+Crisis Management

Crisis Management

Formulate and maintain a crisis management team tasked with overseeing and coordinating actions during a crisis or major disruption. Regularly review recovery/response plans. Make necessary adjustments to enhance effectiveness.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 11 straipsnis 1

1.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą, remdamiesi 8 straipsnyje nurodytais nustatymo reikalavimais, finansų sektoriaus subjektai įdiegia išsamią IRT veiklos tęstinumo politiką, kuri gali būti priimta kaip speciali specifinė politika, sudaranti neatsiejamą finansų sektoriaus subjekto bendros veiklos tęstinumo politikos dalį.
EULAW 11 straipsnis 6

6.   Vykdydami visapusišką IRT rizikos valdymą, finansų sektoriaus subjektai:

a)

testuoja IRT veiklos tęstinumo planus ir IRT reagavimo ir veiklos atkūrimo planus, susijusius su visas funkcijas palaikančiomis IRT sistemomis, bent kartą per metus, taip pat padarius bet kokius esminius pakeitimus ypatingos svarbos arba svarbias funkcijas palaikančiose IRT sistemose;

b)

testuoja pagal 14 straipsnį parengtus krizės komunikacijos planus.

Pirmos pastraipos a punkto tikslais finansų sektoriaus subjektai, išskyrus labai mažas įmones, į testavimo planus įtraukia kibernetinių išpuolių ir pirminės IRT infrastruktūros pakeitimo atsarginiais pajėgumais, atsarginėmis kopijomis ir atsarginiais įrenginiais, būtinais 12 straipsnyje nustatytoms pareigoms įvykdyti, scenarijus.

Finansų sektoriaus subjektai reguliariai peržiūri savo IRT veiklos tęstinumo politiką ir IRT reagavimo ir veiklos atkūrimo planus, atsižvelgdami į pagal pirmą pastraipą atliktų testų rezultatus ir rekomendacijas, pateiktas atlikus audito patikras arba priežiūrinį tikrinimą.
EULAW 11 straipsnis 2

2.   Finansų sektoriaus subjektai įgyvendina IRT veiklos tęstinumo politiką taikydami specialius, tinkamus ir dokumentais pagrįstus susitarimus, planus, procedūras ir mechanizmus, kuriais siekiama:

a)

užtikrinti finansų sektoriaus subjekto ypatingos svarbos arba svarbių funkcijų tęstinumą;

b)

greitai, tinkamai ir veiksmingai reaguoti į visus su IRT susijusius incidentus ir juos spręsti taip, kad būtų padaryta kuo mažesnė žala, o pirmenybė būtų teikiama veiklos atnaujinimo ir atkūrimo veiksmams;

c)

nedelsiant pradėti įgyvendinti specialius planus, kuriais sudaromos sąlygos taikyti izoliavimo priemones, procesus ir technologijas, kurie yra pritaikyti atsižvelgiant į kiekvieną su IRT susijusių incidentų rūšį, ir užkirsti kelią tolesnei žalai, taip pat pagal 12 straipsnį nustatytas pritaikytas reagavimo ir veiklos atkūrimo procedūras;

d)

įvertinti preliminarų poveikį, žalą ir nuostolius;

e)

nustatyti komunikacijos ir krizių valdymo veiksmus, kuriais užtikrinama, kad atnaujinta informacija būtų perduodama visiems atitinkamiems vidaus darbuotojams ir išorės suinteresuotiesiems subjektams pagal 14 straipsnį, ir teikti pranešimus kompetentingoms institucijoms pagal 19 straipsnį.
EULAW 11 straipsnis 4

4.   Finansų sektoriaus subjektai nustato, taiko ir periodiškai testuoja atitinkamus IRT veiklos tęstinumo planus, visų pirma susijusius su ypatingos svarbos arba svarbiomis funkcijomis, kurių vykdymas perduotas arba pagal susitarimus patikėtas vykdyti IRT paslaugas teikiančioms trečiosioms šalims.
EULAW 11 straipsnis 5

