+Protection Measures

Protection Measures

Implement policies and procedures to protect all information, ICT assets, and relevant physical ICT components and infrastructures. At least the following policies shall be established and maintained.

  • Security policy
  • Human resources policy
  • Encryption and cryptographic control policy
  • Identity and access management (IAM) policy
  • Change management policy
  • Network security policy
  • ICT operating policies and procedures
  • (Crisis) Communication policy
  • Vulnerability and patch management policy
  • Back up policy
  • Project management policy
  • Physical and environmental security policy
  • Business continuity policy with response and recovery plans (including testing plans), see control1.4 *
  • ICT third-party service providers management policy, see control 1.1. *
  • Operations of ICT assets (ensuring network security, protect against intrusions and data misuse and defining how the entity operates, monitors, controls, and restores ICT assets, including the documentation of ICT operations).

* must be approved by the Management body

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 6. cikk (1)
A pénzügyi szervezeteknek általános kockázatkezelési rendszerük részeként megbízható, átfogó és jól dokumentált IKT-kockázatkezelési keretrendszerrel kell rendelkezniük, amely lehetővé teszi számukra az IKT-kockázat gyors, hatékony és átfogó kezelését, továbbá a digitális működési reziliencia magas szintjének biztosítását.
EULAW 6. cikk (2)
Az IKT-kockázatkezelési keretrendszer magában foglalja legalább azon stratégiákat, szabályzatokat, eljárásokat, IKT-protokollokat és -eszközöket, amelyek szükségesek valamennyi információs vagyonelem és IKT-eszköz – többek között a számítógépes szoftverek, hardvereszközök és szerverek – kellő és adekvát védelméhez, valamint valamennyi releváns fizikai rendszerelem és infrastruktúra – így például a telephelyek, az adatközpontok és kijelölt érzékeny területek – védelméhez annak biztosítására, hogy valamennyi információs vagyonelem és IKT-eszköz megfelelő védelmet kapjon a kockázatokkal – köztük a kárral, valamint az illetéktelen hozzáféréssel és használattal – szemben.
EULAW 6. cikk (3)
A pénzügyi szervezeteknek az IKT-kockázatkezelési keretrendszerükkel összhangban, megfelelő stratégiák, szabályzatok, eljárások, protokollok és eszközök bevezetésével minimalizálniuk kell az IKT-kockázat hatását. Az IKT-kockázatról és az IKT-kockázatkezelési keretrendszerükről teljeskörű és naprakész tájékoztatást kell nyújtaniuk az illetékes hatóságok számára, azok kérésére.
EULAW 6. cikk (4)
A mikrovállalkozásnak nem minősülő pénzügyi szervezetek az IKT-kockázat kezelésére és felvigyázására vonatkozó felelősséget egy kontrollfunkcióhoz rendelik hozzá, és az összeférhetetlenségek elkerülése érdekében biztosítják az ilyen kontrollfunkció megfelelő szintű függetlenségét. A pénzügyi szervezetek biztosítják az IKT-kockázatkezelési funkciók, kontrollfunkciók és belső ellenőrzési funkciók megfelelő elkülönítését és függetlenségét a három védelmi vonalra épülő modellnek vagy egy belső kockázatkezelési és kontrollmodellnek megfelelően.
EULAW 6. cikk (5)
Az IKT-kockázatkezelési keretrendszert dokumentálni kell, és legalább évente egyszer – vagy mikrovállalkozások esetében időszakonként – felül kell vizsgálni, továbbá jelentős IKT-vonatkozású incidensek bekövetkezésekor, valamint a digitális működési reziliencia tesztelésére vagy ellenőrzésére irányuló releváns folyamatokból származó felügyeleti utasításokat és következtetéseket követően. A keretet folyamatosan fejleszteni kell a végrehajtás és a nyomon követés során szerzett tapasztalatok alapján. Az illetékes hatóság kérésére jelentést kell benyújtani számára az IKT-kockázatkezelési keretrendszer felülvizsgálatáról.
EULAW 6. cikk (7)
A pénzügyi szervezetnek a belső ellenőrzési felülvizsgálat következtetései alapján formális utókövetési folyamatot kell kialakítania, beleértve a kritikus IKT-audit megállapítások kellő időben történő igazolására és a hiányosságok korrekciójára vonatkozó szabályokat.
EULAW 6. cikk (9)
A pénzügyi szervezetek a (8) bekezdésben említett, digitális működési rezilienciára vonatkozó stratégia keretében meghatározhatnak egy több szolgáltatóra épülő, holisztikus IKT-stratégiát is – akár csoport-, akár szervezeti szinten –, amely bemutatja a harmadik fél IKT-szolgáltatóktól való főbb függőségeket, és kifejti a harmadik fél IKT-szolgáltatóknál alkalmazott beszerzési mix indokait.
EULAW 6. cikk (10)
A pénzügyi szervezetek az uniós és a nemzeti ágazati jogszabályokkal összhangban kiszervezhetik az IKT- kockázatkezelési követelményeknek való megfelelés ellenőrzésének feladatait csoporton belüli vagy külső vállalkozásokhoz. Kiszervezés esetén a pénzügyi szervezet továbbra is teljes felelősséggel tartozik az IKT-kockázatkezelési követelményeknek való megfelelés ellenőrzéséért.
EULAW 8. cikk (1)
A 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer részeként a pénzügyi szervezeteknek azonosítaniuk, osztályozniuk és megfelelően dokumentálniuk kell valamennyi, az IKT-ra támaszkodó üzleti funkciót, feladat- és felelősségi kört, az említett funkciókat támogató információs vagyonelemeket és IKT-eszközöket, valamint azok IKT-kockázattal kapcsolatos feladatkörét és függőségeit. A pénzügyi szervezeteknek szükség szerint, de legalább évente felül kell vizsgálniuk ezen osztályozás és minden releváns dokumentáció megfelelőségét.
EULAW 9. cikk (1)
Az IKT-rendszerek megfelelő védelme céljából és a válaszintézkedések megszervezése érdekében a pénzügyi szervezetek folyamatosan nyomon követik és ellenőrzik az IKT-rendszerek és -eszközök biztonságát és működését, és minimalizálják az IKT-rendszereket érintő IKT-kockázat hatását megfelelő IKT-biztonsági eszközök, szabályzatok és eljárások bevezetésével.
EULAW 9. cikk (4)

