+Third-Party (Multi-vendor) Risk Management Program

Third-Party (Multi-vendor) Risk Management Program

Maintain a comprehensive third-party risk management program which includes:

  • A register of information related to the use of thirdparty service providers, especially those supporting critical or important functions (see also control 17.3).
  • Put in place a policy on the management of ICT third-parties, including the criteria for determining the criticality of service providers and the internal responsibilities for managing third-parties.
  • Ensuring that senior management reviews the policy and designate a member to monitor relations with the third-parties and the contractual arrangements.
  • A (holistic) multi-vendor strategy, if deemed relevant,  showing key dependencies on ICT third-party service providers and explaining the rationale behind the procurement mix of ICT third-party service providers.  

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 6 1

1.   L-entitajiet finanzjarji għandu jkollhom qafas sod, komprensiv u ddokumentat sewwa għall-ġestjoni tar-riskju tal-ICT bħala parti mis-sistema globali tagħhom għall-ġestjoni tar-riskju, li jippermettilhom jindirizzaw ir-riskju tal-ICT malajr, b’mod effiċjenti u komprensiv, u jiżguraw livell għoli ta’ reżiljenza operazzjonali diġitali.
EULAW Artikolu 6 2

2.   Il-qafas għall-ġestjoni tar-riskju tal-ICT għandu jinkludi tal-anqas l-istrateġiji, il-politiki, il-proċeduri, il-protokolli tal-ICT u l-għodod li huma meħtieġa biex b’mod debitu u adegwat jiġu protetti l-assi kollha ta’ informazzjoni u l-assi kollha tal-ICT, fosthom is-software tal-kompjuters, il-hardware u s-servers, kif ukoll biex jiġu protetti l-komponenti fiżiċi u l-infrastrutturi rilevanti kollha, bħall-bini, iċ-ċentri tad-data u ż-żoni kklassifikati bħala sensittivi, sabiex jiġi żgurat li l-assi kollha ta’ informazzjoni u l-assi kollha tal-ICT ikunu protetti b’mod adegwat mir-riskji inkluż il-ħsara u l-aċċess jew l-użu mhux awtorizzat.
EULAW Artikolu 6 3

3.   F’konformità mal-qafas tagħhom għall-ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jimminimizzaw l-impatt tar-riskju tal-ICT billi jużaw strateġiji, politiki, proċeduri, protokolli tal-ICT u għodod xierqa. Huma għandhom jipprovdu informazzjoni kompleta u aġġornata dwar ir-riskju tal-ICT u dwar il-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom lill-awtoritajiet kompetenti fuq talba tagħhom.
EULAW Artikolu 6 4

4.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jassenjaw ir-responsabbiltà għall-ġestjoni u s-sorveljanza ta’ riskju tal-ICT lil funzjoni ta’ kontroll u jiżguraw livell xieraq ta’ indipendenza ta’ tali funzjoni ta’ kontroll sabiex jevitaw kunflitti ta’ interess. L-entitajiet finanzjarji għandhom jiżguraw segregazzjoni u indipendenza xierqa tal-funzjonijiet tal-ġestjoni tar-riskju tal-ICT, tal-funzjonijiet ta’ kontroll u tal-funzjonijiet tal-awditjar intern, skont it-tliet linji tal-mudell ta’ difiża, jew mudell intern ta’ kontroll u tal-ġestjoni tar-riskji.
EULAW Artikolu 6 5

5.   Il-qafas tal-ġestjoni tar-riskju tal-ICT għandu jiġi ddokumentat u rieżaminat mill-inqas darba fis-sena, jew perjodikament fil-każ tal-mikrointrapriżi, kif ukoll mal-okkorrenza ta’ inċidenti kbar relatati mal-ICT, u wara struzzjonijiet superviżorji jew konklużjonijiet derivati mill-ittestjar tar-reżiljenza operazzjonali diġitali jew il-proċessi tal-awditjar rilevanti. Huwa għandu jittejjeb kontinwament abbażi tal-lezzjonijiet meħuda mill-implimentazzjoni u l-monitoraġġ. Rapport dwar ir-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT għandu jiġi ppreżentat lill-awtorità kompetenti fuq talba tagħha.
EULAW Artikolu 6 7