5.   Pagal bendrą veiklos tęstinumo politiką finansų sektoriaus subjektai atlieka didelių verslo sutrikdymų rizikos poveikio verslui analizę. Vykdydami poveikio verslui analizę finansų sektoriaus subjektai įvertina galimą didelių verslo sutrikdymų poveikį taikydami kiekybinius ir kokybinius kriterijus, atitinkamai naudodami vidaus ir išorės duomenis ir scenarijų analizę. Poveikio verslui analizėje atsižvelgiama į nustatytų ir pažymėtų veiklos funkcijų ypatingą svarbą, palaikymo procesus, priklausomybę nuo trečiųjų šalių ir informacinį turtą ir jų tarpusavio priklausomybę. Finansų sektoriaus subjektai užtikrina, kad IRT turtas ir IRT paslaugos būtų kuriamos ir naudojamos visapusiškai atsižvelgiant į poveikio verslui analizę, visų pirma siekiant tinkamai užtikrinti visų ypatingos svarbos komponentų atsarginius pajėgumus.
EULAW 11 straipsnis 7

7.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, įdiegia krizių valdymo funkciją, kuri, pradėjus įgyvendinti IRT veiklos tęstinumo planus arba IRT reagavimo ir veiklos atkūrimo planus, nustato, inter alia, aiškias vidaus ir išorės pranešimų krizės atveju valdymo procedūras pagal 14 straipsnį.
EULAW 11 straipsnis 8

8.   Kai pradedami įgyvendinti IRT veiklos tęstinumo planai arba IRT reagavimo ir veiklos atkūrimo planai, finansų sektoriaus subjektai saugo įrašus apie veiklą iki sutrikdymo įvykių ir jų metu ir šie įrašai turi būti prieinami bet kuriuo metu.
EULAW 11 straipsnis 9

9.   Centriniai vertybinių popierių depozitoriumai pateikia kompetentingoms institucijoms IRT veiklos tęstinumo testų ar panašių tikrinimų rezultatų kopijas.
EULAW 11 straipsnis 10

10.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, kompetentingoms institucijoms jų prašymu praneša apie preliminariai apskaičiuotas bendras metines išlaidas ir nuostolius, patirtus dėl didelių su IRT susijusių incidentų.
EULAW 14 straipsnis 1

1.   Finansų sektoriaus subjektai, įgyvendindami 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą, nustato krizių komunikacijos planus, pagal kuriuos būtų galima atsakingai atskleisti informaciją apie bent didelius su IRT susijusius incidentus arba pažeidžiamumus atitinkamai klientams ir partneriams, taip pat visuomenei.
EULAW 24 straipsnis 1.

Finansų sektoriaus subjektai į Reglamento (ES) 2022/2554 11 straipsnio 1 dalyje nurodytą IRT veiklos tęstinumo politiką įtraukia visus šiuos elementus:

a) 

toliau nurodytų dalykų aprašymą:

i) 

IRT veiklos tęstinumo politikos tikslų, įskaitant IRT ir bendro veiklos tęstinumo tarpusavio ryšį, atsižvelgiant į Reglamento (ES) 2022/2554 11 straipsnio 5 dalyje nurodytos poveikio veiklai analizės rezultatus;

ii) 

IRT veiklos tęstinumo politikos priemonių, planų, procedūrų ir mechanizmų masto, įskaitant apribojimus ir išimtis;

iii) 

IRT veiklos tęstinumo politikos priemonių, planų, procedūrų ir mechanizmų taikymo termino;

iv) 

kriterijų, pagal kuriuos pradedami ir nustojami vykdyti IRT veiklos tęstinumo planai, IRT reagavimo ir veiklos atkūrimo planai ir krizių komunikacijos planai;

b) 

nuostatas dėl:

i) 

IRT veiklos tęstinumo politikos, įskaitant vaidmenis, pareigas ir incidentų sprendimo procedūras, įgyvendinimo valdymo ir organizavimo užtikrinant galimybę naudotis pakankamais ištekliais;

ii) 

IRT veiklos tęstinumo planų ir bendrų veiklos tęstinumo planų suderinimo, taikomo bent šiems elementams:

1) 

galimiems gedimo scenarijams, įskaitant šio reglamento 26 straipsnio 2 dalyje nurodytus scenarijus;

2) 

atkūrimo tikslams, nustatant, kad po sutrikimų finansų sektoriaus subjektas turi gebėti atkurti savo ypatingos svarbos arba svarbių funkcijų veikimą pagal veiklos atkūrimo laiko ir veiklos atkūrimo taško tikslus;

iii) 

įvykus dideliems veiklos sutrikimams taikomų IRT veiklos tęstinumo planų parengimo ir IRT veiklos tęstinumo veiksmų prioritetų nustatymo taikant rizika grindžiamą požiūrį;

iv) 

IRT reagavimo ir veiklos atkūrimo planų rengimo, testavimo ir peržiūros pagal šio reglamento 25 ir 26 straipsnius;

v) 