A 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer részeként a pénzügyi szervezetek:

a) 

információs biztonsági szabályzatot dolgoznak ki és dokumentálnak, amely meghatározza az adatok, az információs vagyonelemek és az IKT-eszközök – ideértve adott esetben az ügyfeleikét is – rendelkezésre állását, hitelességét, integritását és bizalmas kezelését védeni célzó szabályokat;

b) 

kockázatalapú megközelítést követve, létrehoznak egy megbízható hálózati és infrastruktúra-menedzsment struktúrát, megfelelő technikákat, módszereket és protokollokat alkalmazva, amelyek magukban foglalhatják automatizált mechanizmusok végrehajtását is, az érintett információs vagyonelemek kibertámadás esetén történő elszigetelése érdekében;

c) 

olyan szabályzatokat hajtanak végre, amelyek az információs vagyonelemekhez és az IKT-eszközökhöz való fizikai vagy logikai hozzáférést kizárólag a jogszerű és jóváhagyott funkciókhoz és tevékenységekhez szükséges mértékűre korlátozzák, és e célból olyan szabályzatokat, eljárásokat és kontrollokat határoznak meg, amelyek szabályozzák a hozzáférés-kezelési jogosultságokat, és biztosítják azok megbízható adminisztrációját;

d) 

erős hitelesítési mechanizmusokat szolgáló szabályzatokat és protokollokat vezetnek be releváns normák és célzott kontrollrendszerek alapján, valamint a kriptográfiai kulcsokhoz kapcsolódó védelmi intézkedéseket hajtanak végre, ahol az adatok jóváhagyott adatminősítési és IKT-kockázatértékelési folyamatok eredményei alapján kerülnek titkosításra;

e) 

