+Incident Tracking

Incident Tracking

Develop procedures to identify, track, log, categorize, and classify ICT-related incidents based on priority, severity, and criticality of impacted services. Maintain records of all ICT-related incidents and significant cyber threats. Implement a monitoring process to track incidents and cyber threats.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 13. cikk (2)
A pénzügyi szervezetek az alaptevékenységeiket megzavaró, jelentős IKT-vonatkozású incidenseket követően elvégzik az IKT-vonatkozású incidensek utólagos felülvizsgálatát, elemezve a zavar okait, és azonosítva az IKT- műveletekben vagy a 11. cikkben említett IKT-üzletmenetfolytonossági politikában teendő szükséges javításokat.

A mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek kérésre tájékoztatniuk kell az illetékes hatóságokat az IKT-vonatkozású incidensek első albekezdésben említett utólagos felülvizsgálatát követően végrehajtott változásokról.

Az IKT-vonatkozású incidensek első albekezdésben említett utólagos felülvizsgálata keretében meg kell állapítani, hogy a kialakított eljárásokat követték-e, és a megtett intézkedések eredményesek voltak-e többek között a következők vonatkozásában:

a) 

a biztonsági riasztásokra való reagálásnak, valamint az IKT-vonatkozású incidensek hatása és súlyossága megállapításának a gyorsasága;

b) 

adott esetben az igazságügyi szakértői elemzés elvégzésének minősége és sebessége;

c) 

a pénzügyi szervezeten belüli incidens-eszkaláció eredményessége;

d) 

a belső és külső kommunikáció eredményessége.
EULAW 14. cikk (3)
A pénzügyi szervezeten belül legalább egy személyt meg kell bízni az IKT-vonatkozású incidensekre vonatkozó kommunikációs stratégia végrehajtásával, akinek e célból a nyilvánossággal és a médiával kapcsolatos feladatot is el kell látnia.
EULAW 17. cikk (1)
A pénzügyi szervezeteknek meg kell határozniuk, ki kell alakítaniuk és végre kell hajtaniuk az IKT-vonatkozású incidensek észlelésére, kezelésére és bejelentésére szolgáló folyamatot.
EULAW 17. cikk (2)
A pénzügyi szervezetek nyilvántartanak valamennyi IKT-vonatkozású incidenst és jelentős kiberfenyegetést. A pénzügyi szervezetek megfelelő eljárásokat és folyamatokat alakítanak ki, hogy biztosítsák az IKT-vonatkozású incidensek következetes és integrált monitorozását, kezelését és utókövetését, biztosítsák a kiváltó okok azonosítását, dokumentálását és kezelését az ilyen incidensek előfordulásának megelőzése érdekében.
EULAW 17. cikk (3)

Az IKT-vonatkozású incidensek (1) bekezdésben említett kezelési folyamata keretében:

a) 

korai előrejelző mutatókat kell bevezetni;

b) 

a 18. cikk (1) bekezdésében meghatározott kritériumok alapján meg kell határozni az IKT-vonatkozású incidensek azonosítását, nyomon követését, naplózását, kategorizálását és osztályozását biztosító, azok prioritásának és súlyosságának megfelelő, és az érintett szolgáltatások kritikusságának megfelelő eljárásokat;

c) 

ki kell jelölni azon szerep- és felelősségi köröket, amelyeket az IKT-vonatkozású incidensek egyes típusai és forgatókönyvei tekintetében aktiválni kell;

d) 

meg kell határozni a személyzettel, a külső érdekelt felekkel és a médiával a 14. cikkel összhangban folytatott kommunikációra, az ügyfelek értesítésére, a belső eszkalációs eljárásokra – ideértve az IKT-vonatkozású ügyfélpanaszok kezelését is –, továbbá adott esetben a partner pénzügyi szervezetek tájékoztatására vonatkozó terveket;

e) 

biztosítani kell, hogy legalább a jelentős IKT-vonatkozású incidenseket bejelentik a releváns felső vezetésnek, és tájékoztatni kell a vezető testületet legalább a jelentős IKT-vonatkozású incidensekről, ismertetve az ilyen IKT-vonatkozású incidensek eredményeként megállapítandó hatást, reagálást és további kontrollokat;

f) 

meg kell határozni az IKT-vonatkozású incidensekre való reagálást célzó eljárásokat a hatások enyhítése, valamint annak biztosítása érdekében, hogy a szolgáltatások mielőbb működőképessé és biztonságossá váljanak.
EULAW 19. cikk (1)
A pénzügyi szervezeteknek a jelentős IKT-vonatkozású incidenseket az e cikk (4) bekezdésével összhangban be kell jelenteniük a 46. cikkben említett releváns illetékes hatóságnak.

