+Testing and Assessment

Testing and Assessment

Regularly test ICT business continuity, response, and recovery plans, particularly in collaboration with third-party service providers supporting critical or important functions. Testing should  take into account the financial entity’s BIA and the ICT risk assessment and occur on a yearly basis and whenever there are significant changes to systems supporting critical or important functions. 
Tests must be based on realistic scenarios and encompass scenarios like cyber attacks, insolvency or failure of the third-party, backup restores, and switchover between primary and redundant processing sites. 
The testing shall verify whether at least critical or important functions can be operated appropriately, for a sufficient period of time and whether the normal functioning (of the business process) may be restored. Conduct testing of crisis communication plans to ensure effective communication strategies during a crisis or major disruption. Document test results and report any identified deficiencies resulting from the tests to the management body.

Refer to Articles 24.2-3 of the RTS RM for the specific requirements for Central counterparties and Central security depositories.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 11 1

1.   Bħala parti mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1) u abbażi tar-rekwiżiti ta’ identifikazzjoni li jinsabu fl-Artikolu 8, l-entitajiet finanzjarji għandhom jistabbilixxu politika komprensiva tal-kontinwità tal-operat tal-ICT, li tista’ tiġi adottata bħala politika speċifika dedikata, li tifforma parti integrali mill-politika globali tal-kontinwità tal-operat tal-entità finanzjarja.
EULAW Artikolu 11 6

6.   Bħala parti mill-ġestjoni komprensiva tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom:

(a)

jittestjaw il-pjanijiet ta’ kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rispons u rkupru għall-ICT fir-rigward tas-sistemi tal-ICT li jappoġġjaw il-funzjonijiet kollha mill-anqas darba f’sena, kif ukoll fil-każ ta’ kwalunkwe bidla sostantiva fis-sistemi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti;

(b)

jittestjaw il-pjanijiet ta’ komunikazzjoni tal-kriżijiet stabbiliti f’konformità mal-Artikolu 14.

Għall-finijiet tal-ewwel subparagrafu, il-punt (a), l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jinkludu fil-pjanijiet tal-ittestjar xenarji ta’ ċiberattakki u l-qlib minn infrastruttura primarja tal-ICT għall-oħra u l-kapaċità żejda, il-backups u l-faċilitajiet żejda meħtieġa biex jiġu ssodisfati l-obbligi stabbiliti fl-Artikolu 12.

L-entitajiet finanzjarji għandhom jirrevedu regolarment il-politika tagħhom tal-kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, filwaqt li jqisu r-riżultati tat-testijiet imwettqa f’konformità mal-ewwel subparagrafu u mar-rakkomandazzjonijiet li jirriżultaw minn kontrolli tal-awditjar jew rieżamijiet superviżorji.
EULAW Artikolu 11 2

2.   L-entitajiet finanzjarji għandhom jimplimentaw il-politika tal-kontinwità tal-operat tal-ICT permezz ta’ arranġamenti, pjanijiet, proċeduri u mekkaniżmi ddedikati, xierqa u ddokumentati bil-għan li:

(a)

jiżguraw il-kontinwità tal-funzjonijiet kritiċi jew importanti tal-entità finanzjarja;

(b)

jirrispondu malajr, b’mod xieraq u effettiv għall-inċidenti kollha relatati mal-ICT, u jirriżolvuhom, b’mod li jillimita l-ħsara u jagħti prijorità lit-tkomplija tal-attivitajiet u tal-azzjonijiet ta’ rkupru;

(c)

jattivaw, mingħajr dewmien, pjanijiet iddedikati li jippermettu miżuri ta’ trażżin, proċessi u teknoloġiji adatti għal kull tip ta’ inċident relatat mal-ICT u jipprevjenu aktar ħsara, kif ukoll proċeduri ta’ rispons u rkupru mfassla apposta stabbiliti f’konformità mal-Artikolu 12;

(d)

jagħtu stima preliminari tal-impatti, il-ħsarat u t-telf;

