Third-Party (Multi-vendor) Risk Management Program

1.   L-entitajiet finanzjarji għandu jkollhom qafas sod, komprensiv u ddokumentat sewwa għall-ġestjoni tar-riskju tal-ICT bħala parti mis-sistema globali tagħhom għall-ġestjoni tar-riskju, li jippermettilhom jindirizzaw ir-riskju tal-ICT malajr, b’mod effiċjenti u komprensiv, u jiżguraw livell għoli ta’ reżiljenza operazzjonali diġitali.

2.   Il-qafas għall-ġestjoni tar-riskju tal-ICT għandu jinkludi tal-anqas l-istrateġiji, il-politiki, il-proċeduri, il-protokolli tal-ICT u l-għodod li huma meħtieġa biex b’mod debitu u adegwat jiġu protetti l-assi kollha ta’ informazzjoni u l-assi kollha tal-ICT, fosthom is-software tal-kompjuters, il-hardware u s-servers, kif ukoll biex jiġu protetti l-komponenti fiżiċi u l-infrastrutturi rilevanti kollha, bħall-bini, iċ-ċentri tad-data u ż-żoni kklassifikati bħala sensittivi, sabiex jiġi żgurat li l-assi kollha ta’ informazzjoni u l-assi kollha tal-ICT ikunu protetti b’mod adegwat mir-riskji inkluż il-ħsara u l-aċċess jew l-użu mhux awtorizzat.

3.   F’konformità mal-qafas tagħhom għall-ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jimminimizzaw l-impatt tar-riskju tal-ICT billi jużaw strateġiji, politiki, proċeduri, protokolli tal-ICT u għodod xierqa. Huma għandhom jipprovdu informazzjoni kompleta u aġġornata dwar ir-riskju tal-ICT u dwar il-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom lill-awtoritajiet kompetenti fuq talba tagħhom.

4.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jassenjaw ir-responsabbiltà għall-ġestjoni u s-sorveljanza ta’ riskju tal-ICT lil funzjoni ta’ kontroll u jiżguraw livell xieraq ta’ indipendenza ta’ tali funzjoni ta’ kontroll sabiex jevitaw kunflitti ta’ interess. L-entitajiet finanzjarji għandhom jiżguraw segregazzjoni u indipendenza xierqa tal-funzjonijiet tal-ġestjoni tar-riskju tal-ICT, tal-funzjonijiet ta’ kontroll u tal-funzjonijiet tal-awditjar intern, skont it-tliet linji tal-mudell ta’ difiża, jew mudell intern ta’ kontroll u tal-ġestjoni tar-riskji.

5.   Il-qafas tal-ġestjoni tar-riskju tal-ICT għandu jiġi ddokumentat u rieżaminat mill-inqas darba fis-sena, jew perjodikament fil-każ tal-mikrointrapriżi, kif ukoll mal-okkorrenza ta’ inċidenti kbar relatati mal-ICT, u wara struzzjonijiet superviżorji jew konklużjonijiet derivati mill-ittestjar tar-reżiljenza operazzjonali diġitali jew il-proċessi tal-awditjar rilevanti. Huwa għandu jittejjeb kontinwament abbażi tal-lezzjonijiet meħuda mill-implimentazzjoni u l-monitoraġġ. Rapport dwar ir-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT għandu jiġi ppreżentat lill-awtorità kompetenti fuq talba tagħha.

7.   Abbażi tal-konklużjonijiet tar-rieżami intern tal-awditu, l-entitajiet finanzjarji għandhom jistabbilixxu proċess formali ta’ segwitu, inkluż regoli għall-verifika u r-rimedju f’waqthom tas-sejbiet kruċjali tal-awditu tal-ICT.

