Titel VI – Beheer van de bedrijfscontinuïteit

Onverminderd de toepasselijke eisen in het kader van Verordening (EU) 2022/2554, dienen uitgevers van ART’s, als onderdeel van de uitvoering van hun bedrijfscontinuïteitsbeleid en - plannen die zijn opgesteld in overeenstemming met artikel 34, lid 9, van Verordening (EU) 2023/1114 , degelijke bedrijfscontinuïteitsbeheer- en respons- en herstelplannen op te stellen om ervoor te zorgen dat ze in staat zijn om voortdurend te werken, om incidenten te beheren die de levering van kritieke operaties kunnen verstoren in overeenstemming met de risicobereidheid en de verstoringstolerantie van de uitgever van ART’s, en om verliezen en verstoring van de dienstverlening te beperken in het geval van een ernstige verstoring van de bedrijfsactiviteiten. Uitgevers van ART’s mogen een specifieke onafhankelijke bedrijfscontinuïteitsfunctie instellen, rekening houdend met de in titel I opgesomde evenredigheidscriteria.

Een uitgever van ART’s is afhankelijk van verscheidene kritieke hulpmiddelen (bijv. IT-systemen met inbegrip van clouddiensten, communicatiesystemen, cruciale personeelsleden en gebouwen). Het doel van bedrijfscontinuïteitsbeheer is het beperken van operationele, financiële, juridische en reputatiegevolgen en andere ingrijpende gevolgen van een ramp of langdurige onderbreking in het functioneren van deze hulpmiddelen en, als gevolg daarvan, de verstoring van de normale bedrijfsprocessen van de uitgever van ART’s. Andere vormen van risicobeheermaatregelen kunnen bedoeld zijn om de kans op dergelijke incidenten te verkleinen of de financiële gevolgen ervan over te dragen op derden (bijv. door het afsluiten van verzekeringen).

Om een gedegen bedrijfscontinuïteitsbeheerplan te kunnen vaststellen, dient de uitgever van ART’s zorgvuldig de risicofactoren ten aanzien van, en zijn blootstelling aan, ernstige bedrijfsonderbrekingen te analyseren, en een beoordeling van de potentiële (kwantitatieve en kwalitatieve) effecten hiervan te maken. Daarbij worden interne en/of externe onderzoeken van gegevens en scenario’s benut. Deze analyse dient het vermogen van de uitgever van ART’s om kritieke bedrijfsactiviteiten uit te voeren, zelfs in het geval van een verstoring, te testen en dient alle bedrijfsonderdelen en interne eenheden te omvatten, inclusief de RMF of risicobeheerprocedures, en dient tevens rekening te houden met hun onderlinge afhankelijkheid. De resultaten van de analyse dienen bij te dragen aan de bepaling van de herstelprioriteiten en -doelstellingen van de uitgever van ART’s.

Op basis van bovengenoemde analyse dient een uitgever van ART’s de volgende plannen op te stellen:

• a. noodplannen en bedrijfscontinuïteitsplannen die ervoor zorgen dat de uitgever van ART’s passend op noodsituaties reageert en in staat is haar belangrijkste bedrijfsactiviteiten doorgang te laten vinden indien zich een onderbreking van de normale bedrijfsprocedures voordoet;
• b. herstelplannen voor kritieke hulpbronnen en kritieke of belangrijke functies om te herstellen van de verstoring en de uitgever van ART’s in staat te stellen de normale bedrijfsprocedures binnen een passende termijn te hervatten. Eventuele restrisico’s voortkomend uit potentiële verstoringen in de bedrijfsvoering dienen te stroken met de risicobereidheid van de uitgever van ART’s.
• c. voor andere activiteiten, of wanneer de continuïteit van kritieke essentiële functies niet kan worden gewaarborgd, dienen uitgevers van ART’s te beschikken over procedures voor het tijdig herstel van gegevens en functies en de tijdige hervatting van hun activiteiten.

Noodplannen, bedrijfscontinuïteitsplannen en herstelplannen dienen te worden gedocumenteerd en nauwgezet ten uitvoer gelegd. De documentatie dient beschikbaar te zijn in de bedrijfsonderdelen en interne eenheden en bij de risicobeheerfunctie. Voorts dient de documentatie opgeslagen te worden in fysieke, van elkaar gescheiden systemen en in noodgevallen gemakkelijk toegankelijk te zijn. Er dient voor passende opleiding te worden gezorgd. Plannen dienen regelmatig te worden getest en bijgewerkt. Tekortkomingen of fouten in de testen dienen te worden gedocumenteerd en geanalyseerd, waarna de plannen dienen te worden herzien.