7.   Abbażi tal-konklużjonijiet tar-rieżami intern tal-awditu, l-entitajiet finanzjarji għandhom jistabbilixxu proċess formali ta’ segwitu, inkluż regoli għall-verifika u r-rimedju f’waqthom tas-sejbiet kruċjali tal-awditu tal-ICT.
EULAW Artikolu 6 9

9.   L-entitajiet finazjarji jistgħu, fil-kuntest tal-istrateġija ta’ reżiljenza operazzjonali diġitali msemmija fil-paragrafu 8, jiddefinixxu strateġija olistika tal-ICT b’diversi bejjiegħa, fil-livell ta’ grupp jew entità, waqt li juru d-dipendenzi ewlenin fuq fornituri terzi ta’ servizzi tal-ICT u jispjegaw ir-raġunament wara l-akkwist imħallat ta’ fornituri terzi ta’ servizzi tal-ICT.
EULAW Artikolu 6 10

10.   L-entitajiet finanzjarji jistgħu, f’konformità mal-liġi settorjali tal-Unjoni u dik nazzjonali, jesternalizzaw il-kompiti tal-verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskju tal-ICT lil impriżi intragrupp jew esterni. Fil-każ ta’ tali esternalizzazzjoni, l-entità finanzjarja tibqa’ terfa’ r-responsabbiltà aħħarija għall-verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskju tal-ICT.
EULAW Artikolu 8 1

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom jidentifikaw, jikklassifikaw u jiddokumentaw b’mod adegwat il-funzjonijiet tan-negozju kollha appoġġjati mill-ICT, ir-rwoli u r-responsabbiltajiet, l-assi ta’ informazzjoni u l-assi tal-ICT li jappoġġjaw dawk il-funzjonijiet, u r-rwoli u d-dipendenzi tagħhom fir-rigward tar-riskju tal-ICT. L-entitajiet finanzjarji għandhom jirrieżaminaw kif meħtieġ, u mill-inqas darba fis-sena, l-adegwatezza ta’ din il-klassifikazzjoni u ta’ kwalunkwe dokumentazzjoni rilevanti.
EULAW Artikolu 9 1

1.   Għall-finijiet ta’ protezzjoni adegwata tas-sistemi tal-ICT u bl-għan li jiġu organizzati miżuri ta’ rispons, l-entitajiet finanzjarji għandhom jimmonitorjaw u jikkontrollaw kontinwament is-sigurtà u l-funzjonament tas-sistemi u tal-għodod tal-ICT u għandhom jimminimizzaw l-impatt tar-riskju tal-ICT fuq is-sistemi tal-ICT bl-użu ta’ għodod, politiki u proċeduri xierqa tas-sigurtà tal-ICT.
EULAW Artikolu 9 4

4.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom:

(a)

jiżviluppaw u jiddokumentaw politika tas-sigurtà tal-informazzjoni li tiddefinixxi r-regoli għall-protezzjoni tad-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-assi tal-informazzjoni u l-assi tal-ICT, inkluż dawk tal-klijenti tagħhom, fejn applikabbli;

(b)

waqt li jsegwu approċċ ibbażat fuq ir-riskju, jistabbilixxu struttura għaqlija għall-ġestjoni tan-netwerk u tal-infrastruttura bl-użu ta’ tekniki, metodi u protokolli xierqa li jistgħu jinkludu l-implimentazzjoni ta’ mekkaniżmi awtomatizzati biex jiżolaw l-assi tal-informazzjoni fil-każ li jintlaqtu minn ċiberattakki;

(c)

jimplimentaw politiki li jillimitaw l-aċċess fiżiku jew loġiku għall-assi tal-informazzjoni u għall-assi tal-ICT għal dak li huwa meħtieġ għall-funzjonijiet u l-attivitajiet leġittimi u approvati biss, u għal dak il-għan jistabbilixxu sett ta’ politiki, proċeduri u kontrolli li jindirizzaw id-drittijiet tal-aċċess u jiżguraw l-amministrazzjoni għaqlija tagħhom;

(d)

jimplimentaw politiki u protokolli għal mekkaniżmi ta’ awtentikazzjoni b’saħħithom, ibbażati fuq standards rilevanti u sistemi ta’ kontroll dedikati, u miżuri ta’ protezzjoni ta’ ċwievet kriptografiċi li bihom id-data tiġi kriptata abbażi tar-riżultati ta’ proċessi approvati ta’ klassifikazzjoni tad-data u ta’ valutazzjoni tar-riskju tal-ICT;

