+Testing and Assessment

Testing and Assessment

Regularly test ICT business continuity, response, and recovery plans, particularly in collaboration with third-party service providers supporting critical or important functions. Testing should  take into account the financial entity’s BIA and the ICT risk assessment and occur on a yearly basis and whenever there are significant changes to systems supporting critical or important functions. 
Tests must be based on realistic scenarios and encompass scenarios like cyber attacks, insolvency or failure of the third-party, backup restores, and switchover between primary and redundant processing sites. 
The testing shall verify whether at least critical or important functions can be operated appropriately, for a sufficient period of time and whether the normal functioning (of the business process) may be restored. Conduct testing of crisis communication plans to ensure effective communication strategies during a crisis or major disruption. Document test results and report any identified deficiencies resulting from the tests to the management body.

Refer to Articles 24.2-3 of the RTS RM for the specific requirements for Central counterparties and Central security depositories.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 11 1

1.   All’interno del quadro per la gestione dei rischi informatici di cui all’articolo 6, paragrafo 1, e in base ai requisiti di identificazione stabiliti all’articolo 8, le entità finanziarie predispongono una politica di continuità operativa delle TIC esaustiva, la quale può essere adottata come una politica specifica dedicata che costituisce parte integrante della politica generale di continuità operativa dell’entità finanziaria.
EULAW Articolo 11 6

6.   All’interno della gestione complessiva dei rischi informatici, le entità finanziarie:

a)

testano i piani di continuità operativa delle TIC e i piani di risposta e ripristino relativi alle TIC in relazione ai sistemi di TIC a supporto di tutte le funzioni almeno una volta all’anno nonché in caso di modifiche di rilievo ai sistemi di TIC a supporto di funzioni essenziali o importanti;

b)

testano i piani di comunicazione delle crisi istituiti in conformità dell’articolo 14.

Ai fini del primo comma, lettera a), le entità finanziarie diverse dalle microimprese inseriscono nei piani dei test scenari di attacchi informatici e del passaggio tra le infrastrutture delle TIC primarie e la capacità ridondante, i backup e le attrezzature ridondanti necessarie per soddisfare gli obblighi di cui all’articolo 12.

Le entità finanziarie riesaminano periodicamente la politica di continuità operativa delle TIC e i piani di risposta e ripristino relativi alle TIC, tenendo conto dei risultati dei test svolti in conformità del primo comma e delle raccomandazioni formulate sulla base dei controlli di audit o degli esami di vigilanza.
EULAW Articolo 11 2

2.   Le entità finanziarie attuano la politica di continuità operativa delle TIC tramite accordi, piani, procedure e meccanismi appositi, appropriati e documentati, miranti a:

a)

garantire la continuità delle funzioni essenziali o importanti dell’entità finanziaria;

b)

rispondere in maniera rapida, appropriata ed efficace e trovare una soluzione a tutti gli incidenti connessi alle TIC, in modo da limitare i danni e privilegiare la ripresa delle attività e le azioni di ripristino;

c)

attivare senza ritardo piani dedicati che prevedano tecnologie, processi e misure di contenimento idonei a ciascun tipo di incidente connesso alle TIC e a scongiurare danni ulteriori, nonché procedure mirate di risposta e ripristino stabilite in conformità dell’articolo 12;

d)

stimare in via preliminare impatti, danni e perdite;

e)

stabilire azioni di comunicazione e gestione delle crisi che assicurino la trasmissione di informazioni aggiornate a tutto il personale interno interessato e ai portatori di interessi esterni, conformemente all’articolo 14, e comunicare tali informazioni alle autorità competenti, conformemente all’articolo 19.
EULAW Articolo 11 4

4.   Le entità finanziarie predispongono, mantengono e testano periodicamente opportuni piani di continuità operativa delle TIC, in particolare per quanto riguarda le funzioni essenziali o importanti esternalizzate o appaltate tramite accordi con fornitori terzi di servizi TIC.
EULAW Articolo 11 5

