|
+Artikel 10 2. |
Artikel 10 2.De in lid 1 bedoelde procedures voor de beheersing van kwetsbaarheden:
a)
brengen relevante en betrouwbare informatiemiddelen in kaart en actualiseren die om bewustzijn van kwetsbaarheden op te bouwen en in stand te houden;
b)
zorgen voor de uitvoering van geautomatiseerde kwetsbaarheidsscans en -beoordelingen van ICT-assets, waarbij de frequentie en scope van die activiteiten in verhouding staat tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van het ICT-asset;
c)
gaan na of:
i)
de derde aanbieders van ICT-diensten kwetsbaarheden behandelen wat betreft aan de financiële entiteit geleverde ICT-diensten;
ii)
die dienstverleners aan de financiële entiteit tijdig ten minste de kritieke kwetsbaarheden, statistische gegevens en trends rapporteren;
d)
houden het gebruik bij van:
i)
third-party libraries, met inbegrip van open-source libraries, die worden gebruikt door ICT-diensten die kritieke of belangrijke functies;
ii)
ICT-diensten ontwikkeld door de financiële entiteit zelf of die door een derde aanbieder van ICT-diensten specifiek op maat zijn gemaakt of ontwikkeld voor de financiële entiteit;
e)
richten procedures in voor de responsible disclosure van kwetsbaarheden aan cliënten, tegenpartijen en aan het publiek;
f)
prioriteren de uitrol van patches en andere mitigerende maatregelen om de geconstateerde kwetsbaarheden aan te pakken;
g)
monitoren en controleren het verhelpen van kwetsbaarheden;
h)
eisen dat van gedetecteerde kwetsbaarheden die van invloed zijn op ICT-systemen, vastleggingen worden gemaakt en dat de oplossing daarvan wordt gemonitord. Voor de toepassing van punt b) voeren financiële entiteiten ten minste wekelijks de geautomatiseerde kwetsbaarheidsscans en -beoordelingen voor ICT-assets uit ten aanzien van de ICT-assets die kritieke of belangrijke functies ondersteunen. Voor de toepassing van punt c) eisen financiële entiteiten dat derde aanbieders van ICT-diensten de betrokken kwetsbaarheden onderzoeken, de grondoorzaken ervan bepalen en adequate mitigerende acties implementeren Voor de toepassing van punt d) monitoren financiële entiteiten, in voorkomend geval in samenwerking met de derde aanbieder van ICT-diensten, de versie en mogelijke updates van de third-party libraries. In het geval van gebruiksklare (off-the-shelf) ICT-assets of componenten van ICT-assets aangeschaft en gebruikt bij het opereren van ICT-diensten die geen kritieke of belangrijke functies ondersteunen, houden financiële entiteiten voor zover mogelijk het gebruik van third-party libraries, met inbegrip van open-source libraries, bij. Voor de toepassing van punt f) houden financiële entiteiten rekening met het kritieke karakter van de kwetsbaarheid, de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het risicoprofiel van de ICT-assets die door de geconstateerde kwetsbaarheden worden geraakt. 1. Overzicht
1.1 Referenties1.2 Geïdentificeerde eisen1.3 Gerelateerde standaarden2. Geïdentificeerde eisen
3. Gerelateerde standaarden
|