(e)

jimplimentaw politiki, proċeduri u kontrolli dokumentati għall-ġestjoni tal-bidliet fl-ICT, inkluż bidliet fis-software, fil-hardware, fil-komponenti tal-firmware, parametri ta’ sistemi jew sigurtà, li jkunu bbażati fuq approċċ ta’ valutazzjoni tar-riskju u li huma parti integrali mill-proċess globali ta’ ġestjoni tat-tibdil tal-entità finanzjarja, sabiex jiżguraw li l-bidliet kollha fis-sistemi tal-ICT jiġu rreġistrati, ittestjati, ivvalutati, approvati, implimentati u vverifikati b’mod ikkontrollat;

(f)

ikollhom politiki dokumentati xierqa u komprensivi għal software korrettiv u ta’ aġġornament.

Għall-finijiet tal-ewwel subparagrafu, il-punt (b), l-entitajiet finanzjarji għandhom ifasslu l-infrastruttura tal-konnessjoni tan-netwerk b’tali mod li din tkun tista’ tinqata’ b’mod istantanju jew tiġi segmentata sabiex jimminimizzaw u jipprevjenu l-kontaġju, speċjalment tal-proċessi finanzjarji interkonnessi.

Għall-finijiet tal- ewwel subparagrafu, il-punt (e), il-proċess ta’ ġestjoni tat-tibdil fl-ICT għandu jiġi approvat mil-livelli xierqa tal-maniġment u għandu jkollu protokolli speċifiċi stabbiliti.
EULAW Artikolu 11 1

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1) u abbażi tar-rekwiżiti ta’ identifikazzjoni li jinsabu fl-Artikolu 8, l-entitajiet finanzjarji għandhom jistabbilixxu politika komprensiva tal-kontinwità tal-operat tal-ICT, li tista’ tiġi adottata bħala politika speċifika dedikata, li tifforma parti integrali mill-politika globali tal-kontinwità tal-operat tal-entità finanzjarja.
EULAW Artikolu 11 3

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom jimplimentaw pjanijiet ta’ rispons u rkupru għall-ICT assoċjati, li fil-każ ta’ entitajiet finanzjarji għajr il-mikrointrapriżi, għandhom ikunu soġġetti għal rieżamijiet ta’ awditjar intern.
EULAW Artikolu 11 6

6.   Bħala parti mill-ġestjoni komprensiva tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom:

(a)

jittestjaw il-pjanijiet ta’ kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rispons u rkupru għall-ICT fir-rigward tas-sistemi tal-ICT li jappoġġjaw il-funzjonijiet kollha mill-anqas darba f’sena, kif ukoll fil-każ ta’ kwalunkwe bidla sostantiva fis-sistemi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti;

(b)

jittestjaw il-pjanijiet ta’ komunikazzjoni tal-kriżijiet stabbiliti f’konformità mal-Artikolu 14.

Għall-finijiet tal-ewwel subparagrafu, il-punt (a), l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jinkludu fil-pjanijiet tal-ittestjar xenarji ta’ ċiberattakki u l-qlib minn infrastruttura primarja tal-ICT għall-oħra u l-kapaċità żejda, il-backups u l-faċilitajiet żejda meħtieġa biex jiġu ssodisfati l-obbligi stabbiliti fl-Artikolu 12.

L-entitajiet finanzjarji għandhom jirrevedu regolarment il-politika tagħhom tal-kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, filwaqt li jqisu r-riżultati tat-testijiet imwettqa f’konformità mal-ewwel subparagrafu u mar-rakkomandazzjonijiet li jirriżultaw minn kontrolli tal-awditjar jew rieżamijiet superviżorji.
EULAW Artikolu 12 1

1.   Sabiex jiġi żgurat ir-restawr tas-sistemi tal-ICT u tad-data bl-iqsar perjodu ta’ qtugħ, tfixkil u telf limitati, bħala parti mill-qafas tagħhom ta’ ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jiżviluppaw u jiddokumentaw:

(a)

politiki u proċeduri ta’ backup li jispeċifikaw l-ambitu tad-data li tkun soġġetta għall-backup u l-frekwenza minima tal-backup, abbażi tal-kritikalità tal-informazzjoni jew il-livell ta’ kunfidenzjalità tad-data;