9.   L-entitajiet finazjarji jistgħu, fil-kuntest tal-istrateġija ta’ reżiljenza operazzjonali diġitali msemmija fil-paragrafu 8, jiddefinixxu strateġija olistika tal-ICT b’diversi bejjiegħa, fil-livell ta’ grupp jew entità, waqt li juru d-dipendenzi ewlenin fuq fornituri terzi ta’ servizzi tal-ICT u jispjegaw ir-raġunament wara l-akkwist imħallat ta’ fornituri terzi ta’ servizzi tal-ICT.

10.   L-entitajiet finanzjarji jistgħu, f’konformità mal-liġi settorjali tal-Unjoni u dik nazzjonali, jesternalizzaw il-kompiti tal-verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskju tal-ICT lil impriżi intragrupp jew esterni. Fil-każ ta’ tali esternalizzazzjoni, l-entità finanzjarja tibqa’ terfa’ r-responsabbiltà aħħarija għall-verifika tal-konformità mar-rekwiżiti tal-ġestjoni tar-riskju tal-ICT.

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom jidentifikaw, jikklassifikaw u jiddokumentaw b’mod adegwat il-funzjonijiet tan-negozju kollha appoġġjati mill-ICT, ir-rwoli u r-responsabbiltajiet, l-assi ta’ informazzjoni u l-assi tal-ICT li jappoġġjaw dawk il-funzjonijiet, u r-rwoli u d-dipendenzi tagħhom fir-rigward tar-riskju tal-ICT. L-entitajiet finanzjarji għandhom jirrieżaminaw kif meħtieġ, u mill-inqas darba fis-sena, l-adegwatezza ta’ din il-klassifikazzjoni u ta’ kwalunkwe dokumentazzjoni rilevanti.

1.   Għall-finijiet ta’ protezzjoni adegwata tas-sistemi tal-ICT u bl-għan li jiġu organizzati miżuri ta’ rispons, l-entitajiet finanzjarji għandhom jimmonitorjaw u jikkontrollaw kontinwament is-sigurtà u l-funzjonament tas-sistemi u tal-għodod tal-ICT u għandhom jimminimizzaw l-impatt tar-riskju tal-ICT fuq is-sistemi tal-ICT bl-użu ta’ għodod, politiki u proċeduri xierqa tas-sigurtà tal-ICT.

4.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom:

Għall-finijiet tal-ewwel subparagrafu, il-punt (b), l-entitajiet finanzjarji għandhom ifasslu l-infrastruttura tal-konnessjoni tan-netwerk b’tali mod li din tkun tista’ tinqata’ b’mod istantanju jew tiġi segmentata sabiex jimminimizzaw u jipprevjenu l-kontaġju, speċjalment tal-proċessi finanzjarji interkonnessi.

Għall-finijiet tal- ewwel subparagrafu, il-punt (e), il-proċess ta’ ġestjoni tat-tibdil fl-ICT għandu jiġi approvat mil-livelli xierqa tal-maniġment u għandu jkollu protokolli speċifiċi stabbiliti.

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1) u abbażi tar-rekwiżiti ta’ identifikazzjoni li jinsabu fl-Artikolu 8, l-entitajiet finanzjarji għandhom jistabbilixxu politika komprensiva tal-kontinwità tal-operat tal-ICT, li tista’ tiġi adottata bħala politika speċifika dedikata, li tifforma parti integrali mill-politika globali tal-kontinwità tal-operat tal-entità finanzjarja.

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom jimplimentaw pjanijiet ta’ rispons u rkupru għall-ICT assoċjati, li fil-każ ta’ entitajiet finanzjarji għajr il-mikrointrapriżi, għandhom ikunu soġġetti għal rieżamijiet ta’ awditjar intern.

6.   Bħala parti mill-ġestjoni komprensiva tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom:

Għall-finijiet tal-ewwel subparagrafu, il-punt (a), l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jinkludu fil-pjanijiet tal-ittestjar xenarji ta’ ċiberattakki u l-qlib minn infrastruttura primarja tal-ICT għall-oħra u l-kapaċità żejda, il-backups u l-faċilitajiet żejda meħtieġa biex jiġu ssodisfati l-obbligi stabbiliti fl-Artikolu 12.

