+Business Continuity Policy

Business Continuity Policy

Establish an ICT business continuity policy that enables the continuity of critical or important functions, ensures rapid response to incidents, facilitates the resumption of activities, deployment of containment measures, activation and deactivation of response and recovery procedures, estimation of impact, damage, and losses, and provides clear communication to relevant stakeholders. Regularly review the business continuity policy and make necessary adjustments to enhance effectiveness.

Refer to Articles 24.2-4 of the RTS RM for specific requirements for Central counterparties, Trading venues, and Central security depositories.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW 24. pants 1.

Finanšu vienības savā IKT darbības nepārtrauktības politikā, kas minēta Regulas (ES) 2022/2554 11. panta 1. punktā, ietver visus no šiem elementiem:

a) 

apraksts par:

i) 

IKT darbības nepārtrauktības politikas mērķiem, tajā skaitā savstarpējo saistību starp IKT darbības nepārtrauktību un vispārējo darbības nepārtrauktību, arī ņemot vērā Regulas (ES) 2022/2554 11. panta 5. punktā minētās uzņēmējdarbības ietekmes analīzes (UIA) rezultātus;

ii) 

IKT darbības nepārtrauktības kārtības, plānu, procedūru un mehānismu tvērumu, ietverot ierobežojumus un izņēmumus;

iii) 

laikposmu, kas jāaptver ar IKT darbības nepārtrauktības kārtību, plāniem, procedūrām un mehānismiem;

iv) 

kritērijiem IKT darbības nepārtrauktības plānu, IKT reaģēšanas un seku novēršanas plānu un krīzes paziņošanas plānu aktivizēšanai un dezaktivizēšanai;

b) 

noteikumi par:

i) 

pārvaldību un organizāciju IKT darbības nepārtrauktības politikas īstenošanai, tajā skaitā uzdevumiem, atbildību un eskalācijas procedūrām, kas nodrošina, ka ir pieejami pietiekami resursi;

ii) 

IKT darbības nepārtrauktības plānu un vispārējo darbības nepārtrauktības plānu saskaņošanu, ietverot vismaz visus no šiem elementiem:

1) 

iespējamie atteiču scenāriji, tajā skaitā scenāriji, kas minēti šīs regulas 26. panta 2. punktā;

2) 

atgūšanas mērķi, norādot, ka finanšu vienība spēj atjaunot tās kritisko vai svarīgo funkciju darbības pēc traucējumiem atbilstīgi atgūšanas laika mērķim un atgūšanas punkta mērķim;

iii) 

IKT darbības nepārtrauktības plānu izstrādi nopietniem uzņēmējdarbības traucējumiem kā daļu no šiem plāniem un IKT darbības nepārtrauktības pasākumu prioritāšu noteikšanu, izmantojot uz risku balstītu pieeju;

iv) 

IKT reaģēšanas un seku novēršanas plānu izstrādi, testēšanu un pārskatīšanu saskaņā ar šīs regulas 25. un 26. pantu;

v) 

īstenotās IKT darbības nepārtrauktības kārtības, plānu, procedūru un mehānismu efektivitātes pārskatīšanu saskaņā ar šīs regulas 26. pantu;

vi) 

IKT darbības nepārtrauktības politikas saskaņošanu ar:

1) 

saziņas politiku, kas minēta Regulas (ES) 2022/2554 14. panta 2. punktā;

2) 

saziņas un krīzes pārvarēšanas pasākumiem, kas minēti Regulas (ES) 2022/2554 11. panta 2. punkta e) apakšpunktā.
EULAW 24. pants 2.