(b)

proċeduri u metodi ta’ restawr u rkupru.
EULAW Artikolu 12 2

2.   L-entitajiet finanzjarji għandhom jistabbilixxu sistemi ta’ backup li jistgħu jiġu attivati skont il-politiki u l-proċeduri ta’ backup, kif ukoll il-proċeduri u l-metodi ta’ restawr u rkupru. L-attivazzjoni tas-sistemi ta’ backup ma għandhiex tipperikola s-sigurtà tan-netwerk u tas-sistemi tal-informazzjoni jew id-disponibbiltà, l-awtentiċità, l-inegrità jew il-kunfidenzjalità tad-data. L-ittestjar tal-proċeduri ta’ backup u tal-proċeduri ta’ restawr u rkupru għandhom jitwettqu perjodikament.
EULAW Artikolu 12 3

3.   Meta jirrestawraw id-data ta’ backup bl-użu tas-sistemi proprji, l-entitajiet finanzjarji għandhom jużaw sistemi tal-ICT li jkunu fiżikament u loġikament segregati mis-sistema tal-ICT tas-sors. Is-sistemi tal-ICT għandhom ikunu protetti b’mod sigur minn kwalunkwe aċċess mhux awtorizzat jew korruzzjoni tal-ICT u jippermettu r-restawr f’waqtu tas-servizzi li jużaw id-data u l-backups tas-sistema kif meħtieġ.

Għall-kontropartijiet ċentrali, il-pjanijiet ta’ rkupru għandhom jippermettu l-irkupru tat-tranżazzjonijiet kollha li kienu qed isiru meta seħħet l-tfixkil sabiex jippermettu lill-kontroparti ċentrali tkompli topera b’ċertezza u tlesti s-saldu fid-data skedata.

Il-fornituri ta’ servizzi ta’ rappurtar ta’ data għandhom barra minn hekk iżommu riżorsi adegwati u jkollhom fis-seħħ faċilitajiet ta’ backup u restawr sabiex joffru u jżommu s-servizzi tagħhom f’kull ħin.
EULAW Artikolu 13 3

3.   It-tagħlimiet meħuda mill-ittestjar tar-reżiljenza operazzjonali diġitali mwettaq f’konformità mal-Artikoli 26 u 27 u minn inċidenti relatati mal-ICT fil-ħajja reali, b’mod partikolari ċiberattakki, flimkien mal-isfidi li jfiġġu mal-attivazzjoni tal-pjanijiet tal-kontinwità tal-operat tal-ICT jew tal-pjanijiet ta’ rispons u rkupru għall-ICT, flimkien mal-informazzjoni rilevanti skambjata mal-kontropartijiet u vvalutata fir-rieżamijiet superviżorji, għandhom jiġu inkorporati kif xieraq fuq bażi kontinwa fil-proċess tal-valutazzjoni tar-riskju tal-ICT. Dawk is-sejbiet għandhom jifformaw il-bażi għal rieżamijiet xierqa tal-komponenti rilevanti tal-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1).
EULAW Artikolu 13 5

5.   Il-persunal għoli tal-ICT għandu jirrapporta mill-inqas darba fis-sena lill-korp maniġerjali dwar is-sejbiet imsemmija fil-paragrafu 3 u jressaq rakkomandazzjonijiet.
EULAW Artikolu 13 7

7.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jimmonitorjaw l-iżviluppi teknoloġiċi rilevanti fuq bażi kontinwa, anki bil-ħsieb li jifhmu l-impatt possibbli tal-użu ta’ tali teknoloġiji ġodda fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq ir-reżiljenza operazzjonali diġitali. Huma għandhom iżommu ruħhom aġġornati dwar l-aħħar proċessi tal-ġestjoni tar-riskju tal-ICT, sabiex jiġġieldu b’mod effettiv kontra l-forom attwali jew ġodda ta’ ċiberattakki.
EULAW Artikolu 14 2

2.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jimplimentaw politiki ta’ komunikazzjoni għall-persunal intern u għall-partijiet ikkonċernati esterni. Il-politiki ta’ komunikazzjoni għall-persunal għandhom iqisu l-ħtieġa li ssir distinzjoni bejn il-persunal involut fil-ġestjoni tar-riskju tal-ICT, b’mod partikolari l-persunal responsabbli għar-rispons u l-irkupru, u l-persunal li jeħtieġ li jiġi informat.
EULAW Artikolu 24 1

