+Incident Classification Criteria

Incident Classification Criteria

Classify ICT-related incidents based on their impact using the following criteria: number of clients/customers or financial counterparts affected, number of transactions affected, reputational damage, duration of the incident and downtime of services, geographical spread of the incident, data loss in relation to the CIA-triad, criticality of the services affected, and the overall economic impact of the incident.

An incident is considered major if (1) any malicious unauthorised access to network and information systems is identified, which may result to data losses or (2) the thresholds of two additional criteria are met (refer to the DORA RTS IM (Major Incidents) sheet for the thresholds). Also, take into account recurring incidents, where recurring incidents are considered major when (1) the incidents have occurred at least twice within 6 months, (2) the incidents have the same apparent root cause, (3) the incidents collectively categorise as a major incident.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 18 1

1.   L-entitajiet finanzjarji għandhom jikklassifikaw l-inċidenti relatati mal-ICT u għandhom jiddeterminaw l-impatt tagħhom abbażi tal-kriterji li ġejjin:

(a)

l-għadd u/jew ir-rilevanza tal-klijenti jew tal-kontropartijiet finanzjarji u, fejn applikabbli, l-ammont jew l-għadd ta’ tranżazzjonijiet affettwati mill-inċident relatat mal-ICT, u jekk l-inċident relatat mal-ICT ikkawżax impatt fuq ir-reputazzjoni;

(b)

iż-żmien kemm dam l-inċident relatat mal-ICT, inkluż kemm dam maqtugħ is-servizz;

(c)

il-firxa ġeografika fir-rigward taż-żoni affettwati mill-inċident relatat mal-ICT, partikularment jekk taffettwa aktar minn żewġ Stati Membri;

(d)

it-telf tad-data li jġib miegħu l-inċident relatat mal-ICT, fir-rigward tad-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data;

(e)

il-kritikalità tas-servizzi affettwati, inklużi t-tranżazzjonijiet u l-operazzjonijiet tal-entità finanzjarja;

(f)

l-impatt ekonomiku, b’mod partikulari l-kostijiet u t-telf diretti u indiretti, tal-inċident relatat mal-ICT kemm f’termini assoluti kif ukoll relattivi.
EULAW Artikolu 18 2

2.   L-entitajiet finanzjarji għandhom jikklassifikaw it-theddid ċibernetiku bħala sinifikanti abbażi tal-kritikalità tas-servizzi f’riskju, inkluż it-tranżazzjonijiet u l-operazzjonijiet tal-entità finanzjarja, l-għadd u/jew ir-rilevanza tal-klijenti jew tal-kontropartijiet finanzjarji fil-mira u l-firxa ġeografika taż-żoni f’riskju.
EULAW Artikolu 45 1

1.   L-entitajiet finanzjarji jistgħu jiskambjaw bejniethom informazzjoni u intelligence dwar theddid ċibernetiku, inkluż indikaturi ta’ kompromess, tattiċi, tekniki, u proċeduri, allerti dwar is-sigurtà ċibernetika u għodod ta’ konfigurazzjoni, sa fejn tali kondiviżjoni ta’ informazzjoni u intelligence:

(a)

ikollha l-għan li ttejjeb ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji, b’mod partikolari billi żżid is-sensibilizzazzjoni b’rabta mat-theddid ċibernetiku, tillimita jew timpedixxi l-kapaċità tat-theddid ċibernetiku milli jinxtered, u tappoġġja kapaċitajiet ta’ difiża, tekniki ta’ detezzjoni tat-theddid, strateġiji ta’ mitigazzjoni jew stadji ta’ rispons u rkupru;

(b)

isseħħ fi ħdan komunitajiet fdati ta’ entitajiet finanzjarji;

(c)

tkun implimentata permezz ta’ arranġamenti ta’ kondiviżjoni ta’ informazzjoni li jipproteġu n-natura potenzjalment sensittiva tal-informazzjoni kondiviża, u li jkunu rregolati minn regoli ta’ kondotta b’rispett sħiħ tal-kunfidenzjalità tan-negozju, tal-protezzjoni tad-data personali f’konformità mar-Regolament (UE) 2016/679 u tal-linji gwida dwar il-politika tal-kompetizzjoni.
EULAW Artikolu 45 2

2.   Għall-fini tal-paragrafu 1, il-punt (c), l-arranġamenti ta’ kondiviżjoni ta’ informazzjoni għandhom jiddefinixxu l-kondizzjonijiet għall-parteċipazzjoni u, fejn xieraq, għandhom jistabbilixxu d-dettalji dwar l-involviment tal-awtoritajiet pubbliċi u l-kapaċità li fiha dawn jistgħu jkunu assoċjati mal-arranġamenti ta’ kondiviżjoni ta’ informazzjoni, dwar l-involviment ta’ fornituri terzi ta’ servizzi tal-ICT, u dwar l-elementi operazzjonali, inkluż l-użu ta’ pjattaformi tal-IT dedikati.
EULAW Artikolu 45 3

3.   L-entitajiet finanzjarji għandhom jinnotifikaw lill-awtoritajiet kompetenti bil-parteċipazzjoni tagħhom fl-arranġamenti ta’ kondiviżjoni ta’ informazzjoni msemmija fil-paragrafu 1, mal-validazzjoni tas-sħubija tagħhom, jew, kif applikabbli, bil-waqfien tas-sħubija tagħhom, ladarba din issir effettiva.