L-entitajiet finanzjarji għandhom jirrevedu regolarment il-politika tagħhom tal-kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, filwaqt li jqisu r-riżultati tat-testijiet imwettqa f’konformità mal-ewwel subparagrafu u mar-rakkomandazzjonijiet li jirriżultaw minn kontrolli tal-awditjar jew rieżamijiet superviżorji.

1.   Sabiex jiġi żgurat ir-restawr tas-sistemi tal-ICT u tad-data bl-iqsar perjodu ta’ qtugħ, tfixkil u telf limitati, bħala parti mill-qafas tagħhom ta’ ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jiżviluppaw u jiddokumentaw:

2.   L-entitajiet finanzjarji għandhom jistabbilixxu sistemi ta’ backup li jistgħu jiġu attivati skont il-politiki u l-proċeduri ta’ backup, kif ukoll il-proċeduri u l-metodi ta’ restawr u rkupru. L-attivazzjoni tas-sistemi ta’ backup ma għandhiex tipperikola s-sigurtà tan-netwerk u tas-sistemi tal-informazzjoni jew id-disponibbiltà, l-awtentiċità, l-inegrità jew il-kunfidenzjalità tad-data. L-ittestjar tal-proċeduri ta’ backup u tal-proċeduri ta’ restawr u rkupru għandhom jitwettqu perjodikament.

3.   Meta jirrestawraw id-data ta’ backup bl-użu tas-sistemi proprji, l-entitajiet finanzjarji għandhom jużaw sistemi tal-ICT li jkunu fiżikament u loġikament segregati mis-sistema tal-ICT tas-sors. Is-sistemi tal-ICT għandhom ikunu protetti b’mod sigur minn kwalunkwe aċċess mhux awtorizzat jew korruzzjoni tal-ICT u jippermettu r-restawr f’waqtu tas-servizzi li jużaw id-data u l-backups tas-sistema kif meħtieġ.

Għall-kontropartijiet ċentrali, il-pjanijiet ta’ rkupru għandhom jippermettu l-irkupru tat-tranżazzjonijiet kollha li kienu qed isiru meta seħħet l-tfixkil sabiex jippermettu lill-kontroparti ċentrali tkompli topera b’ċertezza u tlesti s-saldu fid-data skedata.

Il-fornituri ta’ servizzi ta’ rappurtar ta’ data għandhom barra minn hekk iżommu riżorsi adegwati u jkollhom fis-seħħ faċilitajiet ta’ backup u restawr sabiex joffru u jżommu s-servizzi tagħhom f’kull ħin.

3.   It-tagħlimiet meħuda mill-ittestjar tar-reżiljenza operazzjonali diġitali mwettaq f’konformità mal-Artikoli 26 u 27 u minn inċidenti relatati mal-ICT fil-ħajja reali, b’mod partikolari ċiberattakki, flimkien mal-isfidi li jfiġġu mal-attivazzjoni tal-pjanijiet tal-kontinwità tal-operat tal-ICT jew tal-pjanijiet ta’ rispons u rkupru għall-ICT, flimkien mal-informazzjoni rilevanti skambjata mal-kontropartijiet u vvalutata fir-rieżamijiet superviżorji, għandhom jiġu inkorporati kif xieraq fuq bażi kontinwa fil-proċess tal-valutazzjoni tar-riskju tal-ICT. Dawk is-sejbiet għandhom jifformaw il-bażi għal rieżamijiet xierqa tal-komponenti rilevanti tal-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1).

5.   Il-persunal għoli tal-ICT għandu jirrapporta mill-inqas darba fis-sena lill-korp maniġerjali dwar is-sejbiet imsemmija fil-paragrafu 3 u jressaq rakkomandazzjonijiet.