įgyvendinamų IRT veiklos tęstinumo politikos priemonių, planų, procedūrų ir mechanizmų veiksmingumo peržiūros pagal šio reglamento 26 straipsnį;

vi) 

IRT veiklos tęstinumo politikos suderinimo su:

1) 

komunikacijos politika, nurodyta Reglamento (ES) 2022/2554 14 straipsnio 2 dalyje;

2) 

komunikacijos ir krizių komunikacijos veiksmais, nurodytais Reglamento (ES) 2022/2554 11 straipsnio 2 dalies e punkte.
EULAW 24 straipsnis 2.

Be 1 dalyje nurodytų reikalavimų, pagrindinės sandorio šalys užtikrina, kad jų IRT veiklos tęstinumo politika:

a) 

būtų numatytas ilgiausias jų ypatingos svarbos funkcijų atkūrimo laikas, neviršijantis dviejų valandų;

b) 

būtų atsižvelgta į finansinių infrastruktūrų, įskaitant prekybos vietas, kurių tarpuskaitą atlieka pagrindinė sandorio šalis, vertybinių popierių atsiskaitymo sistemas, mokėjimo sistemas ir kredito įstaigas, kuriomis naudojasi pagrindinė sandorio šalis arba susieta pagrindinė sandorio šalis, išorės ryšius ir tarpusavio priklausomybę;

c) 

būtų reikalaujama nustatyti priemones, kuriomis:

i) 

pagal nelaimių scenarijus užtikrinamas pagrindinės sandorio šalies ypatingos svarbos arba svarbių funkcijų tęstinumas;

ii) 

palaikoma antrinė duomenų tvarkymo vieta, kuri gali užtikrinti pagrindinės sandorio šalies ypatingos svarbos arba svarbių funkcijų tęstinumą lygiai taip pat kaip pirminė vieta;

iii) 

palaikoma antrinė veiklos vieta ar nedelsiant suteikiama prieiga prie jos, kad darbuotojai galėtų užtikrinti paslaugos tęstinumą, jei pirminė veiklos vieta taptų neprieinama;

iv) 

įvertinamas poreikis turėti papildomų duomenų tvarkymo vietų, visų pirma tais atvejais, kai pirminės ir antrinės vietų rizikos profilio skirtumai nesuteikia pakankamai tikrumo, kad pagrindinės sandorio šalies veiklos tęstinumo tikslai bus įgyvendinti įvykus visiems scenarijams.

Taikydamos a punktą, pagrindinės sandorio šalys visais atvejais užbaigia dienos pabaigos procedūras ir mokėjimus reikiamą dieną ir laiku.

Taikant c punkto i papunktį, tame punkte nurodomomis priemonėmis sprendžiamos pakankamų žmogiškųjų išteklių, ilgiausio ypatingos svarbos funkcijų neveikimo laiko, veiklos perkėlimo į antrinę vietą ir atkūrimo toje vietoje problemos.

Taikant c punkto ii papunktį, tame papunktyje nurodytos antrinės duomenų tvarkymo vietos geografinės rizikos profilis turi skirtis nuo pirminės vietos geografinės rizikos profilio.
EULAW 24 straipsnis 3.

Be 1 dalyje nurodytų reikalavimų, centriniai vertybinių popierių depozitoriumai užtikrina, kad jų IRT veiklos tęstinumo politika:

a) 

būtų atsižvelgiama į naudotojų, ypatingos svarbos komunalinių paslaugų ir ypatingos svarbos paslaugų teikėjų, kitų centrinių vertybinių popierių depozitoriumų ir kitų rinkos infrastruktūrų ryšius ir tarpusavio priklausomybę;

b) 

būtų įpareigojama IRT veiklos tęstinumo priemonėmis užtikrinti, kad ypatingos svarbos arba svarbių funkcijų atkūrimo laiko tikslas neviršytų dviejų valandų.
EULAW 24 straipsnis 4.