1.   Għall-fini tal-valutazzjoni tal-istat ta’ tħejjija għall-ġestjoni ta’ inċidenti relatati mal-ICT, tal-identifikazzjoni ta’ dgħufijiet, nuqqasijiet u lakuni fir-reżiljenza operazzjonali diġitali u tal-implimentazzjoni fil-pront ta’ miżuri korrettivi, l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom, b’kont meħud tal-kriterji stabbiliti fl-Artikolu 4(2), jistabbilixxu, iżommu u jirrieżaminaw programm tajjeb u komprensiv ta’ ttestjar tar-reżiljenza operazzjonali diġitali bħala parti integrali mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6.
EULAW Artikolu 28 2

2.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji, għajr dawk l-entitajiet imsemmija fl-Artikolu 16(1), l-ewwel subparagrafu u għajr il-mikrointrapriżi, għandhom jadottaw, u jirrieżaminaw b’mod regolari, strateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi, waqt li jqisu l-istrateġija ta’ diversi bejjiegħa msemmija fl-Artikolu 6(9), fejn applikabbli. L-istrateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT u għandha tapplika fuq bażi individwali u, fejn rilevanti, fuq bażi subkonsolidata u konsolidata. Il-korp maniġerjali għandu, abbażi ta’ valutazzjoni tal-profil tar-riskju ġenerali tal-entità finanzjarja u l-iskala u l-kumplessità tas-servizzi tan-negozju, jirrieżamina regolarment ir-riskji identifikati fir-rigward tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti.
EULAW Artikolu 28 3

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw fil-livell tal-entità, u fil-livelli subkonsolidati u konsolidati, reġistru ta’ informazzjoni fir-rigward tal-arranġamenti kuntrattwali kollha dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT.

L-arranġamenti kuntrattwali msemmija fl-ewwel subparagrafu għandhom jiġu ddokumentati b’mod xieraq, filwaqt li ssir distinzjoni bejn dawk li jkopru s-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u dawk li le.

L-entitajiet finanzjarji għandhom jirrappurtaw mill-inqas darba fis-sena lill-awtoritajiet kompetenti dwar l-għadd ta’ arranġamenti ġodda dwar l-użu tas-servizzi tal-ICT, il-kategoriji tal-fornituri terzi ta’ servizzi tal-ICT, it-tip ta’ arranġamenti kuntrattwali u s-servizzi u l-funzjonijiet tal-ICT li qed jiġu pprovduti.

L-entitajiet finanzjarji għandhom jagħmlu disponibbli għall-awtorità kompetenti, fuq talba tagħha, ir-reġistru sħiħ tal-informazzjoni jew, kif mitlub, taqsimiet speċifikati tiegħu, flimkien ma’ kwalunkwe informazzjoni meqjusa bħala neċessarja biex tkun tista’ ssir is-superviżjoni effettiva tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jinformaw lill-awtorità kompetenti fil-ħin dwar kwalunkwe arranġament kuntrattwali dwar l-użu ta’ servizzi tal-ICT ippjanat li jappoġġja funzjonijiet kritiċi jew importanti kif ukoll meta funzjoni ssir kritika jew importanti.
EULAW Artikolu 1 Profil tar-riskju ġenerali u kumplessità

Artikolu 1

Profil tar-riskju ġenerali u kumplessità

Meta jiġu żviluppati u implimentati l-politiki, il-proċeduri, il-protokolli u l-għodod tas-sigurtà tal-ICT imsemmija fit-Titolu II u l-qafas issimplifikat tal-ġestjoni tar-riskju tal-ICT imsemmi fit-Titolu III, għandhom jitqiesu d-daqs u l-profil tar-riskju ġenerali tal-entità finanzjarja, u n-natura, l-iskala u l-elementi ta’ kumplessità akbar jew imnaqqsa tas-servizzi, tal-attivitajiet u tal-operazzjonijiet tagħha, inklużi l-elementi relatati ma’:

(a) 

kriptaġġ u kriptografija;

(b) 

sigurtà tal-operazzjonijiet tal-ICT;

(c) 

sigurtà tan-network;

(d) 

ġestjoni tal-proġetti tal-ICT u tat-tibdil tagħhom;

(e) 

l-impatt potenzjali tar-riskju tal-ICT fuq il-kunfidenzjalità, l-integrità u d-disponibbiltà tad-data, u tat-tfixkil fuq il-kontinwità u d-disponibbiltà tal-attivitajiet tal-entità finanzjarja.
EULAW Artikolu 2 1.

