+Digital Operational Resilience Strategy

Digital Operational Resilience Strategy

The Management body shall set and approve the digital operational resilience strategy and periodically update when needed.

The digital operational resilience strategy  must:

  • Set out how the risk management framework will be implemented.
  • Elaborate on the alignment between the risk management framework and the business strategy and objectives.
  • Establish the ICT risk tolerance level (based on risk appetite) and the impact tolerance level for ICT disruptions.
  • Include clear security objectives, including Key Performance Indicators (KPIs) and risk metrics.
  • Elaborate on the ICT reference architecture and any changes needed to reach specific business objectives.
  • Outline the mechanisms in place to detect ICT-related incidents
  • Contain evidence to prove the current digital operational resilience situation (e.g. based on the number of major ICT-related incidents and the effectiveness of preventive measures.
  • Contain how the digital operational resilience testing is implemented (see controls under 19 and 20).
  • Outline the communication strategy in case of incidents (see 11.3)

The Management body shall allocate and review the budget required for resources to fulfill the digital operational resilience needs of the entity.

Ensure monitoring is arranged on the the effectiveness of the implementation of the digital operational resilience.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 5 1

1.   L-entitajiet finanzjarji għandu jkollhom fis-seħħ qafas intern ta’ governanza u kontroll li jiżgura l-ġestjoni effettiva u prudenti tar-riskju tal-ICT, f’konformità mal-Artikolu 6(4), sabiex jinkiseb livell għoli ta’ reżiljenza operazzjonali diġitali.
EULAW Artikolu 5 2

2.   Il-korp maniġerjali tal-entità finanzjarja għandu jiddefinixxi, japprova, jissorvelja u jkun responsabbli għall-implimentazzjoni tal-arranġamenti kollha relatati mal-qafas ta’ ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6(1).

Għall-finijiet tal-ewwel subparagrafu, il-korp maniġerjali għandu:

(a)

jerfa’ r-responsabbiltà aħħarija għall-ġestjoni tar-riskji tal-ICT tal-entità finanzjarja;

(b)

jistabbilixxi politiki li għandhom l-għan li jiżguraw iż-żamma ta’ standards għolja ta’ disponibbiltà, awtentiċità, integrità u kunfidenzjalità tad-data;

(c)

jistabbilixxi rwoli u responsabbiltajiet ċari għall-funzjonijiet kollha marbuta mal-ICT u jistabbilixxi arranġamenti xierqa ta’ governanza sabiex jiżgura l-komunikazzjoni, il-kooperazzjoni u l-koordinazzjoni effettivi u f’waqthom fost dawk il-funzjonijiet;

(d)

jerfa’ r-responsabbiltà globali għall-istabbiliment u l-approvazzjoni tal-istrateġija ta’ reżiljenza operazzjonali diġitali kif imsemmija fl-Artikolu 6(8), inkluż id-determinazzjoni tal-livell xieraq ta’ tolleranza għar-riskju tal-ICT tal-entità finanzjarja, kif imsemmi fl-Artikolu 6(8), il-punt (b);

(e)

japprova, jissorvelja u jirrieżamina perjodikament l-implimentazzjoni tal-politika ta’ kontinwità ta’ negozju tal-ICT tal-entità finanzjarja u tal-pjanijiet ta’ rispons u ta’ rkupru għall-ICT, imsemmija, rispettivament, fl-Artikolu 11(1) u (3), li jistgħu jiġu adottati bħala politika speċifika ddedikata li tifforma parti integrali mill-politika globali ta’ kontinwità ta’ negozju tal-entità finanzjarja u mill-pjan ta’ rispons u ta’ rkupru;

(f)

japprova u jirrieżamina perjodikament il-pjanijiet tal-entità finanzjarja tal-awditu intern tal-ICT, l-awditi tal-ICT u l-modifiki materjali għalihom;

(g)

jalloka u jirrevedi perjodikament il-baġit xieraq biex jissodisfa l-ħtiġijiet ta’ reżiljenza operazzjonali diġitali tal-entità finanzjarja fir-rigward tat-tipi kollha ta’ riżorsi, inkluż programmi rilevanti ta’ sensibilizzazzjoni dwar is-sigurtà tal-ICT u taħriġ fir-reżiljenza operazzjonali diġitali kif imsemmi fl-Artikolu 13(6), u ħiliet fl-ICT għall-persunal kollu;

(h)

japprova u jirrieżamina perjodikament il-politika tal-entità finanzjarja dwar l-arranġamenti rigward l-użu tas-servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT;

(i)

jistabbilixxi, fil-livell korporattiv, kanali ta’ rapportar li permezz tagħhom jiġi infurmat kif xieraq dwar dan li ġej:

(i)

l-arranġamenti konklużi ma’ fornituri terzi ta’ servizzi tal-ICT dwar l-użu ta’ servizzi tal-ICT,

