+Artikolu 27 2.

Artikolu 27 2.

L-entitajiet finanzjarji għandhom jinkludu l-informazzjoni kollha li ġejja fir-rapport imsemmi fil-paragrafu 1:

(a) 

taqsima introduttorja li:

(i) 

tidentifika b’mod ċar l-entità finanzjarja li hija s-suġġett tar-rapport, u tiddeskrivi l-istruttura tal-grupp tagħha, meta rilevanti;

(ii) 

tiddeskrivi l-kuntest tar-rapport f’termini tan-natura, tal-iskala u tal-kumplessità tas-servizzi, tal-attivitajiet u tal-operazzjonijiet tal-entità finanzjarja, l-organizzazzjoni tagħha, il-funzjonijiet kritiċi identifikati, l-istrateġija, il-proġetti jew l-attivitajiet ewlenin li għaddejjin bħalissa, ir-relazzjonijiet u d-dipendenza tagħha fuq servizzi u sistemi tal-ICT interni u kkuntrattati jew l-implikazzjonijiet li telf totali jew degradazzjoni serja ta’ sistemi bħal dawn ikollha f’termini ta’ funzjonijiet kritiċi jew importanti u l-effiċjenza tas-suq;

(iii) 

tiġbor fil-qosor it-tibdiliet ewlenin fil-qafas tal-ġestjoni tar-riskju tal-ICT minn meta ġie ppreżentat ir-rapport preċedenti;

(iv) 

tipprovdi sommarju fil-livell eżekuttiv tal-profil tar-riskju tal-ICT kurrenti u qrib it-terminu, ix-xenarju tat-theddid, l-effettività vvalutata tal-kontrolli tagħha u l-pożizzjoni tas-sigurtà tal-entità finanzjarja;

(b) 

id-data tal-approvazzjoni tar-rapport mill-korp maniġerjali tal-entità finanzjarja;

(c) 

deskrizzjoni tar-raġuni għar-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT f’konformità mal-Artikolu 6(5) tar-Regolament (UE) 2022/2554;

(d) 

id-dati tal-bidu u tat-tmiem tal-perjodu ta’ rieżami;

(e) 

indikazzjoni tal-funzjoni responsabbli għar-rieżami;

(f) 

deskrizzjoni tat-tibdiliet u tat-titjib ewlenin fil-qafas tal-ġestjoni tar-riskju tal-ICT mir-rieżami preċedenti;

(g) 

sommarju tas-sejbiet tar-rieżami u tal-analiżi ddettaljata u valutazzjoni tas-severità tad-dgħufijiet, tan-nuqqasijiet u tal-lakuni fil-qafas tal-ġestjoni tar-riskju tal-ICT matul il-perjodu ta’ rieżami;

(h) 

deskrizzjoni tal-miżuri biex jiġu indirizzati d-dgħufijiet, in-nuqqasijiet u l-lakuni identifikati, inklużi dawn kollha li ġejjin:

(i) 

sommarju tal-miżuri meħuda biex jiġu rrimedjati d-dgħufijiet, in-nuqqasijiet u l-lakuni identifikati;

(ii) 

data mistennija għall-implimentazzjoni tal-miżuri u d-dati relatati mal-kontroll intern tal-implimentazzjoni, inkluża informazzjoni dwar l-istat tal-progress tal-implimentazzjoni ta’ dawk il-miżuri fid-data tal-abbozzar tar-rapport, li tispjega, meta applikabbli, jekk ikun hemm riskju li l-iskadenzi ma jkunux jistgħu jiġu rrispettati;

(iii) 

l-għodod li għandhom jintużaw, u l-identifikazzjoni tal-funzjoni responsabbli għat-twettiq tal-miżuri, bid-dettalji dwar jekk l-għodod u l-funzjonijiet humiex interni jew esterni;

