+Artikolu 11 2.

Artikolu 11 2.

Il-proċedura ta’ sigurtà tad-data u tas-sistema msemmija fil-paragrafu 1 għandu jkun fiha l-elementi kollha li ġejjin relatati mas-sigurtà tad-data u tas-sistema tal-ICT, f’konformità mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554:

(a) 

ir-restrizzjonijiet fuq l-aċċess imsemmija fl-Artikolu 21 ta’ dan ir-Regolament, li jappoġġaw ir-rekwiżiti ta’ protezzjoni għal kull livell ta’ klassifikazzjoni;

(b) 

l-identifikazzjoni ta’ linja bażi ta’ konfigurazzjoni sigura għall-assi tal-ICT li jimminimizzaw l-esponiment ta’ dawk l-assi tal-ICT għat-theddid ċibernetiku u l-miżuri biex jiġi vverifikat regolarment li dawk il-linji bażi jintużaw b’mod effettiv;

(c) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jiġi installat biss software awtorizzat fis-sistemi tal-ICT u fl-apparati tal-punt tat-tmiem;

(d) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà kontra kodiċijiet malizzjużi;

(e) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jintużaw biss mezzi għall-ħżin tad-data, sistemi u apparati ta’ punt tat-tmiem awtorizzati għat-trasferiment u l-ħżin tad-data tal-entità finanzjarja;

(f) 

ir-rekwiżiti li ġejjin biex jiġi żgurat l-użu ta’ apparati ta’ punt tat-tmiem portabbli u ta’ apparati ta’ punt tat-tmiem privati mhux portabbli:

(i) 

ir-rekwiżit li tintuża soluzzjoni ta’ ġestjoni għall-ġestjoni mill-bogħod tal-apparati tal-punt tat-tmiem u biex id-data tal-entità finanzjarja titħassar mill-bogħod;

(ii) 

ir-rekwiżit li jintużaw mekkaniżmi ta’ sigurtà li ma jistgħux jiġu mmodifikati, jitneħħew jew jiġu evitati mill-membri tal-persunal jew mill-fornituri terzi ta’ servizzi tal-ICT b’mod mhux awtorizzat;

(iii) 

ir-rekwiżit li jintużaw apparati għall-ħżin tad-data li jistgħu jitneħħew biss meta r-riskju residwali tal-ICT jibqa’ fil-livell ta’ tolleranza tar-riskju tal-entità finanzjarja msemmi fl-Artikolu 3, l-ewwel subparagrafu, il-punt (a);

(g) 

il-proċess biex titħassar b’mod sigur id-data, preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament, li l-entità finanzjarja ma għadhiex teħtieġ li tiġbor jew taħżen;

(h) 

il-proċess għar-rimi jew id-dekummissjonar b’mod sigur ta’ apparati għall-ħżin tad-data preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament li jkun fihom informazzjoni kunfidenzjali;

(i) 

l-identifikazzjoni u l-implimentazzjoni ta’ miżuri ta’ sigurtà għall-prevenzjoni tat-telf u l-iżvelar tad-data u għas-sistemi u għall-apparati tal-punt tat-tmiem;

(j) 

l-implimentazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li t-telexogħol u l-użu ta’ apparati ta’ punt tat-tmiem privati ma jkollhomx impatt negattiv fuq is-sigurtà tal-ICT tal-entità finanzjarja;

(k) 

għall-assi jew għas-servizzi tal-ICT operati minn fornitur terz ta’ servizzi tal-ICT, l-identifikazzjoni u l-implimentazzjoni ta’ rekwiżiti biex tinżamm ir-reżiljenza operazzjonali diġitali, f’konformità mar-riżultati tal-klassifikazzjoni tad-data u tal-valutazzjoni tar-riskju tal-ICT.

Għall-finijiet tal-punt (b), il-linja bażi ta’ konfigurazzjoni sigura msemmija f’dak il-punt għandha tqis il-prattiki ewlenin u t-tekniki xierqa stabbiliti fl-istandards iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.

Għall-finijiet tal-punt (k), l-entitajiet finanzjarji għandhom iqisu dan li ġej:

(a) 

l-implimentazzjoni tas-settings rakkomandati mill-bejjiegħ dwar l-elementi operati mill-entità finanzjarja;

(b) 

allokazzjoni ċara tar-rwoli u tar-responsabbiltajiet tas-sigurtà tal-informazzjoni bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT, f’konformità mal-prinċipju tar-responsabbiltà sħiħa tal-entità finanzjarja fuq il-fornitur terz ta’ servizzi tal-ICT tagħha msemmi fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554, u għall-entitajiet finanzjarji msemmija fl-Artikolu 28(2) ta’ dak ir-Regolament, u f’konformità mal-politika tal-entità finanzjarja dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;

(c) 

il-ħtieġa li jiġu żgurati u miżmuma kompetenzi adegwati fl-entità finanzjarja fil-ġestjoni u s-sigurtà tas-servizz użat;

(d) 

miżuri tekniċi u organizzazzjonali biex jimminimizzaw ir-riskji relatati mal-infrastruttura użata mill-fornitur terz ta’ servizzi tal-ICT għas-servizzi tal-ICT tiegħu, filwaqt li jitqiesu l-prattiki ewlenin u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.

1. Ħarsa ġenerali

,

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Standards relatati

Standards