+ICT Risk management framework

ICT Risk management framework

A sound, comprehensive and well-documented ICT risk management framework is in place. Which as goal to address all ICT risks properly and ensure a high level of digital resilience. The reponsibility for risk management is properly assigned to a control function. 

The ICT risk management framework shall be documented and reviewed at least annually, or periodically for microenterprises, with immediate reviews triggered by major ICT-related incidents or supervisory feedback. Continuous improvement will be ensured by incorporating lessons learned from implementation, monitoring, and audits. The report of the review will be prepared according to the requirements as stated in chapter 5 (Article 27) of the RTS RM and will be made available for submission to the competent authority upon request. 

Assess new standards and relevant technology developments in the field of information security, cybersecurity and resilience on a continuous basis and make proposals on how they can strengthen the information security and cybersecurity control measures of the institution.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Article 6 1

1.   Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience.
EULAW Article 6 2

2.   The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that are necessary to duly and adequately protect all information assets and ICT assets, including computer software, hardware, servers, as well as to protect all relevant physical components and infrastructures, such as premises, data centres and sensitive designated areas, to ensure that all information assets and ICT assets are adequately protected from risks including damage and unauthorised access or usage.
EULAW Article 6 3

3.   In accordance with their ICT risk management framework, financial entities shall minimise the impact of ICT risk by deploying appropriate strategies, policies, procedures, ICT protocols and tools. They shall provide complete and updated information on ICT risk and on their ICT risk management framework to the competent authorities upon their request.
EULAW Article 6 4

4.   Financial entities, other than microenterprises, shall assign the responsibility for managing and overseeing ICT risk to a control function and ensure an appropriate level of independence of such control function in order to avoid conflicts of interest. Financial entities shall ensure appropriate segregation and independence of ICT risk management functions, control functions, and internal audit functions, according to the three lines of defence model, or an internal risk management and control model.
EULAW Article 6 5

5.   The ICT risk management framework shall be documented and reviewed at least once a year, or periodically in the case of microenterprises, as well as upon the occurrence of major ICT-related incidents, and following supervisory instructions or conclusions derived from relevant digital operational resilience testing or audit processes. It shall be continuously improved on the basis of lessons derived from implementation and monitoring. A report on the review of the ICT risk management framework shall be submitted to the competent authority upon its request.
EULAW Article 6 7

7.   Based on the conclusions from the internal audit review, financial entities shall establish a formal follow-up process, including rules for the timely verification and remediation of critical ICT audit findings.
EULAW Article 6 9

9.   Financial entities may, in the context of the digital operational resilience strategy referred to in paragraph 8, define a holistic ICT multi-vendor strategy, at group or entity level, showing key dependencies on ICT third-party service providers and explaining the rationale behind the procurement mix of ICT third-party service providers.
EULAW Article 6 10

10.   Financial entities may, in accordance with Union and national sectoral law, outsource the tasks of verifying compliance with ICT risk management requirements to intra-group or external undertakings. In case of such outsourcing, the financial entity remains fully responsible for the verification of compliance with the ICT risk management requirements.
EULAW Article 8 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall identify, classify and adequately document all ICT supported business functions, roles and responsibilities, the information assets and ICT assets supporting those functions, and their roles and dependencies in relation to ICT risk. Financial entities shall review as needed, and at least yearly, the adequacy of this classification and of any relevant documentation.
EULAW Article 9 1

1.   For the purposes of adequately protecting ICT systems and with a view to organising response measures, financial entities shall continuously monitor and control the security and functioning of ICT systems and tools and shall minimise the impact of ICT risk on ICT systems through the deployment of appropriate ICT security tools, policies and procedures.
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 3

3.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall implement associated ICT response and recovery plans which, in the case of financial entities other than microenterprises, shall be subject to independent internal audit reviews.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 12 1

1.   For the purpose of ensuring the restoration of ICT systems and data with minimum downtime, limited disruption and loss, as part of their ICT risk management framework, financial entities shall develop and document:

(a)

backup policies and procedures specifying the scope of the data that is subject to the backup and the minimum frequency of the backup, based on the criticality of information or the confidentiality level of the data;

(b)

restoration and recovery procedures and methods.
EULAW Article 12 2

2.   Financial entities shall set up backup systems that can be activated in accordance with the backup policies and procedures, as well as restoration and recovery procedures and methods. The activation of backup systems shall not jeopardise the security of the network and information systems or the availability, authenticity, integrity or confidentiality of data. Testing of the backup procedures and restoration and recovery procedures and methods shall be undertaken periodically.
EULAW Article 12 3

3.   When restoring backup data using own systems, financial entities shall use ICT systems that are physically and logically segregated from the source ICT system. The ICT systems shall be securely protected from any unauthorised access or ICT corruption and allow for the timely restoration of services making use of data and system backups as necessary.

For central counterparties, the recovery plans shall enable the recovery of all transactions at the time of disruption to allow the central counterparty to continue to operate with certainty and to complete settlement on the scheduled date.