7.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jimmonitorjaw l-iżviluppi teknoloġiċi rilevanti fuq bażi kontinwa, anki bil-ħsieb li jifhmu l-impatt possibbli tal-użu ta’ tali teknoloġiji ġodda fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq ir-reżiljenza operazzjonali diġitali. Huma għandhom iżommu ruħhom aġġornati dwar l-aħħar proċessi tal-ġestjoni tar-riskju tal-ICT, sabiex jiġġieldu b’mod effettiv kontra l-forom attwali jew ġodda ta’ ċiberattakki.

2.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT, l-entitajiet finanzjarji għandhom jimplimentaw politiki ta’ komunikazzjoni għall-persunal intern u għall-partijiet ikkonċernati esterni. Il-politiki ta’ komunikazzjoni għall-persunal għandhom iqisu l-ħtieġa li ssir distinzjoni bejn il-persunal involut fil-ġestjoni tar-riskju tal-ICT, b’mod partikolari l-persunal responsabbli għar-rispons u l-irkupru, u l-persunal li jeħtieġ li jiġi informat.

1.   Għall-fini tal-valutazzjoni tal-istat ta’ tħejjija għall-ġestjoni ta’ inċidenti relatati mal-ICT, tal-identifikazzjoni ta’ dgħufijiet, nuqqasijiet u lakuni fir-reżiljenza operazzjonali diġitali u tal-implimentazzjoni fil-pront ta’ miżuri korrettivi, l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom, b’kont meħud tal-kriterji stabbiliti fl-Artikolu 4(2), jistabbilixxu, iżommu u jirrieżaminaw programm tajjeb u komprensiv ta’ ttestjar tar-reżiljenza operazzjonali diġitali bħala parti integrali mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6.

2.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji, għajr dawk l-entitajiet imsemmija fl-Artikolu 16(1), l-ewwel subparagrafu u għajr il-mikrointrapriżi, għandhom jadottaw, u jirrieżaminaw b’mod regolari, strateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi, waqt li jqisu l-istrateġija ta’ diversi bejjiegħa msemmija fl-Artikolu 6(9), fejn applikabbli. L-istrateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT u għandha tapplika fuq bażi individwali u, fejn rilevanti, fuq bażi subkonsolidata u konsolidata. Il-korp maniġerjali għandu, abbażi ta’ valutazzjoni tal-profil tar-riskju ġenerali tal-entità finanzjarja u l-iskala u l-kumplessità tas-servizzi tan-negozju, jirrieżamina regolarment ir-riskji identifikati fir-rigward tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti.

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw fil-livell tal-entità, u fil-livelli subkonsolidati u konsolidati, reġistru ta’ informazzjoni fir-rigward tal-arranġamenti kuntrattwali kollha dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT.

L-arranġamenti kuntrattwali msemmija fl-ewwel subparagrafu għandhom jiġu ddokumentati b’mod xieraq, filwaqt li ssir distinzjoni bejn dawk li jkopru s-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u dawk li le.

L-entitajiet finanzjarji għandhom jirrappurtaw mill-inqas darba fis-sena lill-awtoritajiet kompetenti dwar l-għadd ta’ arranġamenti ġodda dwar l-użu tas-servizzi tal-ICT, il-kategoriji tal-fornituri terzi ta’ servizzi tal-ICT, it-tip ta’ arranġamenti kuntrattwali u s-servizzi u l-funzjonijiet tal-ICT li qed jiġu pprovduti.

L-entitajiet finanzjarji għandhom jagħmlu disponibbli għall-awtorità kompetenti, fuq talba tagħha, ir-reġistru sħiħ tal-informazzjoni jew, kif mitlub, taqsimiet speċifikati tiegħu, flimkien ma’ kwalunkwe informazzjoni meqjusa bħala neċessarja biex tkun tista’ ssir is-superviżjoni effettiva tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jinformaw lill-awtorità kompetenti fil-ħin dwar kwalunkwe arranġament kuntrattwali dwar l-użu ta’ servizzi tal-ICT ippjanat li jappoġġja funzjonijiet kritiċi jew importanti kif ukoll meta funzjoni ssir kritika jew importanti.