Amennyiben egy pénzügyi szervezet a 46. cikkben említett illetékes nemzeti hatóságok közül egynél több felügyelete alá tartozik, a tagállamok egyetlen illetékes hatóságot jelölnek ki az e cikkben előírt funkciók és kötelezettségek végrehajtásáért felelős releváns illetékes hatóságként.

Az 1024/2013/EU rendelet 6. cikkének (4) bekezdésével összhangban jelentősnek minősített hitelintézetek bejelentik a jelentős IKT-vonatkozású incidenseket a 2013/36/EU irányelv 4. cikkével összhangban kijelölt releváns illetékes nemzeti hatóságnak, amely haladéktalanul továbbítja az említett jelentést az EKB-nak.

Az első albekezdés alkalmazásában a pénzügyi szervezeteknek a releváns információk összegyűjtését és elemzését követően a 20. cikkben említett sablonok felhasználásával el kell készíteniük az e cikk (4) bekezdésében említett kezdeti értesítést és jelentéseket, és be kell nyújtaniuk azokat az illetékes hatóságnak. Abban az esetben, ha technikai okokból lehetetlen a kezdeti értesítés mintadokumentum használatával történő benyújtása, a pénzügyi szervezeteknek alternatív módon kell értesíteniük arról az illetékes hatóságot.

A (4) bekezdésben említett kezdeti értesítésnek és jelentéseknek tartalmazniuk kell minden olyan információt, amelyre az illetékes hatóságnak szüksége van a jelentős IKT-vonatkozású incidens jelentőségének megállapításához és esteleges határokon átnyúló hatásainak értékeléséhez.

A pénzügyi szervezet által a releváns illetékes hatóság felé történő, az első albekezdés alapján történő bejelentés sérelme nélkül a tagállamok megállapíthatják továbbá, hogy a pénzügyi szervezetek egy részének vagy mindegyikének az e cikk (4) bekezdésében említett kezdeti értesítést és minden egyes jelentést be kell nyújtaniuk a 20. cikkben említett sablonok felhasználásával az (EU) 2022/2555 irányelvvel összhangban kijelölt vagy létrehozott illetékes hatóságoknak vagy számítógép-biztonsági incidensekre reagáló csoportoknak (CSIRT-ek) is.
EULAW 19. cikk (2)
A pénzügyi szervezetek önkéntes alapon értesíthetik a releváns illetékes hatóságot a jelentős kiberfenyegetésekről, amennyiben úgy ítélik meg, hogy a fenyegetés relevanciával bír a pénzügyi rendszer, a szolgáltatás igénybevevői vagy az ügyfelek számára. A releváns illetékes hatóság átadhatja az ilyen információkat a (6) bekezdésben említett egyéb releváns hatóságoknak.

Az 1024/2013/EU rendelet 6. cikkének (4) bekezdésével összhangban jelentősnek minősített hitelintézetek önkéntes alapon értesíthetik a jelentős kiberfenyegetésekről a 2013/36/EU irányelv 4. cikkével összhangban kijelölt, releváns illetékes nemzeti hatóságot, amelynek haladéktalanul továbbítania kell az értesítést az EKB-nak.

A tagállamok dönthetnek úgy, hogy azon pénzügyi szervezetek, amelyek az első albekezdéssel összhangban önkéntes alapon értesítést küldenek, az említett értesítést az (EU) 2022/2555 irányelvvel összhangban kijelölt vagy létrehozott CSIRT-eknek is továbbíthatják.
EULAW 19. cikk (3)
Amennyiben jelentős IKT-vonatkozású incidens következik be, és hatással van az ügyfelek pénzügyi érdekeire, a pénzügyi szervezeteknek – amint azt észlelik – indokolatlan késedelem nélkül tájékoztatniuk kell az ügyfeleiket a jelentős IKT-vonatkozású incidensről és az ilyen incidens káros hatásainak enyhítésére tett intézkedésekről.

