+Incident Classification Criteria

Incident Classification Criteria

Classify ICT-related incidents based on their impact using the following criteria: number of clients/customers or financial counterparts affected, number of transactions affected, reputational damage, duration of the incident and downtime of services, geographical spread of the incident, data loss in relation to the CIA-triad, criticality of the services affected, and the overall economic impact of the incident.

An incident is considered major if (1) any malicious unauthorised access to network and information systems is identified, which may result to data losses or (2) the thresholds of two additional criteria are met (refer to the DORA RTS IM (Major Incidents) sheet for the thresholds). Also, take into account recurring incidents, where recurring incidents are considered major when (1) the incidents have occurred at least twice within 6 months, (2) the incidents have the same apparent root cause, (3) the incidents collectively categorise as a major incident.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 18 straipsnis 1

1.   Finansų sektoriaus subjektai su IRT susijusius incidentus klasifikuoja ir jų poveikį nustato remdamiesi šiais kriterijais:

a)

klientų arba finansų partnerių, kurių veikla buvo sutrikdyta dėl su IRT susijusio incidento, skaičius ir (arba) svarbumas, taip pat, kai taikytina, sandorių, kuriuos sutrikdė su IRT susijęs incidentas, kiekis ar skaičius ir tai, ar su IRT susijęs incidentas turėjo poveikį reputacijai;

b)

su IRT susijusio incidento trukmė, įskaitant laiką, kurį nebuvo teikiamos paslaugos;

c)

geografinis pasiskirstymas su IRT susijusio incidento paveiktose vietovėse, ypač jei poveikis padarytas daugiau nei dviem valstybėms narėms;

d)

duomenų praradimas dėl su IRT susijusio incidento, kiek tai susiję su duomenų prieinamumu, autentiškumu, vientisumu ir konfidencialumu;

e)

paveiktų paslaugų, įskaitant finansų sektoriaus subjekto sandorius ir operacijas, ypatinga svarba;

f)

su IRT susijusio incidento ekonominis poveikis, visų pirma tiesioginės ir netiesioginės sąnaudos ir nuostoliai, tiek absoliučiąja, tiek santykine verte.
EULAW 18 straipsnis 2

2.   Finansų sektoriaus subjektai kibernetines grėsmes klasifikuoja kaip dideles atsižvelgdami į paslaugų, kurioms kyla rizika, įskaitant finansų sektoriaus subjekto sandorius ir operacijas, ypatingą svarbą, klientų arba finansų partnerių, kuriems gresia rizika, skaičių ir (arba) svarbumą ir geografinį vietovių, kurioms kyla rizika, pasiskirstymą.
EULAW 45 straipsnis 1

1.   Finansų sektoriaus subjektai gali tarpusavyje keistis informacija ir žvalgybos informacija apie kibernetines grėsmes, įskaitant užvaldymo rodiklius, taktiką, metodus ir procedūras, kibernetinio saugumo įspėjimus ir konfigūravimo priemones, tiek, kiek toks dalijamasis informacija ir žvalgybos informacija:

a)

yra skirtas finansų sektoriaus subjektų skaitmeninės veiklos atsparumui didinti, visų pirma didinant informuotumą apie kibernetines grėsmes, ribojant galimybes arba trukdant plisti kibernetinėms grėsmėms, remiant apsaugos pajėgumus, grėsmių aptikimo metodus, rizikos mažinimo strategijas arba reagavimo ir veiklos atkūrimo etapus;

b)

vyksta patikimose finansų sektoriaus subjektų bendruomenėse;

c)

yra įgyvendinamas pagal dalijimosi informacija schemas, kuriomis apsaugoma potencialiai neskelbtina informacija, kuria dalijamasi, ir kurioms taikomos elgesio taisyklės, visapusiškai atitinkančios verslo konfidencialumo reikalavimus, asmens duomenų apsaugos reikalavimus pagal Reglamentą (ES) 2016/679 ir konkurencijos politikos gaires.
EULAW 45 straipsnis 2

2.   1 dalies c punkto tikslais dalijimosi informacija schemose apibrėžiamos dalyvavimo sąlygos ir, kai tinkama, išsamiai išdėstomos valdžios institucijų dalyvavimo sąlygos ir kompetencija, pagal kurią jos gali būti įtrauktos į dalijimosi informacija schemas, IRT paslaugas teikiančių trečiųjų šalių dalyvavimo sąlygos ir operaciniai elementai, įskaitant specialių IT platformų naudojimą.
EULAW 45 straipsnis 3

3.   Finansų sektoriaus subjektai praneša kompetentingoms institucijoms apie savo dalyvavimą 1 dalyje nurodytose dalijimosi informacija schemose, kai jų narystė patvirtinama arba, jei taikytina, nutraukiama, kai tas nutraukimas įsigalioja.