5.   Nell’ambito della politica generale di continuità operativa, le entità finanziarie effettuano un’analisi dell’impatto sulle attività aziendali (Business Impact Analysis — BIA) delle loro esposizioni a gravi perturbazioni delle attività. Nel quadro della BIA, le entità finanziarie valutano l’impatto potenziale di gravi perturbazioni delle attività mediante criteri quantitativi e qualitativi, utilizzando, se del caso, dati interni ed esterni e analisi di scenario. La BIA tiene conto della criticità delle funzioni commerciali, dei processi di supporto, delle dipendenze da terzi e dei patrimoni informativi individuati e mappati, nonché delle loro interdipendenze. Le entità finanziarie provvedono affinché le risorse TIC e i servizi TIC siano progettati e utilizzati in piena conformità con la BIA, in particolare garantendo adeguatamente la ridondanza di tutte le componenti essenziali.
EULAW Articolo 11 7

7.   Le entità finanziarie diverse dalle microimprese si dotano di una funzione di gestione delle crisi che, in caso di attivazione dei piani di continuità operativa delle TIC o dei piani di risposta e ripristino relativi alle TIC, fissa, tra l’altro, procedure chiare per la gestione della comunicazione interna ed esterna delle crisi, in conformità dell’articolo 14.
EULAW Articolo 11 8

8.   Le entità finanziarie rendono prontamente accessibili le registrazioni delle attività svolte prima e durante le perturbazioni in cui vengono attivati i piani di continuità operativa delle TIC e i piani di risposta e ripristino relativi alle TIC.
EULAW Articolo 11 9

9.   Le controparti centrali trasmettono alle autorità competenti copie dei risultati dei test di continuità operativa delle TIC o di esercizi analoghi.
EULAW Articolo 11 10

10.   Le entità finanziarie, diverse dalle microimprese, comunicano alle autorità competenti, su loro richiesta di queste ultime, una stima dei costi e delle perdite annuali aggregati causati da incidenti gravi connessi alle TIC.
EULAW Articolo 14 1

1.   All’interno del quadro per la gestione dei rischi informatici di cui all’articolo 6, paragrafo 1, le entità finanziarie predispongono piani di comunicazione delle crisi che consentano una divulgazione responsabile di informazioni riguardanti, almeno, gravi incidenti connessi alle TIC o vulnerabilità ai clienti e alle controparti nonché al pubblico, a seconda dei casi.
EULAW Articolo 24 1.

Le entità finanziarie includono nella loro politica di continuità operativa delle TIC di cui all’articolo 11, paragrafo 1, del regolamento (UE) 2022/2554 tutti gli elementi seguenti:

a) 

una descrizione:

i) 

degli obiettivi della politica di continuità operativa delle TIC, compresa l’interrelazione tra le TIC e la continuità operativa complessiva, e tenendo conto dei risultati dell’analisi dell’impatto sulle attività aziendali (Business Impact Analysis, BIA) di cui all’articolo 11, paragrafo 5, del regolamento (UE) 2022/2554;

ii) 

dell’ambito di applicazione degli accordi, dei piani, delle procedure e dei meccanismi di continuità operativa delle TIC, comprese le limitazioni e le esclusioni;

iii) 

dell’arco di tempo che deve essere coperto dagli accordi, dai piani, dalle procedure e dai meccanismi di continuità operativa delle TIC;

iv) 

dei criteri di attivazione e disattivazione dei piani di continuità operativa delle TIC, dei piani di risposta e ripristino relativi alle TIC e dei piani di comunicazione delle crisi;

b) 

disposizioni in materia di:

i) 

governance e organizzazione per l’attuazione della politica di continuità operativa delle TIC, compresi ruoli, responsabilità e procedure di attivazione dei livelli successivi di intervento, garantendo la disponibilità di risorse sufficienti;

ii) 

allineamento tra i piani di continuità operativa delle TIC e i piani generali di continuità operativa, per quanto riguarda almeno tutti gli aspetti seguenti:

1) 

i potenziali scenari di disfunzione, compresi gli scenari di cui all’articolo 26, paragrafo 2, del presente regolamento;

2) 

gli obiettivi di ripristino, specificando che l’entità finanziaria è in grado di ripristinare l’operatività delle proprie funzioni essenziali o importanti dopo le perturbazioni rispettando un obiettivo in materia di tempi di ripristino e un obiettivo in materia di punti di ripristino;

iii) 

l’elaborazione di piani di continuità operativa TIC per gravi perturbazioni dell’attività all’interno di tali piani, e la definizione delle priorità delle azioni di continuità operativa delle TIC utilizzando un approccio basato sul rischio;

iv) 

l’elaborazione, il test e il riesame dei piani di risposta e ripristino relativi alle TIC, conformemente agli articoli 25 e 26 del presente regolamento;

v) 

il riesame dell’efficacia degli accordi, dei piani, delle procedure e dei meccanismi di continuità operativa delle TIC attuati, conformemente all’articolo 26 del presente regolamento;

vi) 

l’allineamento della politica di continuità operativa delle TIC rispetto a:

1) 

la politica di comunicazione di cui all’articolo 14, paragrafo 2, del regolamento (UE) 2022/2554;

2) 

le azioni di comunicazione e gestione delle crisi di cui all’articolo 11, paragrafo 2, lettera e), del regolamento (UE) 2022/2554.
EULAW Articolo 24 2.

Oltre ai requisiti di cui al paragrafo 1, le controparti centrali provvedono affinché la loro politica di continuità operativa delle TIC:

a) 

preveda un tempo massimo di ripristino delle funzioni essenziali non superiore a due ore;

b) 

tenga conto dei collegamenti esterni e delle interdipendenze all’interno delle infrastrutture finanziarie, comprese le sedi di negoziazione compensate dalla controparte centrale, i sistemi di pagamento e di regolamento titoli e gli enti creditizi utilizzati dalla controparte centrale o da una controparte centrale collegata;

c) 

preveda la predisposizione di dispositivi per:

i) 

garantire la continuità delle funzioni essenziali o importanti della controparte centrale sulla base di scenari catastrofici;

ii) 

mantenere un sito secondario per il trattamento dati in grado di garantire la continuità delle funzioni essenziali o importanti della controparte centrale, identico al sito primario;

iii) 

mantenere o avere accesso immediato a un sito operativo secondario, per consentire al personale di garantire la continuità del servizio in caso di indisponibilità del sito primario;

iv) 

considerare la necessità di altri siti per il trattamento dati, in particolare se la diversità dei profili di rischio dei siti primari e secondari non garantisce sufficientemente che gli obiettivi di continuità operativa della controparte centrale saranno raggiunti in tutti gli scenari.

Ai fini della lettera a), le controparti centrali completano le procedure e i pagamenti di fine giornata all’ora e nel giorno richiesti in tutte le circostanze.

Ai fini della lettera c), punto i), i dispositivi di cui a tale punto riguardano la disponibilità di risorse umane adeguate, il periodo massimo di inutilizzabilità delle funzioni essenziali e il passaggio e ripristino in un sito secondario.

Ai fini della lettera c), punto ii), il sito secondario per il trattamento dati di cui alla suddetta lettera ha un profilo di rischio geografico distinto da quello del sito primario.
EULAW Articolo 24 3.

Oltre ai requisiti di cui al paragrafo 1, i depositari centrali di titoli provvedono affinché la loro politica di continuità operativa delle TIC:

a) 

tenga conto di tutti i collegamenti e le interdipendenze con gli utenti, i fornitori di utenze critiche e di servizi critici, gli altri depositari centrali di titoli e altre infrastrutture di mercato;

b) 

preveda che gli accordi in materia di continuità operativa delle TIC garantiscano che l’obiettivo di tempo di ripristino per le funzioni essenziali o importanti non sia superiore a due ore.
EULAW Articolo 24 4.

Oltre ai requisiti di cui al paragrafo 1, le sedi di negoziazione provvedono affinché la loro politica di continuità operativa delle TIC garantisca che:

a) 

la negoziazione possa riprendere entro approssimativamente due ore dall’evento perturbatore;

b) 

la quantità massima di dati che potrebbe essere persa dai servizi informatici della sede di negoziazione dopo un evento perturbatore sia prossima allo zero.
EULAW Articolo 25 1.
Nel testare i piani di continuità operativa delle TIC ai sensi dell’articolo 11, paragrafo 6, del regolamento (UE) 2022/2554, le entità finanziarie tengono conto dell’analisi dell’impatto sulle attività aziendali (BIA) dell’entità finanziaria e della valutazione dei rischi informatici di cui all’articolo 3, paragrafo 1, lettera b), del presente regolamento.
EULAW Articolo 25 2.

Le entità finanziarie valutano, nel testare i loro piani di continuità operativa delle TIC di cui al paragrafo 1, se sono in grado di garantire la continuità delle funzioni essenziali o importanti dell’entità finanziaria. I test:

a) 

sono effettuati sulla base di scenari di test che simulano potenziali perturbazioni, compresa un’adeguata serie di scenari gravi ma plausibili;

b) 

comprendono il test dei servizi TIC forniti da fornitori terzi di servizi TIC, ove applicabile;

c) 

per le entità finanziarie diverse dalle microimprese di cui all’articolo 11, paragrafo 6, secondo comma, del regolamento (UE) 2022/2554, contengono scenari di passaggio dall’infrastruttura TIC primaria alla capacità ridondante, ai backup e alle attrezzature ridondanti;

d) 

sono concepiti per mettere in discussione i presupposti su cui si basano i piani di continuità operativa, compresi i meccanismi di governance e i piani di comunicazione delle crisi;

e) 

contengono procedure per verificare la capacità del personale delle entità finanziarie, dei fornitori terzi di servizi TIC, dei sistemi di TIC e dei servizi TIC di rispondere adeguatamente agli scenari debitamente presi in considerazione conformemente all’articolo 26, paragrafo 2.

Ai fini della lettera a), le entità finanziarie includono sempre nei test gli scenari considerati per l’elaborazione dei piani di continuità operativa.

Ai fini della lettera b), le entità finanziarie prendono in debita considerazione gli scenari legati all’insolvenza o a disfunzioni dei fornitori terzi di servizi TIC o ai rischi politici nelle giurisdizioni dei fornitori terzi di servizi TIC, se del caso.

Ai fini della lettera c), il test verifica se almeno le funzioni essenziali o importanti possono essere eseguite in modo appropriato per un periodo di tempo sufficiente e se è possibile ripristinare il normale funzionamento.
EULAW Articolo 25 3.

Oltre ai requisiti di cui al paragrafo 2, le controparti centrali coinvolgono nei test dei loro piani di continuità operativa delle TIC, di cui al paragrafo 1:

a) 

i partecipanti diretti;

b) 

i fornitori esterni;

c) 

i pertinenti enti dell’infrastruttura finanziaria con cui le controparti centrali hanno identificato interdipendenze nelle loro politiche di continuità operativa.
EULAW Articolo 25 4.

Oltre ai requisiti di cui al paragrafo 2, i depositari centrali di titoli coinvolgono nei test dei loro piani di continuità operativa delle TIC, di cui al paragrafo 1, a seconda dei casi:

a) 

gli utenti dei depositari centrali di titoli;

b) 

i fornitori di utenze critiche e di servizi critici;

c) 

altri depositari centrali di titoli;

d) 

altre infrastrutture di mercato;

e) 

qualsiasi altro ente con cui i depositari centrali di titoli abbiano identificato interdipendenze nella loro politica di continuità operativa.
EULAW Articolo 25 5.
Le entità finanziarie documentano i risultati dei test di cui al paragrafo 1. Tutte le carenze individuate in seguito a tali test sono analizzate, affrontate e comunicate all’organo di gestione.
EULAW Articolo 26 1.