Papildus 1. punktā minētajām prasībām centrālie darījumu partneri nodrošina, ka to IKT darbības nepārtrauktības politika:

a) 

paredz to kritiski svarīgo funkciju atgūšanas maksimālo laiku, kas nepārsniedz divas stundas;

b) 

ņem vērā ārējās saites un savstarpējo atkarību finanšu infrastruktūrās, tajā skaitā centrālā darījumu partnera apstiprinātās tirdzniecības vietas, vērtspapīru norēķinu un maksājumu sistēmas un kredītiestādes, ko izmanto centrālais darījumu partneris vai saistīts centrālais darījumu partneris;

c) 

paredz, ka ir jābūt ieviestai kārtībai, lai:

i) 

nodrošinātu centrālā darījumu partnera kritisko vai svarīgo funkciju nepārtrauktību, pamatojoties uz negadījumu scenārijiem;

ii) 

uzturētu rezerves apstrādes vietu, kas spēj nodrošināt centrālā darījumu partnera kritisko vai svarīgo funkciju nepārtrauktību identiski galvenajai vietai;

iii) 

uzturētu rezerves uzņēmējdarbības vietu vai nodrošinātu tūlītēju piekļuvi tai, lai personāls varētu nodrošināt pakalpojuma nepārtrauktību, ja primārā uzņēmējdarbības vieta nav pieejama;

iv) 

ņemtu vērā vajadzību pēc papildu datu apstrādes vietām, jo īpaši tad, ja galvenās un rezerves vietas riska profilu dažādība nenodrošina pietiekamu pārliecību, ka centrālā darījumu partnera darbības nepārtrauktības mērķi tiks sasniegti jebkura scenārija gadījumā.

Šā punkta a) apakšpunkta nolūkos centrālie darījumu partneri visos apstākļos izpilda dienas noslēguma procedūras un maksājumus vajadzīgajā laikā un dienā.

Šā punkta c) apakšpunkta i) nolūkos minētajā punktā norādītajā kārtībā ņem vērā pietiekamu cilvēkresursu pieejamību, kritiski svarīgo funkciju maksimālo dīkstāves laiku un kļūmjpārlēci un darbības pārjaunošanu uz rezerves vietu.

Šā punkta c) apakšpunkta ii) punkta nolūkos minētajā punktā norādītajai rezerves apstrādes vietai ir ģeogrāfiskais riska profils, kas atšķiras no galvenās vietas profila.
EULAW 24. pants 3.

Papildus 1. punktā minētajām prasībām centrālie vērtspapīru depozitāriji nodrošina, ka to IKT darbības nepārtrauktības politika:

a) 

ņem vērā visas saiknes ar lietotājiem, kritiski svarīgiem sabiedrisko pakalpojumu sniedzējiem un kritiski svarīgiem pakalpojumu sniedzējiem, citiem centrālajiem vērtspapīru depozitārijiem un citām tirgus infrastruktūrām un savstarpējo atkarību no tiem;

b) 

paredz, ka IKT darbības nepārtrauktības kārtībai ir jānodrošina, ka atgūšanas laika mērķis to kritiski svarīgajām vai svarīgajām funkcijām nav ilgāks par divām stundām.
EULAW 24. pants 4.

Papildus 1. punktā minētajām prasībām tirdzniecības vietas nodrošina, ka to IKT darbības nepārtrauktības politika nodrošina, ka:

a) 

tirdzniecību var atjaunot divu stundu vai īsākā laikā pēc traucējumu incidenta;

b) 

maksimālais datu apjoms, kas var tikt zaudēts no jebkura tirdzniecības vietas IT pakalpojuma pēc traucējumu incidenta, ir tuvu nullei.
EULAW 25. pants 1.
Testējot IKT darbības nepārtrauktības plānus saskaņā ar Regulas (ES) 2022/2554 11. panta 6. punktu, finanšu vienības ņem vērā finanšu vienības uzņēmējdarbības ietekmes analīzi (UIA) un IKT riska novērtējumu, kas minēts šīs regulas 3. panta 1. punkta b) apakšpunktā.
EULAW 25. pants 2.