Jelentős kiberfenyegetés esetén a pénzügyi szervezeteknek adott esetben tájékoztatniuk kell a potenciálisan érintett ügyfeleiket minden olyan megfelelő védelmi intézkedésről, amelyek meghozatalát az utóbbiak mérlegelhetik.
EULAW 19. cikk (4)

A pénzügyi szervezeteknek a 20. cikk első bekezdése a) pontjának ii. alpontjával összhangban megállapítandó határidőkön belül be kell nyújtaniuk a releváns illetékes hatóságnak a következőket:

a) 

kezdeti értesítés;

b) 

időközi jelentés az a) pontban említett kezdeti értesítést követően, amint az eredeti incidens állapota jelentősen megváltozik, vagy a jelentős IKT-vonatkozású incidens kezelése a rendelkezésre álló új információk alapján módosul, amelyet adott esetben aktualizált bejelentéseknek kell követniük minden olyan alkalommal, amikor releváns állapotfrissítés áll rendelkezésre, valamint az illetékes hatóság külön kérésére;

c) 

zárójelentés, amikor lezárult a kiváltó okok elemzése, függetlenül attól, hogy enyhítő intézkedések végrehajtására sor került-e már, és amikor rendelkezésre állnak a hatással kapcsolatban a becslések helyettesítésére alkalmas tényadatok.
EULAW 19. cikk (5)
A pénzügyi szervezetek az uniós és nemzeti ágazati jogszabályokkal összhangban kiszervezhetik az e cikk szerinti bejelentési kötelezettségeket harmadik fél szolgáltatónak. Az ilyen kiszervezés esetén a pénzügyi szervezet továbbra is teljes felelősséggel tartozik az incidensbejelentési követelmények teljesítéséért.
EULAW 22. cikk IKT-vonatkozású események kezelésére vonatkozó szabályzat

22. cikk

IKT-vonatkozású események kezelésére vonatkozó szabályzat

A rendellenes tevékenységek – többek között az IKT-hálózat teljesítményével kapcsolatos problémák és az IKT-vonatkozású események – észlelésére szolgáló mechanizmusok részeként a pénzügyi szervezetek kidolgozzák, dokumentálják és végrehajtják az IKT-vonatkozású eseményekre vonatkozó szabályzatot, amelyen keresztül:

a) 

dokumentálják az IKT-vonatkozású események (EU) 2022/2554 rendelet 17. cikkében említett kezelési folyamatát;

b) 

összeállítják a releváns kapcsolatoknak az IKT-műveletek biztonságában közvetlenül érintett belső funkciókat és külső érdekelt feleket tartalmazó jegyzékét, beleértve a következőket:

i. 

a kiberfenyegetések észlelése és nyomon követése;

ii. 

a rendellenes tevékenységek észlelése;

iii. 

változásmenedzsment;

c) 

technikai, szervezeti és működési mechanizmusokat hoznak létre, hajtanak végre és működtetnek az IKT-vonatkozású események kezelési folyamatának támogatása érdekében, beleértve azokat a mechanizmusokat is, amelyek lehetővé teszik a rendellenes tevékenységek és magatartásformák azonnali észlelését e rendelet 23. cikkével összhangban;

d) 

►C1  az (EU) 2024/1772 felhatalmazáson alapuló bizottsági rendelet ( 2 ) 8. cikkének (2) bekezdésével és az uniós jog szerinti bármely alkalmazandó megőrzési követelménnyel összhangban megőrzik az IKT-vonatkozású eseményekkel kapcsolatos valamennyi bizonyítékot az adatgyűjtés céljaihoz szükségesnél nem hosszabb ideig, az érintett üzleti funkciók, támogató folyamatok, valamint IKT-eszközök és információs vagyonelemek kritikusságával arányosan; ◄

e) 

mechanizmusokat hoznak létre és hajtanak végre a jelentős vagy ismétlődő IKT-vonatkozású események, valamint az IKT-vonatkozású események számában és előfordulásában fellelhető minták elemzésére.

A d) pont alkalmazásában a pénzügyi szervezetek biztonságos módon őrzik a hivatkozott pontban említett bizonyítékokat.
EULAW Article 23 1.
Financial entities shall set clear roles and responsibilities to effectively detect and respond to ICT-related incidents and anomalous activities.
EULAW Article 23 5.

Financial entities shall consider all of the following criteria to trigger the ICT-related incident detection and response processes referred to in Article 10(2) of Regulation (EU) 2022/2554:

(a) 

indications that malicious activity may have been carried out in an ICT system or network, or that such ICT system or network may have been compromised;

(b) 

data losses detected in relation to the availability, authenticity, integrity, and confidentiality of data;

(c) 

adverse impact detected on financial entity’s transactions and operations;

(d) 

ICT systems’ and network unavailability.