tagállamok egyetlen illetékes hatóságot jelölnek ki az e cikkben előírt funkciók és kötelezettségek végrehajtásáért felelős releváns illetékes hatóságként.

Az 1024/2013/EU rendelet 6. cikkének (4) bekezdésével összhangban jelentősnek minősített hitelintézetek bejelentik a jelentős IKT-vonatkozású incidenseket a 2013/36/EU irányelv 4. cikkével összhangban kijelölt releváns illetékes nemzeti hatóságnak, amely haladéktalanul továbbítja az említett jelentést az EKB-nak.

Az első albekezdés alkalmazásában a pénzügyi szervezeteknek a releváns információk összegyűjtését és elemzését követően a 20. cikkben említett sablonok felhasználásával el kell készíteniük az e cikk (4) bekezdésében említett kezdeti értesítést és jelentéseket, és be kell nyújtaniuk azokat az illetékes hatóságnak. Abban az esetben, ha technikai okokból lehetetlen a kezdeti értesítés mintadokumentum használatával történő benyújtása, a pénzügyi szervezeteknek alternatív módon kell értesíteniük arról az illetékes hatóságot.

A (4) bekezdésben említett kezdeti értesítésnek és jelentéseknek tartalmazniuk kell minden olyan információt, amelyre az illetékes hatóságnak szüksége van a jelentős IKT-vonatkozású incidens jelentőségének megállapításához és esteleges határokon átnyúló hatásainak értékeléséhez.

A pénzügyi szervezet által a releváns illetékes hatóság felé történő, az első albekezdés alapján történő bejelentés sérelme nélkül a tagállamok megállapíthatják továbbá, hogy a pénzügyi szervezetek egy részének vagy mindegyikének az e cikk (4) bekezdésében említett kezdeti értesítést és minden egyes jelentést be kell nyújtaniuk a 20. cikkben említett sablonok felhasználásával az (EU) 2022/2555 irányelvvel összhangban kijelölt vagy létrehozott illetékes hatóságoknak vagy számítógép-biztonsági incidensekre reagáló csoportoknak (CSIRT-ek) is.
EULAW 19. cikk (2)
A pénzügyi szervezetek önkéntes alapon értesíthetik a releváns illetékes hatóságot a jelentős kiberfenyegetésekről, amennyiben úgy ítélik meg, hogy a fenyegetés relevanciával bír a pénzügyi rendszer, a szolgáltatás igénybevevői vagy az ügyfelek számára. A releváns illetékes hatóság átadhatja az ilyen információkat a (6) bekezdésben említett egyéb releváns hatóságoknak.

Az 1024/2013/EU rendelet 6. cikkének (4) bekezdésével összhangban jelentősnek minősített hitelintézetek önkéntes alapon értesíthetik a jelentős kiberfenyegetésekről a 2013/36/EU irányelv 4. cikkével összhangban kijelölt, releváns illetékes nemzeti hatóságot, amelynek haladéktalanul továbbítania kell az értesítést az EKB-nak.

A tagállamok dönthetnek úgy, hogy azon pénzügyi szervezetek, amelyek az első albekezdéssel összhangban önkéntes alapon értesítést küldenek, az említett értesítést az (EU) 2022/2555 irányelvvel összhangban kijelölt vagy létrehozott CSIRT-eknek is továbbíthatják.
EULAW 19. cikk (3)
Amennyiben jelentős IKT-vonatkozású incidens következik be, és hatással van az ügyfelek pénzügyi érdekeire, a pénzügyi szervezeteknek – amint azt észlelik – indokolatlan késedelem nélkül tájékoztatniuk kell az ügyfeleiket a jelentős IKT-vonatkozású incidensről és az ilyen incidens káros hatásainak enyhítésére tett intézkedésekről.

