VI sadaļa. Darbības nepārtrauktības vadība

Neskarot piemērojamās prasības saskaņā ar DORA, ART emitentiem, īstenojot savu darbības nepārtrauktības politiku un plānus, kas izst r ādāti saskaņā ar Regulas (ES) 2023/1114 34. panta 9. punktu, ir jāizveido stabila darbības nepārtrauktības pārvaldība un reaģēšanas un seku novēršanas plāni, lai nodrošinātu to spēju pastāvīgi darboties, pārvaldītu incidentus, kas varētu traucēt kritiski svarīgu darbību veikšan ai saskaņā ar ART emitenta vēlmi uzņemties risku un toleranci traucējumu gadījumā, un lai ierobežotu zaudējumus un pakalpojumu sniegšanas traucējumus nopietnu darbības traucējumu gadījumā. ART emitenti var izveidot īpašu neatkarīgu darbības nepārtrauktības funkciju, ņemot vērā I sadaļā uzskaitītos proporcionalitātes kritērijus.

ART emitenta darbības pamatā ir vairāki kritiski svarīgi resursi (piemēram, IT sistēmas, tostarp mākoņpakalpojumi, komunikācijas sistēmas, pamatdarbinieki un ēkas). Darbības nepārtrauktības vadības mērķis ir samazināt darbības, finanšu, juridiskās, reputācijas un citas būtiskas ietekmes, ko rada katastrofa vai ilgstošs šo resursu piegādes pārtraukums, kas izraisa turpmākus traucējumus ART emitenta ikdienas darbībā. Lai samazinātu šādu incidentu iespējamību vai novirzītu to finansiālo ietekmi uz treš aj ām pusēm (piemēram, veicot apdrošināšanu), var plānot arī citus riska pārvaldības pasākumus.

Lai izstrādātu pareizu darbības nepārtrauktības vadības plānu, ART emitentam rūpīgi jāanalizē riska faktori un smagu darbības traucējumu iedarbība un jānovērtē (kvantitatīvi un kvalitatīvi) to potenciālā ietekme, veicot iekšējo un/vai ārējo datu un scenāriju analīzi. Šajā analīzē jāpārbauda ART emitenta spēja veikt kritiski svarīgas funkcijas darbības traucējumu gadījumā un jāaptver visas darbības jomas un iekšējās vienības, tostarp RMF struktūra vai riska pārvaldības procedūras, un jāņem vērā to savstarpējā atkarība. Analīzes rezultātiem jāsekmē ART emitenta atveseļošanas prioritāšu un mērķu definēšana.

Pamatojoties uz iepriekš minēto analīzi, ART emitentam jāizstrādā:

• a. ārkārtas situāciju un darbības nepārtrauktības plāni, lai nodrošinātu ART emitenta pienācīgu reakciju uz ārkārtas situācijām un spēju nodrošināt kritiski svarīgas darbības un glabāt būtiskus datus, ja ir traucējumi tā parastajās uzņēmējdarbības procedūrās;
• b. atveseļošanas plāni attiecībā uz kritiski svarīgiem resursiem un kritiski svarīgām vai svarīgām funkcijām, lai atgūtos no traucējumiem un ļautu ART emitentam atbilstošā laikposmā atgriezties pie parastajām uzņēmējdarbības procedūrām. Jebkuram atlikušajam riskam, ko rada iespējamie darbības traucējumi, būtu jāatbilst ART emitenta vēlmei uzņemties risku;
• c. attiecībā uz citām darbībām vai gadījumos, kad kritiski svarīgo pamatfunkciju nepārtrauktību nav iespējams nodrošināt, ART emitentiem jāievieš procedūras datu un funkciju savlaicīgai atjaunošanai un to darbīb as savlaicīgai atsākšanai.

Ārkārtas situāciju, darbības nepārtrauktības un atjaunošanas plāni būtu jādokumentē un rūpīgi jāīsteno. Dokumentācijai jābūt pieejamai darbības jomās, iekšējās vienībās un RMF struktūrā par risku pārvaldības procedūrām atbildīgajiem darbiniekiem, un šie dokumenti jāuzglabā sistēmās, kas ir fiziski nodalītas un viegli pieejamas ārkārtas situācijās. Būtu jānodrošina atbilstoša apmācība. Minētie plāni būtu regulāri jātestē un jāatjaunina. Jebkuras problēmas vai kļūmes, kas rodas testēšanas laikā, būtu jādokumentē un jāanalizē, attiecīgi pārskatot arī plānus.