Be 1 dalyje nurodytų reikalavimų, prekybos vietos užtikrina, kad jų IRT veiklos tęstinumo politika būtų užtikrinama, kad:

a) 

prekyba galėtų būti atnaujinta per dvi valandas arba nedaug ilgesnį nei dvi valandos laikotarpį po sutrikimą sukėlusio incidento;

b) 

didžiausias kiekis duomenų, kuriuos gali prarasti bet kuri prekybos vietos IT paslauga po sutrikimą sukėlusio incidento, būtų artimas nuliui.
EULAW 25 straipsnis 1.
Testuodami IRT veiklos tęstinumo planus pagal Reglamento (ES) 2022/2554 11 straipsnio 6 dalį, finansų sektoriaus subjektai atsižvelgia į savo atliktą poveikio veiklai analizę ir IRT rizikos vertinimą, nurodytą šio reglamento 3 straipsnio 1 dalies b punkte.
EULAW 25 straipsnis 2.

Testuodami 1 dalyje nurodytus savo IRT veiklos tęstinumo planus, finansų sektoriaus subjektai įvertina, ar yra pajėgūs užtikrinti savo ypatingos svarbos arba svarbių funkcijų tęstinumą. Tas testavimas:

a) 

atliekamas remiantis testavimo scenarijais, pagal kuriuos imituojami galimi sutrikimai, įskaitant tinkamą grupę blogiausių, bet tikėtinų scenarijų;

b) 

atitinkamais atvejais apima IRT paslaugų, kurias teikia IRT paslaugas teikiančios trečiosios šalys, testavimą;

c) 

finansų sektoriaus subjektų, išskyrus labai mažas įmones, kaip nurodyta Reglamento (ES) 2022/2554 11 straipsnio 6 dalies antroje pastraipoje, atveju, – apima pirminės IRT infrastruktūros pakeitimo atsarginiais pajėgumais, atsarginėmis kopijomis ir atsarginiais įrenginiais scenarijus;

d) 

turi tikslą patikrinti prielaidas, kuriomis grindžiami veiklos tęstinumo planai, įskaitant valdymo priemones ir krizių komunikacijos planus;

e) 

apima procedūras, skirtas patikrinti finansų sektoriaus subjekto darbuotojų, IRT paslaugas teikiančių trečiųjų šalių, IRT sistemų ir IRT paslaugų gebėjimą tinkamai reaguoti į scenarijus, į kuriuos deramai atsižvelgta pagal 26 straipsnio 2 dalį.

Taikydami a punktą, finansų sektoriaus subjektai visada į testavimą įtraukia scenarijus, svarstytus rengiant veiklos tęstinumo planus.

Taikydami b punktą, finansų sektoriaus subjektai deramai atsižvelgia į scenarijus, susijusius su IRT paslaugas teikiančių trečiųjų šalių nemokumu ar sutrikimais arba, kai aktualu, susijusius su politine rizika IRT paslaugas teikiančių trečiųjų šalių jurisdikcijose.

Taikydami c punktą, finansų sektoriaus subjektai patikrina, ar bent ypatingos svarbos arba svarbios funkcijos gali būti tinkamai vykdomos pakankamą laikotarpį ir ar gali būti atkurtas įprastas veikimas.
EULAW 25 straipsnis 3.

Be 2 dalyje nurodytų reikalavimų, pagrindinės sandorio šalys į 1 dalyje nurodytą IRT veiklos tęstinumo planų testavimą įtraukia:

a) 

tarpuskaitos narius;

b) 

išorės tiekėjus;

c) 

atitinkamas finansinės infrastruktūros įstaigas, su kuriomis pagrindines sandorio šalis, kaip nustatyta jų veiklos tęstinumo politikoje, sieja tarpusavio priklausomybės ryšiai.
EULAW 25 straipsnis 4.

Be 2 dalyje nurodytų reikalavimų, centriniai vertybinių popierių depozitoriumai į 1 dalyje nurodytą IRT veiklos tęstinumo planų testavimą atitinkamais atvejais įtraukia:

a) 

centrinių vertybinių popierių depozitoriumų naudotojus;

b) 

ypatingos svarbos komunalinių paslaugų ir ypatingos svarbos paslaugų teikėjus;

c) 

kitus centrinius vertybinių popierių depozitoriumus;

d) 

kitas rinkos infrastruktūras;

e) 

visas kitas įstaigas, su kuriomis centrinių vertybinių popierių depozitoriumus, kaip nustatyta jų veiklos tęstinumo politikoje, sieja tarpusavio priklausomybės ryšiai.
EULAW 25 straipsnis 5.
Finansų sektoriaus subjektai 1 dalyje nurodyto testavimo rezultatus dokumentuoja. Visi atliekant tą testavimą nustatyti trūkumai yra analizuojami, šalinami ir informacija apie juos pateikiama valdymo organui.
EULAW 26 straipsnis 1.