L-entitajiet finanzjarji għandhom jiżguraw li l-politiki tas-sigurtà tal-ICT, is-sigurtà tal-informazzjoni u l-proċeduri, il-protokolli u l-għodod relatati tagħhom kif imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554 ikunu inkorporati fil-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom. L-entitajiet finanzjarji għandhom jistabbilixxu l-politiki, il-proċeduri, il-protokolli u l-għodod tas-sigurtà tal-ICT stabbiliti f’dan il-Kapitolu li:

(a) 

jiżguraw is-sigurtà tan-networks;

(b) 

fihom salvagwardji kontra l-intrużjonijiet u l-użu ħażin tad-data;

(c) 

jippreżervaw id-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, inkluż permezz tal-użu ta’ tekniki kriptografiċi;

(d) 

jiggarantixxu trażmissjoni tad-data akkurata u fil-pront mingħajr interruzzjonijiet kbar u dewmien bla bżonn.
EULAW Artikolu 2 2.

L-entitajiet finanzjarji għandhom jiżguraw li l-politiki ta’ sigurtà tal-ICT imsemmija fil-paragrafu 1:

(a) 

huma allinjati mal-objettivi tas-sigurtà tal-informazzjoni tal-entità finanzjarja inklużi fl-istrateġija tar-reżiljenza operazzjonali diġitali msemmija fl-Artikolu 6(8) tar-Regolament (UE) 2022/2554;

(b) 

jindikaw id-data tal-approvazzjoni formali tal-politiki tas-sigurtà tal-ICT mill-korp maniġerjali;

(c) 

jinkludu indikaturi u miżuri biex:

(i) 

jimmonitorjaw l-implimentazzjoni tal-politiki, tal-proċeduri, tal-protokolli u tal-għodod tas-sigurtà tal-ICT;

(ii) 

jirreġistraw eċċezzjonijiet minn dik l-implimentazzjoni

(iii) 

jiżguraw li tiġi żgurata r-reżiljenza operazzjonali diġitali tal-entità finanzjarja f’każ ta’ eċċezzjonijiet kif imsemmi fil-punt (ii);

(d) 

jispeċifikaw ir-responsabbiltajiet tal-persunal fil-livelli kollha biex tiġi żgurata s-sigurtà tal-ICT tal-entità finanzjarja;

(e) 

jispeċifikaw il-konsegwenzi tan-nuqqas ta’ konformità mill-persunal tal-entità finanzjarja mal-politiki tas-sigurtà tal-ICT, fejn id-dispożizzjonijiet għal dak l-għan ma jkunux stabbiliti f’politiki oħrajn tal-entità finanzjarja;

(f) 

jelenkaw id-dokumentazzjoni li għandha tinżamm;

(g) 

jispeċifikaw is-segregazzjoni tal-arranġamenti tad-dmirijiet fil-kuntest tat-tliet linji tal-mudell ta’ difiża jew ta’ mudell intern ieħor ta’ ġestjoni u kontroll tar-riskju, kif applikabbli, biex jiġu evitati kunflitti ta’ interess;

(h) 

jikkunsidraw prattiki ewlenin u, meta applikabbli, standards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012;

(i) 

jidentifikaw ir-rwoli u r-responsabbiltajiet għall-iżvilupp, għall-implimentazzjoni u għaż-żamma tal-politiki, tal-proċeduri, tal-protokolli u tal-għodod tas-sigurtà tal-ICT;

(j) 

huma rrieżaminati f’konformità mal-Artikolu 6(5) tar-Regolament (UE) 2022/2554;

(k) 

iqisu t-tibdiliet materjali li jikkonċernaw l-entità finanzjarja, inklużi t-tibdiliet materjali fl-attivitajiet jew fil-proċessi tal-entità finanzjarja, fix-xenarju tat-theddid ċibernetiku, jew fl-obbligi legali applikabbli.
EULAW Artikolu 3 Ġestjoni tar-riskju tal-ICT