az IKT-változás többek között a szoftver-, hardver- és belsővezérlőprogram-összetevőket, -rendszert vagy -biztonságot érintő változások kezelését szolgáló, olyan dokumentált szabályzatokat, eljárásokat és kontrollokat vezetnek be, amelyek kockázatértékelési megközelítésen alapulnak, és integráns részét képezik a pénzügyi szervezet általános változásmenedzsment-folyamatának, annak biztosítása érdekében, hogy az IKT-rendszerekben bekövetkező valamennyi változást kontrollált módon rögzítsék, teszteljék, értékeljék, hagyják jóvá, hajtsák végre és ellenőrizzék;

f) 

megfelelő és átfogó, dokumentált szabályzatokkal rendelkeznek a hibajavító csomagokra és frissítésekre vonatkozóan.

A b) pont első albekezdésének alkalmazásában a pénzügyi szervezetek a hálózati kapcsolati infrastruktúrát azonnali megszakításra vagy szakaszokra bontásra alkalmas módon alakítják ki annak érdekében, hogy minimalizálják és megelőzzék az átterjedést, különösen az összekapcsolt pénzügyi folyamatok esetében.

Az e) pont első albekezdésének alkalmazásában az IKT-vonatkozású változásmenedzsment-folyamatot a megfelelő vezetői szintnek kell jóváhagynia, és annak konkrét protokollokkal kell rendelkeznie.
EULAW 11. cikk (1)
A 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer részeként, a 8. cikkben említett azonosítási követelmények alapján a pénzügyi szervezeteknek átfogó IKT-üzletmenetfolytonossági politikát kell bevezetniük, amelyet a pénzügyi szervezet átfogó üzletmenet-folytonossági politikájának integráns részét képező célzott egyedi szabályzatként is elfogadhatnak.
EULAW 11. cikk (3)
A 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer részeként a pénzügyi szervezeteknek kapcsolódó IKT-vonatkozású reagálási és helyreállítási terveket kell bevezetniük, amelyeket a mikrovállalkozásnak nem minősülő pénzügyi szervezetek esetében független belső felülvizsgálatnak kell alávetni.
EULAW 11. cikk (6)

Átfogó IKT-kockázatkezelésük keretében a pénzügyi szervezeteknek:

a) 

tesztelniük kell az IKT-üzletmenetfolytonossági terveket és az IKT-reagálási és -helyreállítási terveket a valamennyi funkciót támogató IKT-rendszerekhez kapcsolódóan legalább évente, valamint a kritikus vagy fontos funkciókat támogató IKT-rendszereket érintő bármely jelentős változás bekövetkezése esetén;

b) 

tesztelniük kell a 14. cikknek megfelelően kialakított válsághelyzeti kommunikációs terveket.

Az első albekezdés a) pontjának alkalmazásában a mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek a tesztelési terveikben szerepeltetniük kell a kibertámadásokra, továbbá az elsődleges IKT-infrastruktúrájuk és a 12. cikkben meghatározott kötelezettségek teljesítéséhez szükséges tartalékkapacitás, biztonsági mentések és tartalékeszközök közötti átállásokra vonatkozó forgatókönyveket.

A pénzügyi szervezeteknek rendszeresen felül kell vizsgálniuk az IKT-üzletmenetfolytonossági politikájukat, valamint az IKT-reagálási és -helyreállítási terveiket, figyelembe véve az első albekezdés szerint elvégzett tesztek eredményeit, valamint az ellenőrzések és felügyeleti felülvizsgálatok alapján megfogalmazott ajánlásokat.
EULAW 12. cikk (1)

Annak biztosítása céljából, hogy IKT-rendszereiket és adataikat minimális leállási időt, valamint korlátozott mértékű zavart és veszteséget követően állíthassák helyre, a pénzügyi szervezeteknek – IKT-kockázatkezelési keretrendszerük részeként – ki kell dolgozniuk és dokumentálniuk kell a következőket:

a) 

olyan biztonsági mentési szabályzatok és eljárások, amelyek az információk kritikussága vagy az adatok bizalmassági szintje alapján meghatározzák a biztonsági mentéssel érintett adatok körét és a biztonsági mentés minimális gyakoriságát;

b) 

