+Inclusion of Third-Party Providers

Inclusion of Third-Party Providers

Incorporate ICT third-party service providers as participants in relevant training programs, where appropriate. Third-parties shall be informed on the ICT security policies, procedures and protocols and be made aware of the reporting channels put in place for detecting anomalous activities. Upon termination of employment or contract termination, the third-parties are required to return all ICT assets and information assets that belong to the financial entity. 

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 5 straipsnis 2

2.   Finansų sektoriaus subjekto valdymo organas nustato, tvirtina, prižiūri visų priemonių, susijusių su 6 straipsnio 1 dalyje nurodyta IRT rizikos valdymo sistema, įgyvendinimą ir už jį atsako.

Taikant pirmą pastraipą, valdymo organas:

a)

prisiima galutinę atsakomybę už finansų sektoriaus subjekto IRT rizikos valdymą;

b)

nustato politiką, kuria siekiama užtikrinti, kad būtų išlaikyti aukšti duomenų prieinamumo, autentiškumo, vientisumo ir konfidencialumo standartai;

c)

nustato aiškius visų su IRT susijusių funkcijų vaidmenis ir atsakomybę ir nustato tinkamas valdymo priemones, kad būtų užtikrintas veiksmingas ir laiku vykdomas tų funkcijų tarpusavio komunikavimas, bendradarbiavimas ir koordinavimas;

d)

prisiima bendrą atsakomybę už tai, kad būtų nustatyta ir patvirtinta 6 straipsnio 8 dalyje nurodyta skaitmeninės veiklos atsparumo strategija, įskaitant atitinkamo finansų sektoriaus subjektui priimtino IRT rizikos lygmens nustatymą, kaip nurodyta 6 straipsnio 8 dalies b punkte;

e)

tvirtina, prižiūri ir periodiškai peržiūri finansų sektoriaus subjekto IRT veiklos tęstinumo politiką ir IRT reagavimo ir veiklos atkūrimo planus, kurie atitinkamai nurodyti 11 straipsnio 1 ir 3 dalyse, įgyvendinimą; ši politika ir planai gali būti priimti kaip speciali specifinė politika, sudaranti neatsiejamą finansų sektoriaus subjekto bendros veiklos tęstinumo politikos ir reagavimo bei veiklos atkūrimo plano dalį;

f)

tvirtina ir periodiškai peržiūri finansų sektoriaus subjekto IRT vidaus audito planus, IRT auditus ir jų esminius pakeitimus;

g)

paskirsto ir periodiškai peržiūri atitinkamą biudžetą, kad būtų tenkinami finansų sektoriaus subjekto skaitmeninės veiklos atsparumo poreikiai, susiję su visų rūšių ištekliais, įskaitant atitinkamas informuotumo apie IRT saugumą programas ir skaitmeninės veiklos atsparumo mokymą, nurodytus 13 straipsnio 6 dalyje, taip pat visų darbuotojų IRT įgūdžius;

h)

tvirtina ir periodiškai peržiūri finansų sektoriaus subjekto politiką dėl susitarimų, susijusių su IRT paslaugas teikiančių trečiųjų šalių teikiamų IRT paslaugų naudojimu;

i)

įdiegia įmonės lygmeniu pranešimų teikimo kanalus, kad galėtų būti tinkamai informuojamas apie:

i)

susitarimus, sudarytus su IRT paslaugas teikiančiomis trečiosiomis šalimis dėl IRT paslaugų naudojimo,

ii)

visus atitinkamus planuojamus esminius pokyčius, susijusius su IRT paslaugas teikiančiomis trečiosiomis šalimis,

iii)

galimą tokių pokyčių poveikį ypatingos svarbos arba svarbioms funkcijoms, dėl kurių sudaryti tokie susitarimai, įskaitant rizikos analizės santrauką, kad būtų galima įvertinti tų pokyčių poveikį, taip pat bent apie didelius su IRT susijusius incidentus bei jų poveikį ir apie reagavimo, veiklos atkūrimo ir taisomąsias priemones.
EULAW 13 straipsnis 6

6.   Finansų sektoriaus subjektai parengia ir į savo darbuotojų mokymo programas įtraukia privalomus informuotumo apie IRT saugumą programų ir skaitmeninės veiklos atsparumo mokymų modulius. Tos programos ir mokymai taikomi visiems darbuotojams ir vyresniosios vadovybės darbuotojams, o jų sudėtingumas turi būti proporcingas jų pareigas atitinkantiems įgaliojimams. Kai tinkama, finansų sektoriaus subjektai į savo atitinkamas mokymo programas taip pat įtraukia IRT paslaugas teikiančias trečiąsias šalis pagal 30 straipsnio 2 dalies i punktą.