+Cyber Threat Classification Criteria and Information Exchenge

Cyber Threat Classification Criteria and Information Exchenge

Classify significant cyber threats. A threat is considered significant if it has a high probability of materialisation, could meet any of the criteria that classify as a 'major incident' when materialised, and when it could affect or could have affected critical or important functions of the financial entity, or could affect other financial entities, third party providers, clients or financial counterparts.

Cyber threat information and intelligence may be exchanged  with other financial entities, ensuring such sharing enhances digital operational resilience. In this case, ensure that the exchange  includes information such as indicators of compromise, tactics, techniques, procedures, alerts, and configuration tools. The exchange must occur within trusted communities and be governed by information-sharing arrangements that safeguard business confidentiality, personal data , and respect competition law. These arrangements shall clearly define participation conditions, address the potential involvement of public authorities and ICT third-party providers, and specify operational aspects, including the use of secure IT platforms. Notify competent authorities upon joining or leaving such arrangements.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 18 1

1.   L-entitajiet finanzjarji għandhom jikklassifikaw l-inċidenti relatati mal-ICT u għandhom jiddeterminaw l-impatt tagħhom abbażi tal-kriterji li ġejjin:

(a)

l-għadd u/jew ir-rilevanza tal-klijenti jew tal-kontropartijiet finanzjarji u, fejn applikabbli, l-ammont jew l-għadd ta’ tranżazzjonijiet affettwati mill-inċident relatat mal-ICT, u jekk l-inċident relatat mal-ICT ikkawżax impatt fuq ir-reputazzjoni;

(b)

iż-żmien kemm dam l-inċident relatat mal-ICT, inkluż kemm dam maqtugħ is-servizz;

(c)

il-firxa ġeografika fir-rigward taż-żoni affettwati mill-inċident relatat mal-ICT, partikularment jekk taffettwa aktar minn żewġ Stati Membri;

(d)

it-telf tad-data li jġib miegħu l-inċident relatat mal-ICT, fir-rigward tad-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data;

(e)

il-kritikalità tas-servizzi affettwati, inklużi t-tranżazzjonijiet u l-operazzjonijiet tal-entità finanzjarja;

(f)

l-impatt ekonomiku, b’mod partikulari l-kostijiet u t-telf diretti u indiretti, tal-inċident relatat mal-ICT kemm f’termini assoluti kif ukoll relattivi.
EULAW Artikolu 18 2

2.   L-entitajiet finanzjarji għandhom jikklassifikaw it-theddid ċibernetiku bħala sinifikanti abbażi tal-kritikalità tas-servizzi f’riskju, inkluż it-tranżazzjonijiet u l-operazzjonijiet tal-entità finanzjarja, l-għadd u/jew ir-rilevanza tal-klijenti jew tal-kontropartijiet finanzjarji fil-mira u l-firxa ġeografika taż-żoni f’riskju.
EULAW Artikolu 45 1

1.   L-entitajiet finanzjarji jistgħu jiskambjaw bejniethom informazzjoni u intelligence dwar theddid ċibernetiku, inkluż indikaturi ta’ kompromess, tattiċi, tekniki, u proċeduri, allerti dwar is-sigurtà ċibernetika u għodod ta’ konfigurazzjoni, sa fejn tali kondiviżjoni ta’ informazzjoni u intelligence:

(a)

ikollha l-għan li ttejjeb ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji, b’mod partikolari billi żżid is-sensibilizzazzjoni b’rabta mat-theddid ċibernetiku, tillimita jew timpedixxi l-kapaċità tat-theddid ċibernetiku milli jinxtered, u tappoġġja kapaċitajiet ta’ difiża, tekniki ta’ detezzjoni tat-theddid, strateġiji ta’ mitigazzjoni jew stadji ta’ rispons u rkupru;

(b)

isseħħ fi ħdan komunitajiet fdati ta’ entitajiet finanzjarji;

(c)

tkun implimentata permezz ta’ arranġamenti ta’ kondiviżjoni ta’ informazzjoni li jipproteġu n-natura potenzjalment sensittiva tal-informazzjoni kondiviża, u li jkunu rregolati minn regoli ta’ kondotta b’rispett sħiħ tal-kunfidenzjalità tan-negozju, tal-protezzjoni tad-data personali f’konformità mar-Regolament (UE) 2016/679 u tal-linji gwida dwar il-politika tal-kompetizzjoni.
EULAW Artikolu 45 2

2.   Għall-fini tal-paragrafu 1, il-punt (c), l-arranġamenti ta’ kondiviżjoni ta’ informazzjoni għandhom jiddefinixxu l-kondizzjonijiet għall-parteċipazzjoni u, fejn xieraq, għandhom jistabbilixxu d-dettalji dwar l-involviment tal-awtoritajiet pubbliċi u l-kapaċità li fiha dawn jistgħu jkunu assoċjati mal-arranġamenti ta’ kondiviżjoni ta’ informazzjoni, dwar l-involviment ta’ fornituri terzi ta’ servizzi tal-ICT, u dwar l-elementi operazzjonali, inkluż l-użu ta’ pjattaformi tal-IT dedikati.
EULAW Artikolu 45 3

3.   L-entitajiet finanzjarji għandhom jinnotifikaw lill-awtoritajiet kompetenti bil-parteċipazzjoni tagħhom fl-arranġamenti ta’ kondiviżjoni ta’ informazzjoni msemmija fil-paragrafu 1, mal-validazzjoni tas-sħubija tagħhom, jew, kif applikabbli, bil-waqfien tas-sħubija tagħhom, ladarba din issir effettiva.