Artikolu 3

Ġestjoni tar-riskju tal-ICT

L-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politiki u proċeduri tal-ġestjoni tar-riskju tal-ICT li għandu jkun fihom dawn kollha li ġejjin:

(a) 

indikazzjoni tal-approvazzjoni tal-livell ta’ tolleranza tar-riskju għar-riskju tal-ICT stabbilit f’konformità mal-Artikolu 6(8), il-punt (b) tar-Regolament (UE) 2022/2554;

(b) 

proċedura u metodoloġija għat-twettiq tal-valutazzjoni tar-riskju tal-ICT, li tidentifika:

(i) 

il-vulnerabbiltajiet u t-theddid li jaffettwaw jew li jistgħu jaffettwaw il-funzjonijiet tan-negozju appoġġati, is-sistemi tal-ICT u l-assi tal-ICT li jappoġġaw dawk il-funzjonijiet;

(ii) 

l-indikaturi kwantitattivi jew kwalitattivi biex jitkejlu l-impatt u l-probabbiltà tal-vulnerabbiltajiet u t-theddid imsemmija fil-punt (i);

(c) 

il-proċedura biex jiġu identifikati, implimentati u ddokumentati miżuri għat-trattament tar-riskju tal-ICT għar-riskji tal-ICT identifikati u vvalutati, inkluża d-determinazzjoni tal-miżuri għat-trattament tar-riskju tal-ICT meħtieġa biex ir-riskju tal-ICT jinġieb fil-livell tat-tolleranza tar-riskju msemmi fil-punt (a);

(d) 

għar-riskji residwali tal-ICT li jkunu għadhom preżenti wara l-implimentazzjoni tal-miżuri tat-trattament tar-riskju tal-ICT imsemmija fil-punt (c):

(i) 

dispożizzjonijiet dwar l-identifikazzjoni ta’ dawk ir-riskji residwali tal-ICT;

(ii) 

l-assenjazzjoni tar-rwoli u tar-responsabbiltajiet fir-rigward ta’:

(1) 

l-aċċettazzjoni tar-riskji residwali tal-ICT li jaqbżu l-livell ta’ tolleranza tar-riskju tal-entità finanzjarja msemmi fil-punt (a);

(2) 

għall-proċess ta’ rieżami msemmi fil-punt (iv) ta’ dan il-punt (d);

(iii) 

l-iżvilupp ta’ inventarju tar-riskji residwali tal-ICT aċċettati, inkluża ġustifikazzjoni għall-aċċettazzjoni tagħhom;

(iv) 

dispożizzjonijiet dwar ir-rieżami tar-riskji residwali tal-ICT aċċettati mill-anqas darba fis-sena, inklużi:

(1) 

l-identifikazzjoni ta’ kwalunkwe tibdil fir-riskji residwali tal-ICT;

(2) 

il-valutazzjoni tal-miżuri ta’ mitigazzjoni disponibbli;

(3) 

il-valutazzjoni ta’ jekk ir-raġunijiet li jiġġustifikaw l-aċċettazzjoni tar-riskji residwali tal-ICT jkunux għadhom validi u applikabbli fid-data tar-rieżami;

(e) 

dispożizzjonijiet dwar il-monitoraġġ ta’:

(i) 

kwalunkwe tibdil fix-xenarju tar-riskju tal-ICT u tat-theddid ċibernetiku;

(ii) 

vulnerabbiltajiet u theddid interni u esterni:

(iii) 

ir-riskju tal-ICT tal-entità finanzjarja li jippermetti l-individwazzjoni fil-pront ta’ tibdiliet li jistgħu jaffettwaw il-profil tar-riskju tal-ICT tagħha;

(f) 

dispożizzjonijiet dwar proċess biex jiġi żgurat li jitqies kwalunkwe tibdil fl-istrateġija tan-negozju u fl-istrateġija tar-reżiljenza operazzjonali diġitali tal-entità finanzjarja.