Rengdami Reglamento (ES) 2022/2554 11 straipsnio 3 dalyje nurodytus IRT reagavimo ir veiklos atkūrimo planus, finansų sektoriaus subjektai atsižvelgia į savo atliktos poveikio veiklai analizės rezultatus. Tie IRT reagavimo ir veiklos atkūrimo planai:

a) 

nustato sąlygas, kuriomis šie planai pradedami ar baigiami vykdyti, ir visas tokio pradėjimo ar užbaigimo išimtis;

b) 

aprašo veiksmus, kurių reikia imtis siekiant užtikrinti bent IRT sistemų ir paslaugų, kuriomis palaikomos finansų sektoriaus subjekto ypatingos svarbos arba svarbios funkcijos, prieinamumą, vientisumą, tęstinumą ir atkūrimą;

c) 

siekia įvykdyti finansų sektoriaus subjekto operacijų atkūrimo tikslus;

d) 

yra dokumentuoti ir prieinami darbuotojams, dalyvaujantiems įgyvendinant IRT reagavimo ir veiklos atkūrimo planus, bei nedelsiant pasiekiami neatidėliotinu atveju;

e) 

numato tiek trumpalaikio, tiek ilgalaikio atkūrimo variantus, be kita ko, dalinį sistemų atkūrimą;

f) 

nustato IRT reagavimo ir veiklos atkūrimo planų tikslus ir sąlygas, kuriomis galima deklaruoti sėkmingą tų planų įvykdymą.

Taikydami d punktą, finansų sektoriaus subjektai aiškiai nustato vaidmenis ir pareigas.
EULAW 26 straipsnis 2.

1 dalyje nurodytuose IRT reagavimo ir veiklos atkūrimo planuose nustatomi atitinkami scenarijai, įskaitant didelių veiklos sutrikimų scenarijus ir didesnės sutrikimų tikimybės scenarijus. Pagal tuos planus parengiami scenarijai, grindžiami esama informacija apie grėsmes ir patirtį, įgytą ankstesnių veiklos sutrikimų atvejais. Finansų sektoriaus subjektai deramai atsižvelgia į šiuos scenarijus:

a) 

kibernetinius išpuolius ir pirminės IRT infrastruktūros pakeitimą atsarginiais pajėgumais, atsarginėmis kopijomis ir atsarginiais įrenginiais;

b) 

scenarijus, pagal kuriuos ypatingos svarbos arba svarbios funkcijos vykdymo kokybė suprastėja iki nepriimtino lygio arba funkcija nebevykdoma ir kuriais tinkamai atsižvelgiama į galimą bet kurios atitinkamos IRT paslaugas teikiančios trečiosios šalies nemokumo ar kitokio įsipareigojimų nevykdymo poveikį;

c) 

dalinį arba visišką patalpų, įskaitant biurų ir veiklos patalpas bei duomenų centrus, sugadinimą;

d) 

reikšmingą IRT turto arba ryšių infrastruktūros sugadinimą;

e) 

kritinės dalies personalo ar darbuotojų, atsakingų už operacijų tęstinumo užtikrinimą, nebuvimą;

f) 

su klimato kaitos ir aplinkos būklės blogėjimo poveikiu susijusius įvykius, stichines nelaimes, pandemijas ir fizinius išpuolius, be kita ko, įsibrovimą ir teroristinius išpuolius;

g) 

vidaus subjektų išpuolius;

h) 

politinius ir socialinius neramumus, be kita ko, atitinkamais atvejais IRT paslaugas teikiančios trečiosios šalies jurisdikcijoje ir vietose, kuriose saugomi ir tvarkomi duomenys;

i) 

plataus masto elektros atjungimą.
EULAW 26 straipsnis 3.
Kai trumpuoju laikotarpiu neįmanoma taikyti pirminių atkūrimo priemonių dėl išlaidų, rizikos, logistikos ar nenumatytų aplinkybių, 1 dalyje nurodytuose IRT reagavimo ir veiklos atkūrimo planuose apsvarstomi alternatyvūs variantai.
EULAW 26 straipsnis 4.
Taikydami 1 dalyje nurodytus IRT reagavimo ir veiklos atkūrimo planus, finansų sektoriaus subjektai įvertina ir įgyvendina tęstinumo priemones, kuriomis mažinamas IRT paslaugas, kuriomis palaikomos finansų sektoriaus subjekto ypatingos svarbos arba svarbios funkcijos, teikiančių trečiųjų šalių trikčių poveikis.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.