+Emergency Change Management

Emergency Change Management

Define procedures for documenting, reevaluating, assessing, and approving the implementation of emergency changes, including workarounds and patches.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 8 1.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politiki u proċeduri għall-ġestjoni tal-operazzjonijiet tal-ICT. Dawk il-politiki u l-proċeduri għandhom jispeċifikaw kif l-entitajiet finanzjarji joperaw, jimmonitorjaw, jikkontrollaw u jirrestawraw l-assi tal-ICT tagħhom, inkluża d-dokumentazzjoni tal-operazzjonijiet tal-ICT.
EULAW Artikolu 8 2.

Il-politiki u l-proċeduri għall-operazzjonijiet tal-ICT imsemmija fil-paragrafu 1 għandhom jinkludu dawn kollha li ġejjin:

(a) 

deskrizzjoni tal-assi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

ir-rekwiżiti dwar l-installazzjoni, il-manutenzjoni, il-konfigurazzjoni u d-deinstallazzjoni siguri ta’ sistema tal-ICT;

(ii) 

ir-rekwiżiti dwar il-ġestjoni tal-assi tal-informazzjoni użati mill-assi tal-ICT, inklużi l-ipproċessar u l-immaniġġar tagħhom, kemm awtomatizzati kif ukoll manwali;

(iii) 

ir-rekwiżiti dwar l-identifikazzjoni u l-kontroll tas-sistemi tal-ICT miruta;

(b) 

il-kontrolli u l-monitoraġġ tas-sistemi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

backup u restawr tar-rekwiżiti tas-sistemi tal-ICT;

(ii) 

rekwiżiti ta’ skedar, filwaqt li jitqiesu l-interdipendenzi fost is-sistemi tal-ICT;

(iii) 

protokolli għall-informazzjoni tar-rekord tal-awditjar u tar-reġistru tas-sistema;

(iv) 

rekwiżiti biex jiġi żgurat li t-twettiq tal-awditjar intern u ttestjar ieħor jimminimizza t-tfixkil fl-operazzjonijiet kummerċjali;

(v) 

rekwiżiti dwar is-separazzjoni tal-ambjenti ta’ produzzjoni tal-ICT mill-ambjenti tal-iżvilupp, tal-ittestjar u minn ambjenti oħrajn mhux tal-produzzjoni;

(vi) 

rekwiżiti għat-twettiq tal-iżvilupp u l-ittestjar f’ambjenti li jkunu separati mill-ambjent ta’ produzzjoni;

(vii) 

rekwiżiti għat-twettiq tal-iżvilupp u l-ittestjar fl-ambjenti ta’ produzzjoni;

(c) 

it-trattament tal-iżbalji li jikkonċernaw is-sistemi tal-ICT, inklużi dawn kollha li ġejjin:

(i) 

proċeduri u protokolli għat-trattament tal-iżbalji;

(ii) 

kuntatti ta’ appoġġ u eskalazzjoni, inklużi kuntatti ta’ appoġġ estern f’każ ta’ kwistjonijiet operazzjonali jew tekniċi mhux mistennija;

(iii) 

bidu mill-ġdid tas-sistema tal-ICT, it-treġija lura u l-proċeduri ta’ rkupru għall-użu f’każ ta’ tfixkil fis-sistema tal-ICT.

Għall-finijiet tal-punt (b)(v), is-separazzjoni għandha tqis il-komponenti kollha tal-ambjent, inklużi l-kontijiet, id-data jew il-konnessjonijiet, kif meħtieġ mill-Artikolu 13, l-ewwel subartikolu, il-punt (a).

Għall-finijiet tal-punt (b)(vii), il-politiki u l-proċeduri msemmija fil-paragrafu 1 għandhom jipprevedu li l-każijiet li fihom jitwettaq l-ittestjar f’ambjent ta’ produzzjoni jkunu identifikati b’mod ċar, immotivati, ikunu għal perjodi ta’ żmien limitati u jiġu approvati mill-funzjoni rilevanti f’konformità mal-Artikolu 16(6). L-entitajiet finanzjarji għandhom jiżguraw id-disponibbiltà, il-kunfidenzjalità, l-integrità u l-awtentiċità tas-sistemi tal-ICT u tad-data tal-produzzjoni matul l-iżvilupp u l-attivitajiet ta’ ttestjar fl-ambjent ta’ produzzjoni.
EULAW Artikolu 17 1.