Għall-finijiet tal-ewwel paragrafu, il-punt (c), il-proċedura msemmija f’dak il-punt għandha tiżgura:

(a) 

il-monitoraġġ tal-effettività tal-miżuri għat-trattament tar-riskju tal-ICT implimentati;

(b) 

il-valutazzjoni ta’ jekk intlaħqux il-livelli ta’ tolleranza tar-riskju stabbiliti tal-entità finanzjarja;

(c) 

il-valutazzjoni ta’ jekk l-entità finanzjarja tkunx ħadet azzjonijiet biex tikkoreġi jew ittejjeb dawk il-miżuri meta meħtieġ.
EULAW Artikolu 8 1.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politiki u proċeduri għall-ġestjoni tal-operazzjonijiet tal-ICT. Dawk il-politiki u l-proċeduri għandhom jispeċifikaw kif l-entitajiet finanzjarji joperaw, jimmonitorjaw, jikkontrollaw u jirrestawraw l-assi tal-ICT tagħhom, inkluża d-dokumentazzjoni tal-operazzjonijiet tal-ICT.
EULAW Artikolu 8 2.

Il-politiki u l-proċeduri għall-operazzjonijiet tal-ICT imsemmija fil-paragrafu 1 għandhom jinkludu dawn kollha li ġejjin:

(a) 

deskrizzjoni tal-assi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

ir-rekwiżiti dwar l-installazzjoni, il-manutenzjoni, il-konfigurazzjoni u d-deinstallazzjoni siguri ta’ sistema tal-ICT;

(ii) 

ir-rekwiżiti dwar il-ġestjoni tal-assi tal-informazzjoni użati mill-assi tal-ICT, inklużi l-ipproċessar u l-immaniġġar tagħhom, kemm awtomatizzati kif ukoll manwali;

(iii) 

ir-rekwiżiti dwar l-identifikazzjoni u l-kontroll tas-sistemi tal-ICT miruta;

(b) 

il-kontrolli u l-monitoraġġ tas-sistemi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

backup u restawr tar-rekwiżiti tas-sistemi tal-ICT;

(ii) 

rekwiżiti ta’ skedar, filwaqt li jitqiesu l-interdipendenzi fost is-sistemi tal-ICT;

(iii) 

protokolli għall-informazzjoni tar-rekord tal-awditjar u tar-reġistru tas-sistema;

(iv) 

rekwiżiti biex jiġi żgurat li t-twettiq tal-awditjar intern u ttestjar ieħor jimminimizza t-tfixkil fl-operazzjonijiet kummerċjali;

(v) 

rekwiżiti dwar is-separazzjoni tal-ambjenti ta’ produzzjoni tal-ICT mill-ambjenti tal-iżvilupp, tal-ittestjar u minn ambjenti oħrajn mhux tal-produzzjoni;

(vi) 

rekwiżiti għat-twettiq tal-iżvilupp u l-ittestjar f’ambjenti li jkunu separati mill-ambjent ta’ produzzjoni;

(vii) 

rekwiżiti għat-twettiq tal-iżvilupp u l-ittestjar fl-ambjenti ta’ produzzjoni;

(c) 

it-trattament tal-iżbalji li jikkonċernaw is-sistemi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

proċeduri u protokolli għat-trattament tal-iżbalji;

(ii) 

kuntatti ta’ appoġġ u eskalazzjoni, inklużi kuntatti ta’ appoġġ estern f’każ ta’ kwistjonijiet operazzjonali jew tekniċi mhux mistennija;

(iii) 

bidu mill-ġdid tas-sistema tal-ICT, it-treġija lura u l-proċeduri ta’ rkupru għall-użu f’każ ta’ tfixkil fis-sistema tal-ICT.

Għall-finijiet tal-punt (b)(v), is-separazzjoni għandha tqis il-komponenti kollha tal-ambjent, inklużi l-kontijiet, id-data jew il-konnessjonijiet, kif meħtieġ mill-Artikolu 13, l-ewwel subartikolu, il-punt (a).

Għall-finijiet tal-punt (b)(vii), il-politiki u l-proċeduri msemmija fil-paragrafu 1 għandhom jipprevedu li l-każijiet li fihom jitwettaq l-ittestjar f’ambjent ta’ produzzjoni jkunu identifikati b’mod ċar, immotivati, ikunu għal perjodi ta’ żmien limitati u jiġu approvati mill-funzjoni rilevanti f’konformità mal-Artikolu 16(6). L-entitajiet finanzjarji għandhom jiżguraw id-disponibbiltà, il-kunfidenzjalità, l-integrità u l-awtentiċità tas-sistemi tal-ICT u tad-data tal-produzzjoni matul l-iżvilupp u l-attivitajiet ta’ ttestjar fl-ambjent ta’ produzzjoni.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.