Finanšu vienības, testējot savus IKT darbības nepārtrauktības plānus, kas minēti 1. punktā, novērtē, vai plāni spēj nodrošināt finanšu vienības kritiski svarīgo vai svarīgo funkciju nepārtrauktību. Testēšana:

a) 

tiek veikta, pamatojoties uz testa scenārijiem, kuros simulē potenciālus traucējumus, ietverot smagu, bet ticamu scenāriju pienācīgu kopumu;

b) 

attiecīgā gadījumā ietver trešo personu sniegto IKT pakalpojumu testēšanu;

c) 

attiecībā uz finanšu vienībām, kas nav mikrouzņēmumi, kā minēts Regulas (ES) 2022/2554 11. panta 6. punkta otrajā daļā, ietver scenārijus, kuros notiek pārslēgšanās no galvenās IKT infrastruktūras uz rezerves jaudu, rezerves kopijām un rezerves mehānismiem;

d) 

tiek plānota tā, lai atspēkotu pieņēmumus, uz kuriem balstīti uzņēmējdarbības nepārtrauktības plāni, tajā skaitā pārvaldības kārtība un krīzes saziņas plāni;

e) 

ietver procedūras, lai pārbaudītu finanšu vienību darbinieku, trešo personu, kas sniedz IKT pakalpojumus, IKT sistēmu un IKT pakalpojumu spēju pienācīgi reaģēt uz scenārijiem, kas pienācīgi ņemti vērā saskaņā ar 26. panta 2. punktu.

Šā punkta a) apakšpunkta nolūkos finanšu vienības testēšanā vienmēr iekļauj scenārijus, kas apsvērti uzņēmējdarbības nepārtrauktības plānu izstrādei.

Šā punkta b) apakšpunkta nolūkos finanšu vienības attiecīgā gadījumā pienācīgi ņem vērā scenārijus, kas saistīti ar trešo personu, kuras sniedz IKT pakalpojumus, maksātnespēju vai neveiksmēm vai ar politiskiem riskiem trešo personu, kas sniedz IKT pakalpojumus, jurisdikcijās.

Šā punkta c) apakšpunkta nolūkos testēšanā pārbauda, vai vismaz kritiski svarīgās vai svarīgās funkcijas var darboties pietiekamu laiku un vai var atjaunot normālu darbību.
EULAW 25. pants 3.

Papildus 2. punktā minētajām prasībām centrālie darījumu partneri savu 1. punktā minēto IKT darbības nepārtrauktības plānu testēšanā iesaista:

a) 

tīrvērtes dalībniekus;

b) 

ārējus pakalpojumu sniedzējus;

c) 

attiecīgās iestādes finanšu infrastruktūrā, ar kurām centrālajiem darījumu partneriem ir identificēta savstarpēja atkarība to uzņēmējdarbības nepārtrauktības politikā.
EULAW 25. pants 4.

Papildus 2. punktā minētajām prasībām centrālie vērtspapīru depozitāriji savu 1. punktā minēto IKT darbības nepārtrauktības plānu testēšanā attiecīgā gadījumā iesaista:

a) 

centrālo vērtspapīru depozitāriju lietotājus;

b) 

kritiski svarīgus sabiedrisko pakalpojumu sniedzējus un kritiski svarīgus pakalpojumu sniedzējus;

c) 

citus centrālos vērtspapīru depozitārijus;

d) 

citas tirgus infrastruktūras;

e) 

jebkuras citas iestādes, ar kurām centrālajiem vērtspapīru depozitārijiem ir identificēta savstarpējā atkarība to uzņēmējdarbības nepārtrauktības politikā.
EULAW 25. pants 5.
Finanšu vienības dokumentē 1. punktā minētās testēšanas rezultātus. Visas no minētās testēšanas izrietošās nepilnības analizē, risina un paziņo vadības struktūrai.
EULAW 26. pants 1.