(e)

jistipulaw azzjonijiet ta’ komunikazzjoni u ta’ ġestjoni ta’ kriżijiet li jiżguraw li l-informazzjoni aġġornata tintbagħat lill-persunal intern u lill-partijiet ikkonċernati esterni rilevanti kollha f’konformità mal-Artikolu 14, u jirrapportaw lill-awtoritajiet kompetenti f’konformità mal-Artikolu 19.
EULAW Artikolu 11 4

4.   L-entitajiet finanzjarji għandhom jistabbilixxu, iżommu u jittestjaw perjodikament il-pjanijiet xierqa tal-kontinwità tal-operat tal-ICT, b’mod partikolari fir-rigward ta’ funzjonijiet kritiċi jew importanti esternalizzati jew ikkuntrattati permezz ta’ arranġamenti ma’ fornituri terzi ta’ servizzi tal-ICT.
EULAW Artikolu 11 5

5.   Bħala parti mill-politika ġenerali tal-kontinwità tal-operat, l-entitajiet finanzjarji għandhom iwettqu valutazzjoni tal-impatt fuq in-negozju (BIA) tal-esponiment tagħhom għal tqallib serju fl-operat. Skont il-BIA, l-entitajiet finanzjarji għandhom jivvalutaw l-impatt potenzjali ta’ tqallib serju fl-operat permezz ta’ kriterji kwantitattivi u kwalitattivi, bl-użu ta’ data interna u esterna u analiżi tax-xenarji, kif xieraq. Il-BIA għandha tikkunsidra l-kritikalità tal-funzjonijiet tan-negozju identifikati u mmappjati, il-proċessi ta’ appoġġ, id-dipendenzi ta’ partijiet terzi u l-assi tal-informazzjoni, u l-interdipendenzi tagħhom. L-entitajiet finanzjarji għandhom jiżguraw li l-assi tal-ICT u s-servizzi tal-ICT jitfasslu u jintużaw f’allinjament sħiħ mal-BIA, b’mod partikolari sabiex jiżguraw kif xieraq ir-ridondanza tal-komponenti kritiċi kollha.
EULAW Artikolu 11 7

7.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandu jkollhom funzjoni ta’ ġestjoni tal-kriżijiet, li, f’każ ta’ attivazzjoni tal-pjanijiet tagħhom ta’ kontinwità tal-operat tal-ICT jew tal-pjanijiet tagħhom ta’ rispons u rkupru għall-ICT, għandha, fost oħrajn, tistabbilixxi proċeduri ċari għall-ġestjoni tal-komunikazzjonijiet interni u esterni għall-kriżijiet f’konformità mal-Artikolu 14.
EULAW Artikolu 11 8

8.   L-entitajiet finanzjarji għandhom iżommu rekords aċċessibbli fil-pront tal-attivitajiet qabel u waqt każijiet ta’ tfixkil meta jiġu attivati l-pjanijiet tagħhom ta’ kontinwità tal-operat tal-ICT u l-pjanijiet tagħhom ta’ rispons u ta’ rkupru għall-ICT.
EULAW Artikolu 11 9

9.   Id-depożitorji ċentrali tat-titoli għandhom jipprovdu lill-awtoritajiet kompetenti bil-kopji tar-riżultati tat-testijiet tal-kontinwità tal-operat tal-ICT, jew ta’ eżerċizzji simili.
EULAW Artikolu 11 10

10.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jirrapportaw lill-awtoritajiet kompetenti, fuq talba tagħhom, stima annwali aggregata tal-kostijiet u tat-telf ikkawżati minn inċidenti kbar relatati mal-ICT.
EULAW Artikolu 14 1

1.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1), l-entitajiet finanzjarji għandu jkollhom fis-seħħ pjanijiet ta’ komunikazzjoni tal-kriżijiet li jippermettu divulgazzjoni responsabbli ta’ inċidenti jew vulnerabbiltajiet relatati mal-ICT, tal-anqas dawk kbar, mal-klijenti u mal-kontropartijiet, kif ukoll mal-pubbliku, kif xieraq.