visszaállítási és helyreállítási eljárások és módszerek.
EULAW 12. cikk (2)
A pénzügyi szervezeteknek létre kell hozniuk biztonsági mentési rendszereket, amelyek aktiválhatók a biztonsági mentési szabályzatoknak és eljárásoknak megfelelően, valamint a visszaállítási és helyreállítási eljárásokat és módszereket. A biztonsági mentési rendszerek aktiválása nem veszélyeztetheti a hálózati és információs rendszerek biztonságát, vagy az adatok rendelkezésre állását, hitelességét, integritását vagy bizalmas kezelését. A biztonsági mentési eljárásokat, valamint a visszaállítási és helyreállítási eljárásokat és módszereket időszakonként tesztelni kell.
EULAW 12. cikk (3)
Az adatok biztonsági mentés alapján, saját rendszerekkel végzett helyreállításához a pénzügyi szervezeteknek olyan IKT-rendszereket kell használniuk, amelyek fizikailag és logikailag elkülönülnek a forrásoldali IKT-rendszertől. Az IKT- rendszereket védeni kell minden illetéktelen hozzáféréssel vagy IKT-sérüléssel szemben, és lehetővé kell tenni a szolgáltatások időben történő visszaállítását az adatok és a rendszer biztonsági mentéseinek szükség szerinti felhasználásával.

A központi szerződő felek esetében a helyreállítási terveknek lehetővé kell tenniük a zavar bekövetkezésekor folyamatban lévő valamennyi tranzakció helyreállítását, hogy a központi szerződő fél biztonsággal folytatni tudja működését, és a tervezett időben le tudja zárni az ügyleteket.

Az adatszolgáltatóknak emellett megfelelő erőforrásokat kell fenntartaniuk, valamint biztonsági mentési és helyreállítási eszközökkel kell rendelkezniük annak érdekében, hogy mindenkor kínálhassák és fenntarthassák szolgáltatásaikat.
EULAW 13. cikk (3)
A digitális működési rezilienciának a 26. és 27. cikkel összhangban végzett teszteléséből, a valós IKT-vonatkozású incidensekből, különösen a kibertámadásokból, továbbá az IKT-üzletmenetfolytonossági tervek és az IKT-reagálási és -helyreállítási tervek aktiválása során felmerült kihívásokból, valamint a partnerekkel kicserélt és a felügyeleti felülvizsgálatok során értékelt információkból származó tapasztalatokat a szervezetnek megfelelően és folyamatosan be kell építenie az IKT-kockázatértékelés folyamatába. Az említett megállapítások képezik a 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer releváns összetevői megfelelő felülvizsgálatának alapját.
EULAW 13. cikk (5)
A vezető IKT-munkatársaknak legalább évente be kell számolniuk a vezető testületnek a (3) bekezdésben említett megállapításokról, és javaslatokat kell előterjeszteniük.
EULAW 13. cikk (7)
A mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek folyamatosan nyomon kell követniük a releváns technológiai fejleményeket többek között annak megértése céljából, hogy az új technológiák bevezetésének milyen hatása lehet az IKT-biztonsági követelményekre és a digitális működési rezilienciára. Lépést kell tartaniuk a legkorszerűbb IKT- kockázatkezelési folyamatokkal, hogy eredményesen léphessenek fel a kibertámadások meglévő és új formáival szemben.
EULAW 14. cikk (2)
Az IKT-kockázatkezelési keretrendszer részeként a pénzügyi szervezeteknek a saját személyzetükre és a külső érdekeltekre vonatkozó kommunikációs szabályzatot kell bevezetniük. A személyzetre vonatkozó kommunikációs szabályzatban figyelembe kell venni annak szükségességét, hogy különbséget tegyenek az IKT-kockázatkezelésért, különösen a reagálásért és helyreállításért felelős munkatársak, valamint a tájékoztatást igénylő munkatársak között.
EULAW 24. cikk (1)
Az IKT-vonatkozású incidensek kezelésére való felkészültség értékelése, a digitális működési reziliencia gyengeségeinek, hiányosságainak és lefedetlenségeinek azonosítása, valamint a korrekciós intézkedések gyors végrehajtása érdekében a mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek a 4. cikk (2) bekezdésében meghatározott kritériumok figyelembevételével a digitális működési reziliencia tesztelésére megbízható és átfogó programot kell kialakítaniuk, fenntartaniuk és felülvizsgálniuk, a 6. cikkben említett IKT-kockázatkezelési keretrendszer integráns részeként.
EULAW 28. cikk (2)
Az IKT-kockázatkezelési keretrendszerük részeként a 16. cikk (1) bekezdésének első albekezdésében említett szervezetektől eltérő és mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek – adott esetben a 6. cikk (9) bekezdésében említett, több beszállítóra épülő stratégia figyelembevételével – a harmadik féltől eredő IKT-kockázatra vonatkozó stratégiát kell elfogadniuk és rendszeresen felülvizsgálniuk. A harmadik féltől eredő IKT-kockázatra vonatkozó azon stratégiának, amelyet az egyedi szervezet szintjén, valamint adott esetben szubkonszolidált és konszolidált alapon is alkalmazni kell, magában kell foglalnia a harmadik fél IKT-szolgáltatók által nyújtott, kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételére vonatkozó szabályzatot. A vezető testületnek a pénzügyi szervezet általános kockázati profiljának, valamint az üzleti szolgáltatások nagyságrendjének és összetettségének értékelése alapján rendszeresen felül kell vizsgálnia a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodásokkal kapcsolatban azonosított kockázatokat.
EULAW 28. cikk (3)
IKT-kockázatkezelési keretrendszerük részeként a pénzügyi szervezeteknek az egyedi szervezet szintjén, valamint szubkonszolidált és konszolidált szinten információ-nyilvántartást kell vezetniük és naprakészen tartaniuk a harmadik fél IKT-szolgáltatók által nyújtott IKT-szolgáltatások igénybevételéről szóló valamennyi szerződéses megállapodásról.

