+Reliance Third-Party Assurance and Certifications

Reliance Third-Party Assurance and Certifications

Use, where appropriate, third-party certifications, third-party or internal audit reports made available by the ICT third-party service provider, or own audit reports to confirm adherence of contractual requirements on information access, inspection, audit, and ICT testing with the third-party. Rely on third-party certifications and audit reports from ICT third-party service providers only if the following specific conditions are met: the audit plan is aligned with contractual arrangements, the audit scope is comprehensive and covers identified systems and key controls, ongoing assessment of certification/report content are performed and validated, key systems and controls are covered in future versions of the certification or audit report, there is confidence in the certifying/auditing party's capabilities, certifications/audits adhere to recognized professional standards, the right to request scope expansion is covered in the contract, and right to perform discretionary audits is retained.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 6 6

6.   Il-qafas tal-ġestjoni tar-riskju tal-ICT tal-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandu jkun soġġett għal awditu intern minn awdituri fuq bażi regolari skont il-pjan ta’ awditu tal-entitajiet finanzjarji. Dawk l-awdituri għandu jkollhom biżżejjed għarfien, ħiliet u għarfien espert fir-riskju tal-ICT, kif ukoll indipendenza xierqa. Il-frekwenza u l-enfasi tal-awditi tal-ICT għandhom ikunu proporzjonati mar-riskju tal-ICT tal-entità finanzjarja.
EULAW Artikolu 11 3

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandhom jimplimentaw pjanijiet ta’ rispons u rkupru għall-ICT assoċjati, li fil-każ ta’ entitajiet finanzjarji għajr il-mikrointrapriżi, għandhom ikunu soġġetti għal rieżamijiet ta’ awditjar intern.
EULAW Artikolu 13 7

7.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jimmonitorjaw l-iżviluppi teknoloġiċi rilevanti fuq bażi kontinwa, anki bil-ħsieb li jifhmu l-impatt possibbli tal-użu ta’ tali teknoloġiji ġodda fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq ir-reżiljenza operazzjonali diġitali. Huma għandhom iżommu ruħhom aġġornati dwar l-aħħar proċessi tal-ġestjoni tar-riskju tal-ICT, sabiex jiġġieldu b’mod effettiv kontra l-forom attwali jew ġodda ta’ ċiberattakki.
EULAW Artikolu 28 6

6.   Fl-eżerċizzju tad-drittijiet tal-aċċess, tal-ispezzjoni u tal-awditjar fuq il-fornitur terz tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom, abbażi ta’ approċċ ibbażat fuq ir-riskju, jiddeterminaw minn qabel il-frekwenza tal-awditi u tal-ispezzjonijiet kif ukoll l-oqsma li għandhom jiġu awditjati billi jaderixxu ma’ standards tal-awditjar aċċettati b’mod komuni f’konformità ma’ kwalunkwe struzzjoni superviżorja dwar l-użu u l-inkorporazzjoni ta’ tali standards tal-awditjar.

Fejn l-arranġamenti kuntrattwali konklużi ma’ fornituri terzi ta’ servizzi tal-ICT dwar l-użu ta’ servizzi tal-ICT jinvolvu kumplessità teknika għolja, l-entità finanzjarja għandha tivverifika li l-awdituri, kemm jekk interni kif ukoll jekk esterni, jew diversi awdituri, għandhomx il-ħiliet u l-għarfien xieraq biex iwettqu l-awditi u l-valutazzjonijiet rilevanti.