(ii)

kwalunkwe bidla materjali rilevanti ppjanata fir-rigward tal-fornituri terzi ta’ servizzi tal-ICT,

(iii)

l-impatt potenzjali ta’ tali bidliet fuq il-funzjonijiet kritiċi jew importanti soġġetti għal dawk l-arranġamenti, inkluż sommarju tal-analiżi tar-riskju li tivvaluta l-impatt ta’ dawk il-bidliet, u l-inċidenti marbuta mal-ICT, tal-anqas dawk kbar, u l-impatt tagħhom, kif ukoll il-miżuri ta’ rispons, irkupru u rimedju.
EULAW Artikolu 5 3

3.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jistabbilixxu rwol sabiex jimmonitorjaw l-arranġamenti konklużi mal-fornituri terzi ta’ servizzi tal-ICT dwar l-użu tas-servizzi tal-ICT, jew għandhom jaħtru membru tal-maniġment superjuri bħala responsabbli għas-sorveljanza tal-esponiment għar-riskju u d-dokumentazzjoni rilevanti marbuta miegħu.
EULAW Artikolu 5 4

4.   Il-membri tal-korp maniġerjali tal-entità finanzjarja għandhom b’mod attiv ikunu aġġornati b’għarfien u b’ħiliet biżżejjed biex jifhmu u jivvalutaw ir-riskji tal-ICT u l-impatt tiegħu fuq l-operazzjonijiet tal-entità finanzjarja, inkluż billi jsegwu taħriġ speċifiku fuq bażi regolari, proporzjonat għar-riskji tal-ICT li jkunu qed jiġu ġestiti.
EULAW Artikolu 6 8

8.   Il-qafas tal-ġestjoni tar-riskju tal-ICT għandu jinkludi strateġija ta’ reżiljenza operazzjonali diġitali li turi kif għandu jiġi implimentat il-qafas. Għal dak l-għan, l-istrateġija ta’ reżiljenza operazzjonali diġitali għandha tinkludi l-metodi biex jiġi indirizzat ir-riskju tal-ICT u biex jintlaħqu l-objettivi speċifiċi tal-ICT, billi:

(a)

tispjega kif il-qafas tal-ġestjoni tar-riskju tal-ICT jappoġġja l-istrateġija u l-objettivi tan-negozju tal-entità finanzjarja;

(b)

tistabbilixxi l-livell ta’ tolleranza tar-riskju għar-riskju tal-ICT, f’konformità mal-predispożizzjoni għar-riskju tal-entità finanzjarja, u tiġi analizzata t-tolleranza tal-impatt għal tfixkil fl-ICT;

(c)

tistabbilixxi l-objettivi ċari għas-sigurtà tal-informazzjoni, inkluż indikaturi ewlenin tal-prestazzjoni u metriċi tar-riskju ewlenin;

(d)

tispjega l-arkitettura ta’ referenza tal-ICT u kwalunkwe bidla meħtieġa biex jintlaħqu objettivi speċifiċi tan-negozju;

(e)

tiddeskrivi l-mekkaniżmi differenti implimentati biex jindividwaw inċidenti relatati mal-ICT, jipprevjenu l-impatt tagħhom u jipprovdu protezzjoni minnu;

(f)

turi l-evidenza għas-sitwazzjoni attwali tar-reżiljenza operazzjonali diġitali abbażi tal-għadd ta’ inċidenti kbar marbuta mal-ICT irrappurtati u l-effikaċja tal-miżuri preventivi;

(g)

timplimenta l-ittestjar tar-reżiljenza operazzjonali diġitali, f’konformità mal-Kapitolu IV ta’ dan ir-Regolament;

(h)

tiddeskrivi strateġija ta’ komunikazzjoni f’każ ta’ inċidenti marbuta mal-ICT li d-divulgazzjoni tagħhom hija meħtieġa f’konformità mal-Artikolu 14.
EULAW Artikolu 13 4

4.   L-entitajiet finanzjarji għandhom jimmonitorjaw l-effettività tal-implimentazzjoni tal-istrateġija ta’ reżiljenza operazzjonali diġitali tagħhom li tinsab fl-Artikolu 6(8). Huma għandhom jidentifikaw l-evoluzzjoni tar-riskju tal-ICT matul iż-żmien, janalizzaw il-frekwenza, it-tipi, id-daqs u l-evoluzzjoni tal-inċidenti relatati mal-ICT, b’mod partikolari ċ-ċiberattakki u x-xejriet tagħhom, bil-ħsieb li jifhmu l-livell ta’ esponiment għar-riskju tal-ICT, b’mod partikolari fir-rigward ta’ funzjonijiet kritiċi jew importanti, u jtejbu l-maturità ċibernetika u l-istat ta’ tħejjija tal-entità finanzjarja.