Jelentős kiberfenyegetés esetén a pénzügyi szervezeteknek adott esetben tájékoztatniuk kell a potenciálisan érintett ügyfeleiket minden olyan megfelelő védelmi intézkedésről, amelyek meghozatalát az utóbbiak mérlegelhetik.
EULAW 19. cikk (4)

A pénzügyi szervezeteknek a 20. cikk első bekezdése a) pontjának ii. alpontjával összhangban megállapítandó határidőkön belül be kell nyújtaniuk a releváns illetékes hatóságnak a következőket:

a) 

kezdeti értesítés;

b) 

időközi jelentés az a) pontban említett kezdeti értesítést követően, amint az eredeti incidens állapota jelentősen megváltozik, vagy a jelentős IKT-vonatkozású incidens kezelése a rendelkezésre álló új információk alapján módosul, amelyet adott esetben aktualizált bejelentéseknek kell követniük minden olyan alkalommal, amikor releváns állapotfrissítés áll rendelkezésre, valamint az illetékes hatóság külön kérésére;

c) 

zárójelentés, amikor lezárult a kiváltó okok elemzése, függetlenül attól, hogy enyhítő intézkedések végrehajtására sor került-e már, és amikor rendelkezésre állnak a hatással kapcsolatban a becslések helyettesítésére alkalmas tényadatok.
EULAW 19. cikk (5)
A pénzügyi szervezetek az uniós és nemzeti ágazati jogszabályokkal összhangban kiszervezhetik az e cikk szerinti bejelentési kötelezettségeket harmadik fél szolgáltatónak. Az ilyen kiszervezés esetén a pénzügyi szervezet továbbra is teljes felelősséggel tartozik az incidensbejelentési követelmények teljesítéséért.
EULAW 22. cikk IKT-vonatkozású események kezelésére vonatkozó szabályzat

22. cikk

IKT-vonatkozású események kezelésére vonatkozó szabályzat

A rendellenes tevékenységek – többek között az IKT-hálózat teljesítményével kapcsolatos problémák és az IKT-vonatkozású események – észlelésére szolgáló mechanizmusok részeként a pénzügyi szervezetek kidolgozzák, dokumentálják és végrehajtják az IKT-vonatkozású eseményekre vonatkozó szabályzatot, amelyen keresztül:

a) 

dokumentálják az IKT-vonatkozású események (EU) 2022/2554 rendelet 17. cikkében említett kezelési folyamatát;

b) 

összeállítják a releváns kapcsolatoknak az IKT-műveletek biztonságában közvetlenül érintett belső funkciókat és külső érdekelt feleket tartalmazó jegyzékét, beleértve a következőket:

i. 

a kiberfenyegetések észlelése és nyomon követése;

ii. 

a rendellenes tevékenységek észlelése;

iii. 

változásmenedzsment;

c) 

technikai, szervezeti és működési mechanizmusokat hoznak létre, hajtanak végre és működtetnek az IKT-vonatkozású események kezelési folyamatának támogatása érdekében, beleértve azokat a mechanizmusokat is, amelyek lehetővé teszik a rendellenes tevékenységek és magatartásformák azonnali észlelését e rendelet 23. cikkével összhangban;

d) 

►C1  az (EU) 2024/1772 felhatalmazáson alapuló bizottsági rendelet ( 2 ) 8. cikkének (2) bekezdésével és az uniós jog szerinti bármely alkalmazandó megőrzési követelménnyel összhangban megőrzik az IKT-vonatkozású eseményekkel kapcsolatos valamennyi bizonyítékot az adatgyűjtés céljaihoz szükségesnél nem hosszabb ideig, az érintett üzleti funkciók, támogató folyamatok, valamint IKT-eszközök és információs vagyonelemek kritikusságával arányosan; ◄

e) 

mechanizmusokat hoznak létre és hajtanak végre a jelentős vagy ismétlődő IKT-vonatkozású események, valamint az IKT-vonatkozású események számában és előfordulásában fellelhető minták elemzésére.

A d) pont alkalmazásában a pénzügyi szervezetek biztonságos módon őrzik a hivatkozott pontban említett bizonyítékokat.
EULAW Article 23 1.
Financial entities shall set clear roles and responsibilities to effectively detect and respond to ICT-related incidents and anomalous activities.
EULAW Article 23 5.

Financial entities shall consider all of the following criteria to trigger the ICT-related incident detection and response processes referred to in Article 10(2) of Regulation (EU) 2022/2554:

(a) 

indications that malicious activity may have been carried out in an ICT system or network, or that such ICT system or network may have been compromised;

(b) 

data losses detected in relation to the availability, authenticity, integrity, and confidentiality of data;

(c) 

adverse impact detected on financial entity’s transactions and operations;

(d) 

ICT systems’ and network unavailability.