54. Hiertoe houden zij met name rekening met de vraag of het kader: a. de kritieke ICT-processen en …

Hiertoe houden zij met name rekening met de vraag of het kader:

• a. de kritieke ICT-processen en de relevante ondersteunende ICT-systemen identificeert die deel dienen uit te maken van de plannen voor de veerkracht en continuïteit van het bedrijf, met:
• i. een alomvattende analyse van de afhankelijkheden tussen de kritieke bedrijfsprocessen en ondersteunende systemen;
• ii. vaststelling van de doelen voor het herstel van de ondersteunende ICT-systemen (die bijv. gewoonlijk door het bedrijf en/of de regelgeving worden vastgesteld in termen van RTO en RPO);
• iii. passende noodplannen om beschikbaarheid, continuïteit en herstel van kritieke ICT-systemen en -diensten mogelijk te maken om een verstoring van de activiteiten van de instelling zo veel mogelijk en binnen aanvaardbare grenzen te beperken.
• b. beleid en normen inzake de controleomgeving voor de veerkracht en continuïteit van het bedrijf en operationele controles behelst die het volgende omvatten:
• i. maatregelen om te voorkomen dat één scenario, incident of ramp zowel de ICT- productie- als - herstelsystemen kan beïnvloeden;
• ii. procedures voor ICT-systeembackups en -herstel voor kritieke software en gegevens, die ervoor zorgen dat deze backups op een veilige en op voldoende afstand gelegen locatie worden opgeslagen, zodat deze kritieke gegevens niet door een incident of ramp kunnen worden vernietigd of corrupt raken;
• iii. toezichtoplossingen voor de tijdige opsporing van incidenten in verband met de beschikbaarheid of continuïteit van ICT;
• iv. een gedocumenteerd incidentenbeheer- en escalatieproces dat tevens richtlijnen verschaft voor de verschillende taken en verantwoordelijkheden op het gebied van incidentenbeheer en escalatie, de leden van de crisiscommissie(s) en de hiërarchische structuur in noodgevallen;
• v. fysieke maatregelen om de kritieke ICT-infrastructuur van de instelling (bijv. datacentra) tegen milieurisico's (bijv. overstromingen en andere natuurrampen) te beschermen en te zorgen voor een passende operationele omgeving voor ICT-systemen (bijv. airconditioning);
• vi. processen, taken en verantwoordelijkheden om ervoor te zorgen dat er ook voor uitbestede ICT-systemen en -diensten adequate oplossingen en plannen zijn met het oog op de veerkracht en continuïteit van het bedrijf;
• vii. oplossingen voor ICT-prestatie- en capaciteitsplanning en -monitoring voor kritieke ICT-systemen en -diensten met welbepaalde beschikbaarheidseisen, om belangrijke beperkingen qua prestaties en capaciteit tijdig op te sporen;
• viii. oplossingen om kritieke internetactiviteiten of -diensten (bijv. elektronisch bankieren) waar nodig en passend te beschermen tegen Denial-of-Service- en andere cyberaanvallen op internet, bedoeld om de toegang tot deze activiteiten en diensten onmogelijk te maken of te verstoren.
• c. oplossingen voor de beschikbaarheid en continuïteit van ICT test, afgezet tegen een reeks realistische scenario's waaronder cyberaanvallen, en failovertests en tests van backups voor kritieke software en gegevens:
• i. die gepland, geformaliseerd en gedocumenteerd zijn, en de testresultaten die gebruikt worden om de oplossingen voor de beschikbaarheid en continuïteit van ICT doeltreffender te maken;
• ii. die betrekking hebben op de belanghebbenden en functies binnen de organisatie, zoals de leiding van de bedrijfsonderdelen, waaronder bedrijfscontinuïteit en incident- en crisisresponsteams, evenals relevante externe belanghebbenden in het ecosysteem;
• iii. waarbij het leidinggevend orgaan en de directie op passende wijze zijn betrokken (bijv. als onderdeel van crisismanagementteams) en zij van de testresultaten op de hoogte worden gebracht.
• (b) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-beveiligingsrisico's

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/