Az első albekezdésben említett szerződéses megállapodásokat megfelelően dokumentálni kell, megkülönböztetve azokat, amelyek kiterjednek a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokra, és azokat, amelyek nem.

A pénzügyi szervezeteknek legalább évente jelentést kell tenniük az illetékes hatóságoknak az IKT-szolgáltatások igénybevételéről szóló új megállapodások számáról, a harmadik fél IKT-szolgáltatók kategóriáiról, a szerződéses megállapodások típusairól, valamint a nyújtott IKT-szolgáltatásokról és -funkciókról.

A pénzügyi szervezeteknek az illetékes hatóság kérésére annak rendelkezésére kell bocsátaniuk a teljes információ- nyilvántartást, vagy a kérésnek megfelelően annak meghatározott részeit, a pénzügyi szervezet eredményes felügyeletéhez szükségesnek ítélt bármely információval együtt.

A pénzügyi szervezeteknek időben tájékoztatniuk kell az illetékes hatóságot bármely, kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló, tervezett szerződéses megállapodásról, valamint arról, ha egy funkció kritikussá vagy fontossá válik.
EULAW 1. cikk Általános kockázati profil és összetettség

1. cikk

Általános kockázati profil és összetettség

A II. címben említett IKT-biztonsági szabályzatok, eljárások, protokollok és eszközök, valamint a III. címben említett egyszerűsített IKT-kockázatkezelési keretrendszer kidolgozása és végrehajtása során figyelembe kell venni a pénzügyi szervezet méretét és általános kockázati profilját, valamint szolgáltatásai, tevékenységei és működése jellegét, nagyságrendjét és megnövekedett vagy csökkent összetettségének elemeit, beleértve a következőkkel kapcsolatos elemeket is:

a) 

titkosítás és kriptográfia;

b) 

IKT-műveletek biztonsága;

c) 

hálózatbiztonság;

d) 

IKT-projektmenedzsment és -változásmenedzsment;

e) 

az IKT-kockázat lehetséges hatása az adatok bizalmas jellegére, integritására és rendelkezésre állására, valamint a zavarok lehetséges hatása a pénzügyi szervezetek tevékenységeinek folytonosságára és rendelkezésre állására.
EULAW Article 2 1.

