+27 straipsnis 2.

27 straipsnis 2.

Į 1 dalyje nurodytą ataskaitą finansų sektoriaus subjektai įtraukia šią informaciją:

a) 

įžanginį skirsnį, kuriame:

i) 

aiškiai nustatomas finansų sektoriaus subjektas, kuris yra ataskaitos objektas, ir atitinkamais atvejais aprašoma jo grupės struktūra;

ii) 

aprašomos ataskaitos rengimo aplinkybės: finansų sektoriaus subjekto paslaugų, veiklos ir operacijų pobūdis, mastas ir sudėtingumas, jo organizacinė struktūra, nustatytos ypatingos svarbos funkcijos, strategija, pagrindiniai tuo metu vykdomi projektai ar veikla, santykiai ir priklausomybė nuo savo darbuotojų teikiamų ar užsakytų IRT paslaugų ir sistemų arba tokių sistemų visiško praradimo arba smarkaus pablogėjimo pasekmės ypatingos svarbos arba svarbioms funkcijoms ir rinkos veiksmingumui;

iii) 

apibendrinami svarbūs IRT rizikos valdymo sistemos pakeitimai nuo ankstesnės pateiktos ataskaitos;

iv) 

pateikiama finansų sektoriaus subjekto dabartinio ir trumpo termino IRT rizikos profilio, grėsmių aplinkos, įvertinto jo kontrolės priemonių veiksmingumo ir saugumo būklės glausta santrauka;

b) 

datą, kurią finansų sektoriaus subjekto valdymo organas patvirtino ataskaitą;

c) 

IRT rizikos valdymo sistemos peržiūros priežasties aprašymą pagal Reglamento (ES) 2022/2554 6 straipsnio 5 dalį;

d) 

peržiūros laikotarpio pradžios ir pabaigos datas;

e) 

už peržiūrą atsakingą funkciją;

f) 

svarbių IRT rizikos valdymo sistemos pakeitimų ir patobulinimų nuo ankstesnės ataskaitos aprašymą;

g) 

peržiūros išvadų santrauką ir išsamią IRT rizikos valdymo sistemos silpnųjų vietų, trūkumų ir spragų, aptiktų per peržiūrą, kritiškumo analizę ir įvertinimą;

h) 

priemonių, kuriomis šalinamos nustatytos silpnosios vietos, trūkumai ir spragos, aprašymą, įskaitant visus šiuos elementus:

i) 

priemonių, kurių imtasi nustatytoms silpnosioms vietoms, trūkumams ar spragoms ištaisyti, santrauką;

ii) 

numatomą priemonių įgyvendinimo datą ir įgyvendinimo vidaus kontrolės datas, įskaitant informaciją apie tų priemonių įgyvendinimo eigą ataskaitos rengimo metu, atitinkamais atvejais paaiškinant, ar esama rizikos, kad terminų gali būti nesilaikoma;

iii) 

naudotinas priemones ir už priemonių vykdymą atsakingas funkcijas, patikslinant, ar priemonės ir funkcijos yra vidaus, ar išorės;

iv) 

numatytų priemonių pakeitimų poveikio finansų sektoriaus subjekto biudžeto, žmogiškiesiems ir materialiniams ištekliams, įskaitant visoms taisomosioms priemonėms įgyvendinti skirtus išteklius, aprašymą;

v) 

informaciją apie kompetentingos institucijos informavimo atitinkamais atvejais procesą;

vi) 

tais atvejais, kai nustatytoms silpnosioms vietoms, trūkumams ar spragoms taisomosios priemonės netaikomos, – išsamų kriterijų, taikomų analizuojant tų silpnųjų vietų, trūkumų ar spragų poveikį, vertinant ir pripažįstant susijusią liekamąją IRT riziką, paaiškinimą;

i) 

informaciją apie planuojamą tolesnę IRT rizikos valdymo sistemos plėtotę;

j) 

IRT rizikos valdymo sistemos peržiūros išvadas;

k) 

informaciją apie ankstesnes peržiūras, įskaitant:

i) 

iki to momento atliktų ankstesnių peržiūrų sąrašą;

ii) 

atitinkamais atvejais ankstesnėje ataskaitoje nustatytų taisomųjų priemonių įgyvendinimo būklę;

iii) 

tais atvejais, kai paaiškėjo, kad ankstesnėje ataskaitoje nustatytos taisomosios priemonės yra neveiksmingos arba kelia nenumatytų problemų, – tų taisomųjų priemonių galimo patobulinimo arba tų nenumatytų problemų aprašymą;

l) 

rengiant ataskaitą naudotus informacijos šaltinius, įskaitant visus šiuos elementus:

i) 

finansų sektoriaus subjektų, išskyrus labai mažas įmones, kaip nurodyta Reglamento (ES) 2022/2554 6 straipsnio 6 dalyje, atveju – vidaus auditų išvadas;

ii) 

atitikties įvertinimo išvadas;

iii) 

IRT priemonių, sistemų ir procesų skaitmeninės veiklos atsparumo testavimo rezultatus ir atitinkamais atvejais pažangaus testavimo, paremto grėsmėmis grindžiamu skverbimosi testavimu, rezultatus;

iv) 

išorės šaltinius.

Taikant c punktą, tais atvejais, kai peržiūra pradėta laikantis priežiūros nurodymų arba vadovaujantis išvadomis, gautomis iš atitinkamo skaitmeninės veiklos atsparumo testavimo arba audito procesų, į ataskaitą įtraukiamos aiškios nuorodos į tokius nurodymus ar išvadas, leidžiančios nustatyti peržiūros pradėjimo priežastį. Tais atvejais, kai peržiūra pradėta po su IRT susijusių incidentų, į ataskaitą įtraukiamas visų su IRT susijusių incidentų sąrašas ir incidentų pirminių priežasčių analizė.

Taikant f punktą, į aprašymą įtraukiama pasikeitimų poveikio finansų sektoriaus subjekto skaitmeninės veiklos atsparumo strategijai, finansų sektoriaus subjekto IRT vidaus kontrolės sistemai ir finansų sektoriaus subjekto IRT rizikos valdymo sistemai analizė.

1. Apžvalga

,

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję standartai

Standartai