|
+Artikolu 27 2. |
Artikolu 27 2.L-entitajiet finanzjarji għandhom jinkludu l-informazzjoni kollha li ġejja fir-rapport imsemmi fil-paragrafu 1:
(a)
taqsima introduttorja li:
(i)
tidentifika b’mod ċar l-entità finanzjarja li hija s-suġġett tar-rapport, u tiddeskrivi l-istruttura tal-grupp tagħha, meta rilevanti;
(ii)
tiddeskrivi l-kuntest tar-rapport f’termini tan-natura, tal-iskala u tal-kumplessità tas-servizzi, tal-attivitajiet u tal-operazzjonijiet tal-entità finanzjarja, l-organizzazzjoni tagħha, il-funzjonijiet kritiċi identifikati, l-istrateġija, il-proġetti jew l-attivitajiet ewlenin li għaddejjin bħalissa, ir-relazzjonijiet u d-dipendenza tagħha fuq servizzi u sistemi tal-ICT interni u kkuntrattati jew l-implikazzjonijiet li telf totali jew degradazzjoni serja ta’ sistemi bħal dawn ikollha f’termini ta’ funzjonijiet kritiċi jew importanti u l-effiċjenza tas-suq;
(iii)
tiġbor fil-qosor it-tibdiliet ewlenin fil-qafas tal-ġestjoni tar-riskju tal-ICT minn meta ġie ppreżentat ir-rapport preċedenti;
(iv)
tipprovdi sommarju fil-livell eżekuttiv tal-profil tar-riskju tal-ICT kurrenti u qrib it-terminu, ix-xenarju tat-theddid, l-effettività vvalutata tal-kontrolli tagħha u l-pożizzjoni tas-sigurtà tal-entità finanzjarja;
(b)
id-data tal-approvazzjoni tar-rapport mill-korp maniġerjali tal-entità finanzjarja;
(c)
deskrizzjoni tar-raġuni għar-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT f’konformità mal-Artikolu 6(5) tar-Regolament (UE) 2022/2554;
(d)
id-dati tal-bidu u tat-tmiem tal-perjodu ta’ rieżami;
(e)
indikazzjoni tal-funzjoni responsabbli għar-rieżami;
(f)
deskrizzjoni tat-tibdiliet u tat-titjib ewlenin fil-qafas tal-ġestjoni tar-riskju tal-ICT mir-rieżami preċedenti;
(g)
sommarju tas-sejbiet tar-rieżami u tal-analiżi ddettaljata u valutazzjoni tas-severità tad-dgħufijiet, tan-nuqqasijiet u tal-lakuni fil-qafas tal-ġestjoni tar-riskju tal-ICT matul il-perjodu ta’ rieżami;
(h)
deskrizzjoni tal-miżuri biex jiġu indirizzati d-dgħufijiet, in-nuqqasijiet u l-lakuni identifikati, inklużi dawn kollha li ġejjin:
(i)
sommarju tal-miżuri meħuda biex jiġu rrimedjati d-dgħufijiet, in-nuqqasijiet u l-lakuni identifikati;
(ii)
data mistennija għall-implimentazzjoni tal-miżuri u d-dati relatati mal-kontroll intern tal-implimentazzjoni, inkluża informazzjoni dwar l-istat tal-progress tal-implimentazzjoni ta’ dawk il-miżuri fid-data tal-abbozzar tar-rapport, li tispjega, meta applikabbli, jekk ikun hemm riskju li l-iskadenzi ma jkunux jistgħu jiġu rrispettati;
(iii)
l-għodod li għandhom jintużaw, u l-identifikazzjoni tal-funzjoni responsabbli għat-twettiq tal-miżuri, bid-dettalji dwar jekk l-għodod u l-funzjonijiet humiex interni jew esterni;
(iv)
deskrizzjoni tal-impatt tat-tibdiliet previsti fil-miżuri fuq ir-riżorsi baġitarji, umani u materjali tal-entità finanzjarja, inklużi r-riżorsi ddedikati għall-implimentazzjoni ta’ kwalunkwe miżura korrettiva;
(v)
informazzjoni dwar il-proċess biex l-awtorità kompetenti tiġi infurmata, meta jkun xieraq;
(vi)
meta d-dgħufijiet, in-nuqqasijiet jew il-lakuni identifikati ma jkunux soġġetti għal miżuri korrettivi, spjegazzjoni ddettaljata tal-kriterji użati għall-analiżi tal-impatt ta’ dawk id-dgħufijiet, in-nuqqasijiet jew il-lakuni, biex jiġi evalwat ir-riskju residwali tal-ICT relatat u tal-kriterji użati biex jiġi aċċettat ir-riskju residwali relatat;
(i)
informazzjoni dwar żviluppi ulterjuri ppjanati tal-qafas tal-ġestjoni tar-riskju tal-ICT;
(j)
konklużjonijiet li jirriżultaw mir-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT;
(k)
informazzjoni dwar ir-rieżamijiet tal-passat, inklużi:
(i)
lista ta’ rieżamijiet tal-passat sal-lum;
(ii)
meta applikabbli, stat ta’ implimentazzjoni tal-miżuri korrettivi identifikati mill-aħħar rapport;
(iii)
fejn il-miżuri korrettivi proposti fir-rieżamijiet tal-passat urew li ma kinux effettivi jew ħolqu sfidi mhux mistennija, deskrizzjoni ta’ kif dawk il-miżuri korrettivi jistgħu jittejbu jew ta’ dawk l-isfidi mhux mistennija;
(l)
sorsi ta’ informazzjoni użati fit-tħejjija tar-rapport, inklużi dawn kollha li ġejjin:
(i)
għall-entitajiet finanzjarji għajr il-mikrointrapriżi kif imsemmi fl-Artikolu 6(6) tar-Regolament (UE) 2022/2554, ir-riżultati tal-awditi interni;
(ii)
ir-riżultati tal-valutazzjonijiet tal-konformità;
(iii)
ir-riżultati tal-ittestjar tar-reżiljenza operazzjonali diġitali, u meta applikabbli r-riżultati tal-ittestjar avvanzat, abbażi tal-ittestjar tal-penetrazzjoni bbażat fuq it-theddid (TLPT), tal-għodod, tas-sistemi u tal-proċessi tal-ICT;
(iv)
sorsi esterni. Għall-finijiet tal-punt (c), fejn ir-rieżami jkun inbeda wara struzzjonijiet superviżorji, jew il-konklużjonijiet idderivati mill-ittestjar tar-reżiljenza operazzjonali diġitali jew mill-proċessi tal-awditjar rilevanti, ir-rapport għandu jkun fih referenzi espliċiti għal dawn l-istruzzjonijiet jew konklużjonijiet, li jippermettu l-identifikazzjoni tar-raġuni għall-bidu tar-rieżami. Meta r-rieżami jkun ingħata bidu wara inċidenti relatati mal-ICT, ir-rapport għandu jkun fih il-lista tal-inċidenti kollha relatati mal-ICT b’analiżi tal-kawżi ewlenin tal-inċidenti. Għall-finijiet tal-punt (f), id-deskrizzjoni għandu jkun fiha analiżi tal-impatt tat-tibdiliet fuq l-istrateġija tar-reżiljenza operazzjonali diġitali tal-entità finanzjarja, fuq il-qafas ta’ kontroll intern tal-ICT tal-entità finanzjarja u fuq il-governanza tal-ġestjoni tar-riskju tal-ICT tal-entità finanzjarja. 1. Ħarsa ġenerali
1.1 Referenzi1.2 Rekwiżiti identifikati1.3 Standards relatati2. Rekwiżiti identifikati
3. Standards relatati
|