Financial entities shall ensure that their ICT security policies, information security, and related procedures, protocols, and tools as referred to in Article 9(2) of Regulation (EU) 2022/2554 are embedded in their ICT risk management framework. Financial entities shall establish the ICT security policies, procedures, protocols, and tools laid down in this Chapter that:

(a) 

ensure the security of networks;

(b) 

contain safeguards against intrusions and data misuse;

(c) 

preserve the availability, authenticity, integrity, and confidentiality of data, including via the use of cryptographic techniques;

(d) 

guarantee an accurate and prompt data transmission without major disruptions and undue delays.
EULAW Article 2 2.

Financial entities shall ensure that the ICT security policies referred to in paragraph 1:

(a) 

are aligned to the financial entity’s information security objectives included in the digital operational resilience strategy referred to in Article 6(8) of Regulation (EU) 2022/2554;

(b) 

indicate the date of the formal approval of the ICT security policies by the management body;

(c) 

contain indicators and measures to:

(i) 

monitor the implementation of the ICT security policies, procedures, protocols, and tools;

(ii) 

record exceptions from that implementation;

(iii) 

ensure that the digital operational resilience of the financial entity is ensured in case of exceptions as referred to in point (ii);

(d) 

specify the responsibilities of staff at all levels to ensure the financial entity’s ICT security;

(e) 

specify the consequences of non-compliance by staff of the financial entity with the ICT security policies, where provisions to that effect are not laid down in other policies of the financial entity;

(f) 

list the documentation to be maintained;

(g) 

specify the segregation of duties arrangements in the context of the three lines of defence model or other internal risk management and control model, as applicable, to avoid conflicts of interest;

(h) 

consider leading practices and, where applicable, standards as defined in Article 2, point (1), of Regulation (EU) No 1025/2012;

(i) 

identify the roles and responsibilities for the development, implementation and maintenance of ICT security policies, procedures, protocols, and tools;

(j) 

are reviewed in accordance with Article 6(5) of Regulation (EU) 2022/2554;

(k) 

take into account material changes concerning the financial entity, including material changes to the activities or processes of the financial entity, to the cyber threat landscape, or to applicable legal obligations.
EULAW 3. cikk IKT-kockázatkezelés

3. cikk

IKT-kockázatkezelés

A pénzügyi szervezetek olyan IKT-kockázatkezelési szabályzatokat és eljárásokat dolgoznak ki, dokumentálnak és hajtanak végre, amelyek a következők mindegyikét tartalmazzák:

a) 

az (EU) 2022/2554 rendelet 6. cikke (8) bekezdésének b) pontjával összhangban megállapított IKT-kockázati toleranciaszint jóváhagyásának feltüntetése;

b) 

az IKT-kockázatértékelés elvégzésének eljárása és módszertana, szerepeltetve a következőket:

i. 

a támogatott üzleti funkciókat, az IKT-rendszereket és az e funkciókat támogató IKT-eszközöket érintő vagy esetlegesen érintő sérülékenységek és fenyegetések;

ii. 

az i. alpontban említett sérülékenységek és fenyegetések hatásának és valószínűségének mérésére szolgáló mennyiségi és minőségi mutatók;

c) 

az azonosított és értékelt IKT-kockázatokhoz tartozó IKT-kockázatkezelési intézkedések azonosítására, végrehajtására és dokumentálására szolgáló eljárás, beleértve az ahhoz szükséges IKT-kockázatkezelési intézkedések meghatározását, hogy az IKT-kockázat az a) pontban említett kockázati toleranciaszinten belül maradjon;

d) 

a c) pontban említett IKT-kockázatkezelési intézkedések végrehajtását követően még fennálló fennmaradó IKT-kockázatok esetében:

i. 

a fennmaradó IKT-kockázatok azonosítására vonatkozó rendelkezések;

ii. 

a következőkkel kapcsolatos szerep- és felelősségi körök kijelölése:

(1) 

a pénzügyi szervezet a) pontban említett kockázati toleranciaszintjét meghaladó fennmaradó IKT-kockázatok elfogadása;

(2) 

az e d) pont iv. alpontjában említett felülvizsgálati eljárás;

iii. 

az elfogadott fennmaradó IKT-kockázatok jegyzékének kidolgozása, beleértve elfogadásuk indokolását is;

iv. 

az elfogadott fennmaradó IKT-kockázatok legalább évente egyszer történő felülvizsgálatára vonatkozó rendelkezések, beleértve a következőket:

(1) 

a fennmaradó IKT-kockázatokban bekövetkező változások azonosítása;

(2) 

a rendelkezésre álló kockázatcsökkentő intézkedések értékelése;

(3) 

annak értékelése, hogy a fennmaradó IKT-kockázatok elfogadását indokoló okok a felülvizsgálat időpontjában még mindig érvényesek-e és alkalmazandók-e;

e) 

az alábbiak nyomon követésére vonatkozó rendelkezések:

i. 

az IKT-kockázatokban és a kiberfenyegetettségi helyzetben bekövetkező változások;

ii. 

belső és külső sérülékenységek és fenyegetések;

iii. 

a pénzügyi szervezet IKT-kockázatának nyomon követése, amely lehetővé teszi az IKT-kockázati profilját esetlegesen befolyásoló változások azonnali észlelését;

f) 

azon folyamatra vonatkozó rendelkezések, amely biztosítja, hogy a pénzügyi szervezet üzleti stratégiájában és digitális működési rezilienciára vonatkozó stratégiájában bekövetkező változásokat figyelembe vegyék.

Az első bekezdés c) pontjának alkalmazásában az említett pontban említett eljárásnak biztosítania kell a következőket:

a) 

a végrehajtott IKT-kockázatkezelési intézkedések hatékonyságának nyomon követése;

b) 

annak értékelése, hogy a pénzügyi szervezet elérte-e a megállapított kockázati toleranciaszinteket;

c) 

annak értékelése, hogy a pénzügyi szervezet szükség esetén tett-e lépéseket ezen intézkedések kijavítására vagy jobbá tételére.
EULAW Article 8 1.
As part of the ICT security policies, procedures, protocols, and tools referred to in Article 9(2) of Regulation (EU) 2022/2554, financial entities shall develop, document, and implement policies and procedures to manage the ICT operations. Those policies and procedures shall specify how financial entities operate, monitor, control, and restore their ICT assets, including the documentation of ICT operations.
EULAW Article 8 2.

The policies and procedures for ICT operations referred to in paragraph 1 shall contain all of the following:

(a) 

an ICT assets description, including all of the following:

(i) 

requirements regarding secure installation, maintenance, configuration, and deinstallation of an ICT system;

(ii) 

requirements regarding the management of information assets used by ICT assets, including their processing and handling, both automated and manual;

(iii) 

requirements regarding the identification and control of legacy ICT systems;

(b) 

controls and monitoring of ICT systems, including all of the following:

(i) 

backup and restore requirements of ICT systems;

(ii) 

scheduling requirements, taking into consideration interdependencies among the ICT systems;

(iii) 

protocols for audit-trail and system log information;

(iv) 

requirements to ensure that the performance of internal audit and other testing minimises disruptions to business operations;

(v) 

requirements on the separation of ICT production environments from the development, testing, and other non-production environments;

(vi) 

requirements to conduct the development and testing in environments which are separated from the production environment;

(vii) 

requirements to conduct the development and testing in production environments;

(c) 

error handling concerning ICT systems, including all of the following:

(i) 

procedures and protocols for handling errors;

(ii) 

support and escalation contacts, including external support contacts in case of unexpected operational or technical issues;

(iii) 

ICT system restart, rollback, and recovery procedures for use in the event of ICT system disruption.

For the purposes of point (b)(v), the separation shall consider all of the components of the environment, including accounts, data or connections, as required by Article 13, first subparagraph, point (a).

For the purposes of point (b)(vii), the policies and procedures referred to in paragraph 1 shall provide that the instances in which testing is performed in a production environment are clearly identified, reasoned, are for limited periods of time, and are approved by the relevant function in accordance with Article 16(6). Financial entities shall ensure the availability, confidentiality, integrity, and authenticity of ICT systems and production data during development and test activities in the production environment.