Nell’elaborare i piani di risposta e ripristino relativi alle TIC di cui all’articolo 11, paragrafo 3, del regolamento (UE) 2022/2554, le entità finanziarie tengono conto dei risultati dell’analisi dell’impatto sulle attività aziendali (BIA) dell’entità finanziaria. Il piano di risposta e ripristino relativo alle TIC:

a) 

specifica le condizioni che ne determinano l’attivazione o la disattivazione e le eventuali eccezioni per tale attivazione o disattivazione;

b) 

descrive le azioni da intraprendere per garantire la disponibilità, l’integrità, la continuità e il ripristino almeno dei sistemi e dei servizi TIC a supporto di funzioni essenziali o importanti dell’entità finanziaria;

c) 

è concepito per soddisfare gli obiettivi di ripristino delle operazioni delle entità finanziarie;

d) 

è documentato e reso disponibile al personale coinvolto nell’esecuzione dei piani di risposta e ripristino relativi alle TIC ed è facilmente accessibile in caso di emergenza;

e) 

prevede opzioni di ripristino sia a breve che a lungo termine, compreso il ripristino parziale dei sistemi;

f) 

stabilisce gli obiettivi dei piani di risposta e ripristino relativi alle TIC e le condizioni per dichiarare la proficua esecuzione di tali piani.

Ai fini della lettera d), le entità finanziarie specificano chiaramente ruoli e responsabilità.
EULAW Articolo 26 2.

I piani di risposta e ripristino relativi alle TIC di cui al paragrafo 1 identificano gli scenari pertinenti, compresi quelli di gravi perturbazioni delle attività e di accresciuta probabilità del verificarsi di una perturbazione. Tali piani sviluppano scenari basati sulle informazioni correnti relative alle minacce e sugli insegnamenti tratti da precedenti eventi di perturbazioni delle attività. Le entità finanziarie tengono debitamente conto di tutti gli scenari seguenti:

a) 

attacchi informatici e passaggio tra l’infrastruttura TIC primaria e la capacità ridondante, i backup e le attrezzature ridondanti;

b) 

scenari in cui la qualità dell’esercizio di una funzione essenziale o importante si deteriora a un livello inaccettabile o viene meno, e considerano adeguatamente il potenziale impatto dell’insolvenza o di altre disfunzioni di pertinenti fornitori terzi di servizi TIC;

c) 

disfunzione parziale o totale dei locali, compresi gli uffici e le sedi aziendali, e dei centri di elaborazione dati;

d) 

disfunzione sostanziale delle risorse TIC o dell’infrastruttura di comunicazione;

e) 

non disponibilità di un numero critico di personale o di membri del personale incaricati di garantire la continuità delle operazioni;

f) 

impatto dei cambiamenti climatici e degli eventi legati al degrado ambientale, delle catastrofi naturali, delle pandemie e degli attacchi fisici, comprese le intrusioni e gli attacchi terroristici;

g) 

attacchi interni;

h) 

instabilità politica e sociale anche, se del caso, nella giurisdizione del fornitore terzo di servizi TIC e nel luogo in cui i dati sono memorizzati ed elaborati;

i) 

interruzioni di corrente generalizzate.
EULAW Articolo 26 3.
Qualora non sia possibile attuare le misure primarie di ripristino a breve termine a causa di costi, rischi, logistica o circostanze impreviste, i piani di risposta e ripristino relativi alle TIC di cui al paragrafo 1 prendono in considerazione opzioni alternative.
EULAW Articolo 26 4.
Nell’ambito dei piani di risposta e ripristino relativi alle TIC di cui al paragrafo 1, le entità finanziarie considerano e attuano misure di continuità per attenuare le disfunzioni dei fornitori terzi di servizi TIC a supporto di funzioni essenziali o importanti dell’entità finanziaria.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.