+Error Handling and Recovery

Error Handling and Recovery

Establish guidelines for handling errors, including support and escalation contacts, as well as external support contacts in case of unexpected operational or technical issues. Define the procedures for ICT system restart, rollback, and recovery to be used in the event of an ICT system disruption. Ensure the contact details are available in case systems are unavailable as well.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 8 1.
Als onderdeel van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen en procedures voor het beheer van de ICT-operaties. Die beleidslijnen en procedures specificeren hoe financiële entiteiten hun ICT-assets opereren, monitoren, controleren en herstellen, met inbegrip van de documentatie van ICT-operaties.
EULAW Artikel 8 2.

De in lid 1 bedoelde beleidslijnen en procedures voor ICT-operaties bevatten alle volgende elementen:

a) 

een beschrijving van ICT-assets, die alle volgende elementen bevat:

i) 

vereisten ten aanzien van veilige installatie, onderhoud, configuratie en verwijdering van een ICT-systeem;

ii) 

vereisten ten aanzien van het beheer van informatieassets die door ICT-assets worden gebruikt, met inbegrip van de verwerking en handling daarvan, zowel geautomatiseerd als handmatig;

iii) 

vereisten ten aanzien van de identificatie en controle van legacy ICT-systemen;

b) 

beheersmaatregelen en monitoring van ICT-systemen, met inbegrip van alle volgende elementen:

i) 

vereisten inzake back-up en herstel van ICT-systemen;

ii) 

vereisten inzake planning, rekening houdende met onderlinge afhankelijkheden van de ICT-systemen;

iii) 

protocollen voor audit-trail- en systeemlog-informatie;

iv) 

vereisten die borgen dat de uitvoering van interne audits en andere tests storingen van bedrijfsoperaties tot een minimum beperkt;

v) 

vereisten ten aanzien van de scheiding tussen de ICT-productieomgevingen en ontwikkelings-, test- en andere niet-productieomgevingen;

vi) 

vereisten om ontwikkeling en testen uit te voeren in omgevingen die gescheiden zijn van de productieomgeving;

vii) 

vereisten om ontwikkeling en testen uit te voeren in productieomgevingen;

c) 

foutafhandeling voor ICT-systemen, met inbegrip van alle volgende elementen:

i) 

procedures en protocollen voor foutafhandeling;

ii) 

ondersteunings- en escalatiecontacten, met inbegrip van contacten bij externe ondersteuning in het geval van onverwachte operationele of technische problemen;

iii) 

herstart-, rollback- en herstelprocedures van ICT-systemen voor toepassing bij een storing in het ICT-systeem.

Voor de toepassing van punt b), v), wordt bij de scheiding rekening gehouden met alle componenten van de omgeving, met inbegrip van accounts, gegevens en verbindingen, zoals voorgeschreven door artikel 13, eerste alinea, punt a).

Voor de toepassing van punt b), vii), wordt in de in lid 1 bedoelde beleidslijnen en procedures bepaald dat de gevallen waarin testen in een productieomgeving plaatsvindt, duidelijk geïdentificeerd worden, beargumenteerd worden, voor een beperkte tijd zijn en door de betrokken functie zijn goedgekeurd overeenkomstig artikel 16, lid 6. Financiële entiteiten borgen de beschikbaarheid, vertrouwelijkheid, integriteit en authenticiteit van ICT-systemen en productiegegevens tijdens de ontwikkelings- en testactiviteiten in de productieomgeving.
EULAW Artikel 9 1.

Als onderdeel van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten procedures inzake capaciteit- en performancemanagement voor de volgende elementen:

a) 

het in kaart brengen van capaciteitsvereisten van hun ICT-systemen;

b) 

de toepassing van resource-optimalisatie;

c) 

de monitoringprocedures voor het in stand houden en verbeteren van:

i) 

de beschikbaarheid van gegevens en ICT-systemen;

ii) 

de efficiëntie van ICT-systemen;

iii) 

het voorkomen van ICT-capaciteitstekorten.
EULAW Artikel 9 2.
De in lid 1 bedoelde procedures voor capaciteits- en performancemanagement borgen dat financiële entiteiten maatregelen nemen die passend zijn voor de specifieke kenmerken van ICT-systemen met lange of complexe aankoop- of goedkeuringsprocessen of ICT-systemen die hulpbronnenintensief zijn.
EULAW Artikel 12 2.

De in lid 1 bedoelde loggingprocedures, -protocollen en -tools bevatten alle volgende elementen:

a) 

de identificatie van de in logs bij te houden events, de retentieperiode van logbestanden en de maatregelen om de loggegevens te beveiligen en daarmee om te gaan, rekening houdende met het doel waarvoor de logbestanden zijn gecreëerd;

b) 

de afstemming van de mate van gedetailleerdheid van de logs op het doel en gebruik ervan, zodat afwijkende activiteiten als bedoeld in artikel 24 kunnen worden gedetecteerd;

c) 

de verplichting om log events bij te houden voor elk van de volgende elementen:

i) 

logische en fysieke toegangscontrole, als bedoeld in artikel 21, en identiteitsbeheer;

ii) 

capaciteitsbeheer;

iii) 

wijzigingsbeheer;

iv) 

ICT-operaties, met inbegrip van ICT-systeemactiviteiten;

v) 

netwerkverkeer, met inbegrip van ICT-netwerkperformance;

d) 

maatregelen om loggingsystemen en loginformatie te beschermen tegen manipulatie, wissen en ongeautoriseerde toegang in rust, in transit en, in voorkomend geval, in gebruik;

e) 

maatregelen om falen van loggingsystemen te detecteren;

f) 

onverminderd toepasselijke wettelijke verplichtingen uit hoofde van Unierecht of nationaal recht, het synchroniseren van de klokken van elk van de ICT-systemen van de financiële entiteit met één gedocumenteerde betrouwbare reference time source.

Voor de toepassing van punt a) stellen financiële entiteiten de retentieperiode vast, rekening houdende met de doelstellingen inzake bedrijfs- en informatiebeveiliging, de reden voor het vastleggen van het event in de logs, en de uitkomsten van de ICT-risicobeoordeling.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.