Izstrādājot IKT reaģēšanas un seku novēršanas plānus, kas minēti Regulas (ES) 2022/2554 11. panta 3. punktā, finanšu vienības ņem vērā finanšu vienības uzņēmējdarbības ietekmes analīzes (UIA) rezultātus. Minētie IKT reaģēšanas un seku novēršanas plāni:

a) 

paredz nosacījumus to aktivizēšanai vai dezaktivizēšanai un visus izņēmumus attiecībā uz šādu aktivizēšanu vai dezaktivizēšanu;

b) 

apraksta, kādas darbības ir veicamas, lai nodrošinātu vismaz to IKT sistēmu un pakalpojumu pieejamību, integritāti, nepārtrauktību un atgūšanu, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas;

c) 

tiek izstrādāti tā, lai sasniegtu finanšu vienības darbību atjaunošanas plānus;

d) 

tiek dokumentēti un darīti pieejami darbiniekiem, kuri iesaistīti IKT reaģēšanas un seku novēršanas plānu izpildē, un ir ātri pieejami ārkārtas gadījumā;

e) 

paredz gan īstermiņa, gan ilgtermiņa atgūšanas iespējas, tajā skaitā sistēmu daļēju atgūšanu;

f) 

nosaka IKT reaģēšanas un seku novēršanas plānu mērķus un nosacījumus šo plānu atzīšanai par veiksmīgi izpildītiem.

Šā punkta d) apakšpunkta nolūkos finanšu vienības skaidri nosaka uzdevumus un atbildību.
EULAW 26. pants 2.

Šā panta 1. punktā minētajos IKT reaģēšanas un seku novēršanas plānos identificē attiecīgos scenārijus, tajā skaitā nopietnu uzņēmējdarbības traucējumu un palielinātas traucējumu varbūtības scenārijus. Minētajos plānos scenārijus izstrādā, pamatojoties uz aktuālo informāciju par draudiem un uz gūtajām atziņām no iepriekšējiem darbības pārtraukumiem. Finanšu vienības pienācīgi ņem vērā visus šos scenārijus:

a) 

kiberuzbrukumi un pārslēgšanās starp primāro IKT infrastruktūru un rezerves jaudu, rezerves kopijām un rezerves mehānismiem;

b) 

scenāriji, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte pasliktinās līdz nepieņemamam līmenim vai neizdodas, tajos arī pienācīgi ņemot vērā jebkuras attiecīgās trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas vai citu atteiču iespējamo ietekmi;

c) 

telpu, tajā skaitā biroja un uzņēmējdarbības telpu, un datu centru daļēja vai pilnīga darbības atteice;

d) 

IKT aktīvu vai komunikācijas infrastruktūras būtiska atteice;

e) 

kritiska darbinieku skaita vai par darbību nepārtrauktības garantēšanu atbildīgo darbinieku nepieejamība;

f) 

klimata pārmaiņu un ar vides degradāciju saistītu notikumu, dabas katastrofu, pandēmiju un fizisku uzbrukumu, tajā skaitā ielaušanās sistēmās un teroristu uzbrukumu, ietekme;

g) 

uzbrukumi no iekšienes;

h) 

politiskā un sociālā nestabilitāte, attiecīgā gadījumā arī trešās personas, kas sniedz IKT pakalpojumus, jurisdikcijā un vietā, kur notiek datu glabāšana un apstrāde;

i) 

plaši elektroenerģijas atvienojumi.
EULAW 26. pants 3.
Ja primārie seku novēršanas pasākumi īstermiņā var nebūt īstenojami izmaksu, risku, loģistikas vai neparedzētu apstākļu dēļ, 1. punktā minētajos IKT reaģēšanas un seku novēršanas plānos apsver alternatīvas iespējas.
EULAW 26. pants 4.
Kā daļu no 1. punktā minētajiem IKT reaģēšanas un seku novēršanas plāniem finanšu vienības apsver un īsteno pasākumus, lai mazinātu to trešo personu darbības atteices, kuras sniedz IKT pakalpojumus, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas.