+Response and Recovery

Response and Recovery

Establish comprehensive response and recovery plans encompassing short-term and long-term recovery options. These plans must thoroughly identify potential scenarios and shall duly take into account scenarios of cyber-attacks, switchovers, degradation of critical function provision, premises failure, breakdowns in ICT assets or communication infrastructure, staff unavailability, natural disasters and the impact of climate change, pandemic situations, physical attacks, insider threats, political or social instability, and power outages. Additionally, these plans must incorporate alternative options in cases where primary recovery measures are impractical in the short term due to factors such as cost, risks, logistics, or unforeseen circumstances. Address potential failures of key ICT third-party service providers into the plans.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 11 1

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1) u abbażi tar-rekwiżiti ta’ identifikazzjoni li jinsabu fl-Artikolu 8, l-entitajiet finanzjarji għandhom jistabbilixxu politika komprensiva tal-kontinwità tal-operat tal-ICT, li tista’ tiġi adottata bħala politika speċifika dedikata, li tifforma parti integrali mill-politika globali tal-kontinwità tal-operat tal-entità finanzjarja.
EULAW Artikolu 11 6

6.   Bħala parti mill-ġestjoni komprensiva tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom:

(a)

jittestjaw il-pjanijiet ta’ kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rispons u rkupru għall-ICT fir-rigward tas-sistemi tal-ICT li jappoġġjaw il-funzjonijiet kollha mill-anqas darba f’sena, kif ukoll fil-każ ta’ kwalunkwe bidla sostantiva fis-sistemi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti;

(b)

jittestjaw il-pjanijiet ta’ komunikazzjoni tal-kriżijiet stabbiliti f’konformità mal-Artikolu 14.

Għall-finijiet tal-ewwel subparagrafu, il-punt (a), l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jinkludu fil-pjanijiet tal-ittestjar xenarji ta’ ċiberattakki u l-qlib minn infrastruttura primarja tal-ICT għall-oħra u l-kapaċità żejda, il-backups u l-faċilitajiet żejda meħtieġa biex jiġu ssodisfati l-obbligi stabbiliti fl-Artikolu 12.

L-entitajiet finanzjarji għandhom jirrevedu regolarment il-politika tagħhom tal-kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, filwaqt li jqisu r-riżultati tat-testijiet imwettqa f’konformità mal-ewwel subparagrafu u mar-rakkomandazzjonijiet li jirriżultaw minn kontrolli tal-awditjar jew rieżamijiet superviżorji.
EULAW Artikolu 11 2

2.   L-entitajiet finanzjarji għandhom jimplimentaw il-politika tal-kontinwità tal-operat tal-ICT permezz ta’ arranġamenti, pjanijiet, proċeduri u mekkaniżmi ddedikati, xierqa u ddokumentati bil-għan li:

(a)

jiżguraw il-kontinwità tal-funzjonijiet kritiċi jew importanti tal-entità finanzjarja;

(b)

jirrispondu malajr, b’mod xieraq u effettiv għall-inċidenti kollha relatati mal-ICT, u jirriżolvuhom, b’mod li jillimita l-ħsara u jagħti prijorità lit-tkomplija tal-attivitajiet u tal-azzjonijiet ta’ rkupru;

(c)

jattivaw, mingħajr dewmien, pjanijiet iddedikati li jippermettu miżuri ta’ trażżin, proċessi u teknoloġiji adatti għal kull tip ta’ inċident relatat mal-ICT u jipprevjenu aktar ħsara, kif ukoll proċeduri ta’ rispons u rkupru mfassla apposta stabbiliti f’konformità mal-Artikolu 12;

(d)

jagħtu stima preliminari tal-impatti, il-ħsarat u t-telf;

(e)

jistipulaw azzjonijiet ta’ komunikazzjoni u ta’ ġestjoni ta’ kriżijiet li jiżguraw li l-informazzjoni aġġornata tintbagħat lill-persunal intern u lill-partijiet ikkonċernati esterni rilevanti kollha f’konformità mal-Artikolu 14, u jirrapportaw lill-awtoritajiet kompetenti f’konformità mal-Artikolu 19.
EULAW Artikolu 11 4

4.   L-entitajiet finanzjarji għandhom jistabbilixxu, iżommu u jittestjaw perjodikament il-pjanijiet xierqa tal-kontinwità tal-operat tal-ICT, b’mod partikolari fir-rigward ta’ funzjonijiet kritiċi jew importanti esternalizzati jew ikkuntrattati permezz ta’ arranġamenti ma’ fornituri terzi ta’ servizzi tal-ICT.
EULAW Artikolu 11 5

5.   Bħala parti mill-politika ġenerali tal-kontinwità tal-operat, l-entitajiet finanzjarji għandhom iwettqu valutazzjoni tal-impatt fuq in-negozju (BIA) tal-esponiment tagħhom għal tqallib serju fl-operat. Skont il-BIA, l-entitajiet finanzjarji għandhom jivvalutaw l-impatt potenzjali ta’ tqallib serju fl-operat permezz ta’ kriterji kwantitattivi u kwalitattivi, bl-użu ta’ data interna u esterna u analiżi tax-xenarji, kif xieraq. Il-BIA għandha tikkunsidra l-kritikalità tal-funzjonijiet tan-negozju identifikati u mmappjati, il-proċessi ta’ appoġġ, id-dipendenzi ta’ partijiet terzi u l-assi tal-informazzjoni, u l-interdipendenzi tagħhom. L-entitajiet finanzjarji għandhom jiżguraw li l-assi tal-ICT u s-servizzi tal-ICT jitfasslu u jintużaw f’allinjament sħiħ mal-BIA, b’mod partikolari sabiex jiżguraw kif xieraq ir-ridondanza tal-komponenti kritiċi kollha.
EULAW Artikolu 11 7

7.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandu jkollhom funzjoni ta’ ġestjoni tal-kriżijiet, li, f’każ ta’ attivazzjoni tal-pjanijiet tagħhom ta’ kontinwità tal-operat tal-ICT jew tal-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, għandha, fost oħrajn, tistabbilixxi proċeduri ċari għall-ġestjoni tal-komunikazzjonijiet interni u esterni għall-kriżijiet f’konformità mal-Artikolu 14.
EULAW Artikolu 11 8

8.   L-entitajiet finanzjarji għandhom iżommu rekords aċċessibbli fil-pront tal-attivitajiet qabel u waqt każijiet ta’ tfixkil meta jiġu attivati l-pjanijiet tagħhom ta’ kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u ta’ rkupru għall-ICT.
EULAW Artikolu 11 9

9.   Id-depożitorji ċentrali tat-titoli għandhom jipprovdu lill-awtoritajiet kompetenti bil-kopji tar-riżultati tat-testijiet tal-kontinwità tal-operat tal-ICT, jew ta’ eżerċizzji simili.
EULAW Artikolu 11 10

10.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jirrapportaw lill-awtoritajiet kompetenti, fuq talba tagħhom, stima annwali aggregata tal-kostijiet u tat-telf ikkawżati minn inċidenti kbar relatati mal-ICT.
EULAW Artikolu 14 1

1.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandu jkollhom fis-seħħ pjanijiet ta’ komunikazzjoni tal-kriżijiet li jippermettu divulgazzjoni responsabbli ta’ inċidenti jew vulnerabbiltajiet relatati mal-ICT, tal-anqas dawk kbar, mal-klijenti u mal-kontropartijiet, kif ukoll mal-pubbliku, kif xieraq.