Articolo 27 Formato e contenuto della relazione sul riesame del quadro per la gestione dei rischi informatici

identifica chiaramente l’entità finanziaria oggetto della relazione e descrive la sua struttura di gruppo, se pertinente;

descrive il contesto della relazione in termini di natura, portata e complessità dei servizi, delle attività e delle operazioni dell’entità finanziaria, della sua organizzazione, delle funzioni essenziali identificate, della strategia, dei principali progetti o attività in corso, dei rapporti e della sua dipendenza da servizi e sistemi di TIC interni e appaltati o delle implicazioni che una perdita totale o un grave degrado di tali sistemi avrebbe in termini di funzioni essenziali o importanti e di efficienza del mercato;

riassume le modifiche di rilievo apportate al quadro per la gestione dei rischi informatici rispetto alla precedente relazione presentata;

fornisce una sintesi di livello esecutivo del profilo di rischio informatico corrente e a breve termine, del panorama delle minacce, della valutazione dell’efficacia dei controlli e della posizione in materia di sicurezza dell’entità finanziaria;

una sintesi delle misure adottate per porre rimedio alle debolezze, alle carenze e alle lacune identificate;

una data prevista per l’attuazione delle misure e le date relative al controllo interno dell’attuazione, comprese le informazioni sullo stato di avanzamento dell’attuazione di tali misure alla data di redazione della relazione, spiegando, se del caso, se esiste il rischio di non rispettare le scadenze;

gli strumenti da utilizzare e l’identificazione della funzione responsabile dell’esecuzione delle misure, specificando se gli strumenti e le funzioni sono interni o esterni;

una descrizione dell’impatto delle modifiche previste dalle misure sulle risorse di bilancio, umane e materiali dell’entità finanziaria, comprese le risorse dedicate all’attuazione di eventuali misure correttive;

le informazioni sul processo di informazione dell’autorità competente, se del caso;

nel caso in cui le debolezze, le carenze o le lacune identificate non siano oggetto di misure correttive, una spiegazione dettagliata dei criteri utilizzati per analizzare l’impatto di tali debolezze, carenze o lacune, per valutare il relativo rischio informatico residuo e dei criteri utilizzati per accettare il relativo rischio residuo;

un elenco dei riesami precedenti effettuati fino a quel momento;

se del caso, lo stato di attuazione delle misure correttive identificate nell’ultima relazione;

nel caso in cui le misure correttive proposte in occasione di riesami precedenti si siano rivelate inefficaci o abbiano creato problemi imprevisti, una descrizione di come tali misure correttive potrebbero essere migliorate o di tali problemi imprevisti;

per le entità finanziarie diverse dalle microimprese di cui all’articolo 6, paragrafo 6, del regolamento (UE) 2022/2554, i risultati degli audit interni;

i risultati delle valutazioni della conformità;

i risultati dei test di resilienza operativa digitale e, se del caso, i risultati di test avanzati, basati su test di penetrazione guidati dalla minaccia (threat-led penetration testing — TLPT), di strumenti, sistemi e processi TIC;

fonti esterne.