+Reliance Third-Party Assurance and Certifications

Reliance Third-Party Assurance and Certifications

Use, where appropriate, third-party certifications, third-party or internal audit reports made available by the ICT third-party service provider, or own audit reports to confirm adherence of contractual requirements on information access, inspection, audit, and ICT testing with the third-party. Rely on third-party certifications and audit reports from ICT third-party service providers only if the following specific conditions are met: the audit plan is aligned with contractual arrangements, the audit scope is comprehensive and covers identified systems and key controls, ongoing assessment of certification/report content are performed and validated, key systems and controls are covered in future versions of the certification or audit report, there is confidence in the certifying/auditing party's capabilities, certifications/audits adhere to recognized professional standards, the right to request scope expansion is covered in the contract, and right to perform discretionary audits is retained.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 6 straipsnis 6

6.   Finansų sektoriaus subjektų, išskyrus labai mažas įmones, IRT rizikos valdymo sistemai taikomas vidaus auditas, kurį reguliariai atlieka auditoriai pagal finansų sektoriaus subjektų audito planą. Tie auditoriai turi turėti pakankamai žinių, įgūdžių ir patirties IRT rizikos srityje, taip pat jų nepriklausomumas turi būti tinkamo lygio. IRT auditų dažnumas ir tikrinami aspektai turi atitikti finansų sektoriaus subjekto IRT riziką.
EULAW 11 straipsnis 3

3.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai įgyvendina susijusius IRT reagavimo ir veiklos atkūrimo planus, kuriems finansų sektoriaus subjektų, išskyrus labai mažas įmones, atveju taikomos nepriklausomo vidaus audito peržiūros.
EULAW 13 straipsnis 7

7.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, nuolat stebi atitinkamus technologinius pokyčius, taip pat siekdami suprasti galimą tokių naujų technologijų diegimo poveikį IRT saugumo reikalavimams ir skaitmeninės veiklos atsparumui. Jie nuolat atnaujina savo žinias apie naujausius IRT rizikos valdymo procesus, kad galėtų veiksmingai kovoti su esamų ar naujų formų kibernetiniais išpuoliais.
EULAW 28 straipsnis 6

6.   Naudodamiesi prieigos, patikrinimo ir audito teisėmis IRT paslaugas teikiančios trečiosios šalies atžvilgiu, finansų sektoriaus subjektai, laikydamiesi rizika grindžiamo požiūrio, iš anksto nustato auditų ir patikrinimų dažnumą bei audituotinas sritis pagal visuotinai pripažintus audito standartus, atitinkančius priežiūros institucijų nurodymus dėl tokių audito standartų naudojimo ir integravimo.

Jei sutartimi įforminti susitarimai, sudaryti su IRT paslaugas teikiančiomis trečiosiomis šalimis dėl IRT paslaugų naudojimo, reiškia didelį techninį sudėtingumą, finansų sektoriaus subjektas patikrina, ar auditoriai (ar tai būtų vidaus ar išorės auditoriai, ar auditorių grupė) turi tinkamų įgūdžių ir žinių, kad galėtų veiksmingai atlikti atitinkamą auditą ir vertinimą.