Bħala parti mis-salvagwardji biex jiġu ppreżervati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-entitajiet finanzjarji għandhom jinkludu fil-proċeduri ta’ ġestjoni tat-tibdil fl-ICT imsemmija fl-Artikolu 9(4), il-punt (e), tar-Regolament (UE) 2022/2554, fir-rigward tat-tibdiliet kollha fis-software, fil-hardware, fil-komponenti tal-firmware, fis-sistemi, jew fil-parametri tas-sigurtà, l-elementi kollha li ġejjin:

(a) 

verifika ta’ jekk ir-rekwiżiti tas-sigurtà tal-ICT ġewx issodisfati;

(b) 

mekkaniżmi biex tiġi żgurata l-indipendenza tal-funzjonijiet li japprovaw it-tibdiliet u l-funzjonijiet responsabbli għat-talba u għall-implimentazzjoni ta’ dawk it-tibdiliet;

(c) 

deskrizzjoni ċara tar-rwoli u tar-responsabbiltajiet biex jiġi żgurat li:

(i) 

it-tibdiliet ikunu speċifikati u ppjanati;

(ii) 

tkun iddisinjata tranżizzjoni adegwata;

(iii) 

it-tibdiliet jiġu ttestjati u ffinalizzati b’mod ikkontrollat;

(iv) 

ikun hemm assigurazzjoni tal-kwalità effettiva;

(d) 

id-dokumentazzjoni u l-komunikazzjoni tad-dettalji tat-tibdil, inklużi:

(i) 

l-għan u l-ambitu tat-tibdil;

(ii) 

l-iskeda ta’ żmien għall-implimentazzjoni tat-tibdil;

(iii) 

l-eżiti mistennija;

(e) 

l-identifikazzjoni tal-proċeduri u tar-responsabbiltajiet ta’ riżerva, inklużi l-proċeduri u r-responsabbiltajiet għat-twaqqif ta’ tibdiliet jew għall-irkupru minn tibdiliet li ma ġewx implimentati b’suċċess;

(f) 

il-proċeduri, il-protokolli u l-għodod għall-ġestjoni ta’ tibdiliet ta’ emerġenza li jipprovdu salvagwardji adegwati;

(g) 

il-proċeduri għad-dokumentazzjoni, għall-evalwazzjoni mill-ġdid, għall-valutazzjoni u għall-approvazzjoni ta’ tibdiliet ta’ emerġenza wara l-implimentazzjoni tagħhom, inklużi alternattivi u patches;

(h) 

l-identifikazzjoni tal-impatt potenzjali ta’ tibdil fuq il-miżuri eżistenti tas-sigurtà tal-ICT u valutazzjoni ta’ jekk dan it-tibdil jirrikjedix l-adozzjoni ta’ miżuri addizzjonali tas-sigurtà tal-ICT.
EULAW Artikolu 17 2.
Wara li jkunu għamlu tibdiliet sinifikanti fis-sistemi tal-ICT tagħhom, il-kontropartijiet ċentrali u d-depożitorji ċentrali tat-titoli għandhom jissottomettu s-sistemi tal-ICT tagħhom għal ittestjar strett billi jissimulaw kundizzjonijiet ta’ stress.

Il-kontropartijiet ċentrali għandhom jinvolvu, kif xieraq, fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

il-membri tal-ikklerjar u klijenti;

(b) 

il-kontropartijiet ċentrali interoperabbli;

(c) 

partijiet interessati oħrajn;

Id-depożitorji ċentrali tat-titoli għandhom, kif xieraq, jinvolvu fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

l-utenti;

(b) 

il-fornituri ta’ utilitajiet kritiċi u servizzi kritiċi;

(c) 

depożitorji ċentrali tat-titoli oħrajn;

(d) 

infrastrutturi tas-suq oħrajn;

(e) 

kwalunkwe istituzzjoni oħra li magħha d-depożitorji ċentrali tat-titoli identifikaw interdipendenzi fil-politika tagħhom dwar il-kontinwità tal-operat tal-ICT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.