(iv) 

deskrizzjoni tal-impatt tat-tibdiliet previsti fil-miżuri fuq ir-riżorsi baġitarji, umani u materjali tal-entità finanzjarja, inklużi r-riżorsi ddedikati għall-implimentazzjoni ta’ kwalunkwe miżura korrettiva;

(v) 

informazzjoni dwar il-proċess biex l-awtorità kompetenti tiġi infurmata, meta jkun xieraq;

(vi) 

meta d-dgħufijiet, in-nuqqasijiet jew il-lakuni identifikati ma jkunux soġġetti għal miżuri korrettivi, spjegazzjoni ddettaljata tal-kriterji użati għall-analiżi tal-impatt ta’ dawk id-dgħufijiet, in-nuqqasijiet jew il-lakuni, biex jiġi evalwat ir-riskju residwali tal-ICT relatat u tal-kriterji użati biex jiġi aċċettat ir-riskju residwali relatat;

(i) 

informazzjoni dwar żviluppi ulterjuri ppjanati tal-qafas tal-ġestjoni tar-riskju tal-ICT;

(j) 

konklużjonijiet li jirriżultaw mir-rieżami tal-qafas tal-ġestjoni tar-riskju tal-ICT;

(k) 

informazzjoni dwar ir-rieżamijiet tal-passat, inklużi:

(i) 

lista ta’ rieżamijiet tal-passat sal-lum;

(ii) 

meta applikabbli, stat ta’ implimentazzjoni tal-miżuri korrettivi identifikati mill-aħħar rapport;

(iii) 

fejn il-miżuri korrettivi proposti fir-rieżamijiet tal-passat urew li ma kinux effettivi jew ħolqu sfidi mhux mistennija, deskrizzjoni ta’ kif dawk il-miżuri korrettivi jistgħu jittejbu jew ta’ dawk l-isfidi mhux mistennija;

(l) 

sorsi ta’ informazzjoni użati fit-tħejjija tar-rapport, inklużi dawn kollha li ġejjin:

(i) 

għall-entitajiet finanzjarji għajr il-mikrointrapriżi kif imsemmi fl-Artikolu 6(6) tar-Regolament (UE) 2022/2554, ir-riżultati tal-awditi interni;

(ii) 

ir-riżultati tal-valutazzjonijiet tal-konformità;

(iii) 

ir-riżultati tal-ittestjar tar-reżiljenza operazzjonali diġitali, u meta applikabbli r-riżultati tal-ittestjar avvanzat, abbażi tal-ittestjar tal-penetrazzjoni bbażat fuq it-theddid (TLPT), tal-għodod, tas-sistemi u tal-proċessi tal-ICT;

(iv) 

sorsi esterni.

Għall-finijiet tal-punt (c), fejn ir-rieżami jkun inbeda wara struzzjonijiet superviżorji, jew il-konklużjonijiet idderivati mill-ittestjar tar-reżiljenza operazzjonali diġitali jew mill-proċessi tal-awditjar rilevanti, ir-rapport għandu jkun fih referenzi espliċiti għal dawn l-istruzzjonijiet jew konklużjonijiet, li jippermettu l-identifikazzjoni tar-raġuni għall-bidu tar-rieżami. Meta r-rieżami jkun ingħata bidu wara inċidenti relatati mal-ICT, ir-rapport għandu jkun fih il-lista tal-inċidenti kollha relatati mal-ICT b’analiżi tal-kawżi ewlenin tal-inċidenti.

Għall-finijiet tal-punt (f), id-deskrizzjoni għandu jkun fiha analiżi tal-impatt tat-tibdiliet fuq l-istrateġija tar-reżiljenza operazzjonali diġitali tal-entità finanzjarja, fuq il-qafas ta’ kontroll intern tal-ICT tal-entità finanzjarja u fuq il-governanza tal-ġestjoni tar-riskju tal-ICT tal-entità finanzjarja.

1. Ħarsa ġenerali

,

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Standards relatati

Standards