+10. pants 2.

10. pants 2.

Šā panta 1. punktā minētās ievainojamības pārvaldības procedūras:

a) 

nosaka un atjaunina nozīmīgus un uzticamus informācijas resursus, lai veidotu un uzturētu informētību par ievainojamību;

b) 

nodrošina automatizētas ievainojamības skenēšanas un IKT aktīvu novērtējumu veikšanu, kur šo darbību biežums un tvērums ir samērīgs ar klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un ar IKT aktīva vispārējo riska profilu;

c) 

pārbauda, vai:

i) 

trešās personas, kas sniedz IKT pakalpojumus, rīkojas attiecībā uz ievainojamību, kas saistīta ar finanšu vienībai sniegtajiem IKT pakalpojumiem;

ii) 

minētie pakalpojumu sniedzēji laikus ziņo finanšu vienībai vismaz par kritisku ievainojamību un statistiku un tendencēm;

d) 

seko līdzi tam, kā izmanto:

i) 

trešo personu bibliotēkas, tajā skaitā atklātā pirmkoda bibliotēkas, ko izmanto IKT pakalpojumi, kuri atbalsta kritiskas vai svarīgas funkcijas;

ii) 

IKT pakalpojumus, ko izstrādājusi pati finanšu vienība vai ko finanšu vienībai īpaši pielāgojusi vai izstrādājusi trešā persona, kura sniedz IKT pakalpojumus;

e) 

nosaka procedūras atbildīgai ievainojamības atklāšanai klientiem, darījumu partneriem un sabiedrībai;

f) 

nosaka ielāpu un citu riska mazināšanas pasākumu izvēršanas prioritātes identificētās ievainojamības risināšanai;

g) 

uzrauga un verificē ievainojamības izlabošanu;

h) 

pieprasa, lai tiek reģistrēta jebkura atklātā ievainojamība, kas ietekmē IKT sistēmas, un tiek uzraudzīta ievainojamības atrisināšana.

Šā punkta b) apakšpunkta nolūkos finanšu vienības vismaz reizi nedēļā veic automatizētu ievainojamības skenēšanu un novērtējumus par IKT aktīviem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas.

Šā punkta c) apakšpunkta nolūkos finanšu vienības pieprasa, lai trešās personas, kas sniedz IKT pakalpojumus, izmeklē attiecīgo ievainojamību, noskaidro cēloņus un īsteno attiecīgus riska mazināšanas pasākumus.

Šā punkta d) apakšpunkta nolūkos finanšu vienības, attiecīgā gadījumā sadarbojoties ar trešo personu, kas sniedz IKT pakalpojumus, uzrauga trešo personu bibliotēku versiju un iespējamos atjauninājumus. Attiecībā uz gataviem (plašpatēriņa) IKT aktīviem vai IKT aktīvu komponentiem, kas iegādāti un ko izmanto tādu IKT pakalpojumu darbībā, kuri neatbalsta kritiski svarīgas vai svarīgas funkcijas, finanšu vienības, ciktāl iespējams, seko līdzi trešo personu bibliotēku, tajā skaitā atklātā pirmkoda bibliotēku, izmantojumam.

Šā punkta f) apakšpunkta nolūkos finanšu vienības ņem vērā ievainojamības kritiskumu, klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un identificētās ievainojamības ietekmēto IKT aktīvu riska profilu.

1. Pārskats

,

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

Prasības

3. Saistītie standarti

Standarti
NOREA Resource Management
Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).
NOREA Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.
NOREA Patch Management
Identify and evaluate available ICT assets (e.g., software and hardware) patches and updates using automated tools, to the extent possible. Deploy patches to address identified vulnerabilities. Prioritize the deployment of patches and other mitigation measures based on the criticality of the vulnerability and the classification and risk profile of the affected assets. Establish emergency procedures for patching and updating ICT assets. Test and deploy ICT asset patches and updates. Set due dates for the installation of ICT asset patches and updates, and establish escalation procedures in case the due dates cannot be met. In cases where no patches can be applied or are available, identify and implement alternative mitigation measures within the set due dates.
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.