Data reporting service providers shall additionally maintain adequate resources and have back-up and restoration facilities in place in order to offer and maintain their services at all times.
EULAW Article 13 3

3.   Lessons derived from the digital operational resilience testing carried out in accordance with Articles 26 and 27 and from real life ICT-related incidents, in particular cyber-attacks, along with challenges faced upon the activation of ICT business continuity plans and ICT response and recovery plans, together with relevant information exchanged with counterparts and assessed during supervisory reviews, shall be duly incorporated on a continuous basis into the ICT risk assessment process. Those findings shall form the basis for appropriate reviews of relevant components of the ICT risk management framework referred to in Article 6(1).
EULAW Article 13 5

5.   Senior ICT staff shall report at least yearly to the management body on the findings referred to in paragraph 3 and put forward recommendations.
EULAW Article 13 7

7.   Financial entities, other than microenterprises, shall monitor relevant technological developments on a continuous basis, also with a view to understanding the possible impact of the deployment of such new technologies on ICT security requirements and digital operational resilience. They shall keep up-to-date with the latest ICT risk management processes, in order to effectively combat current or new forms of cyber-attacks.
EULAW Article 14 2

2.   As part of the ICT risk management framework, financial entities shall implement communication policies for internal staff and for external stakeholders. Communication policies for staff shall take into account the need to differentiate between staff involved in ICT risk management, in particular the staff responsible for response and recovery, and staff that needs to be informed.
EULAW Article 24 1

1.   For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience testing programme as an integral part of the ICT risk-management framework referred to in Article 6.
EULAW Article 28 2

2.   As part of their ICT risk management framework, financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, shall adopt, and regularly review, a strategy on ICT third-party risk, taking into account the multi-vendor strategy referred to in Article 6(9), where applicable. The strategy on ICT third-party risk shall include a policy on the use of ICT services supporting critical or important functions provided by ICT third-party service providers and shall apply on an individual basis and, where relevant, on a sub-consolidated and consolidated basis. The management body shall, on the basis of an assessment of the overall risk profile of the financial entity and the scale and complexity of the business services, regularly review the risks identified in respect to contractual arrangements on the use of ICT services supporting critical or important functions.
EULAW Article 28 3

3.   As part of their ICT risk management framework, financial entities shall maintain and update at entity level, and at sub-consolidated and consolidated levels, a register of information in relation to all contractual arrangements on the use of ICT services provided by ICT third-party service providers.

The contractual arrangements referred to in the first subparagraph shall be appropriately documented, distinguishing between those that cover ICT services supporting critical or important functions and those that do not.

Financial entities shall report at least yearly to the competent authorities on the number of new arrangements on the use of ICT services, the categories of ICT third-party service providers, the type of contractual arrangements and the ICT services and functions which are being provided.

Financial entities shall make available to the competent authority, upon its request, the full register of information or, as requested, specified sections thereof, along with any information deemed necessary to enable the effective supervision of the financial entity.

Financial entities shall inform the competent authority in a timely manner about any planned contractual arrangement on the use of ICT services supporting critical or important functions as well as when a function has become critical or important.
EULAW Artikel 1 Algemeen risicoprofiel en complexiteit

Artikel 1

Algemeen risicoprofiel en complexiteit

Bij het uitwerken en implementeren van beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in titel II en van het vereenvoudigde raamwerk voor ICT-risicobeheersing als bedoeld in titel III, wordt rekening gehouden met de omvang en het algemene risicoprofiel van de financiële entiteit en met de aard, schaal en elementen van toegenomen of afgenomen complexiteit van haar diensten, activiteiten en operaties, met inbegrip van elementen op het gebied van:

a) 

encryptie en cryptografie;

b) 

beveiliging van ICT-operaties;

c) 

netwerkbeveiliging;

d) 

ICT-projectmanagement en ICT-wijzigingsbeheer;

e) 

de potentiële impact van het ICT-risico op vertrouwelijkheid, integriteit en beschikbaarheid van gegevens en de potentiële impact van storingen op de continuïteit en beschikbaarheid van de activiteiten van de financiële entiteit.
EULAW Artikel 2 1.

Financiële entiteiten bewaken dat hun beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 in hun raamwerk voor ICT-risicobeheersing zijn geïntegreerd. Financiële entiteiten leggen de in dit hoofdstuk bepaalde beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging vast die:

a) 

de veiligheid van netwerken garanderen;

b) 

beschermingsmaatregelen tegen inbraken en misbruik van gegevens bevatten;

c) 

de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens beschermen, onder meer door middel van het gebruik van cryptografische technieken;

d) 

een nauwkeurige en prompte doorgifte van gegevens zonder majeure storingen en onnodige vertragingen waarborgen.
EULAW Artikel 2 2.

Financiële entiteiten bewaken dat de in lid 1 bedoelde beleidslijnen voor ICT-beveiliging:

a) 

zijn afgestemd op de doelstellingen inzake informatiebeveiliging van de financiële entiteit die zijn opgenomen in de in artikel 6, lid 8, van Verordening (EU) 2022/2554, bedoelde strategie voor digitale operationele weerbaarheid;

b) 

de datum van de formele goedkeuring van de beleidslijnen voor ICT-beveiliging door het leidinggevend orgaan vermelden;

c) 

indicatoren en maatstaven bevatten voor:

i) 

het monitoren van de implementatie van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging;

ii) 

het vastleggen van uitzonderingen op die implementatie;

iii) 

het garanderen dat de digitale operationele weerbaarheid van de financiële entiteit is geborgd in het geval van de in punt ii) bedoelde uitzonderingen;

d) 

voor medewerkers op alle niveaus de verantwoordelijkheden specificeren om de ICT-beveiliging van de financiële entiteit te verzekeren;

e) 

de consequenties specificeren van niet-naleving van de ICT-beleidslijnen door medewerkers van de financiële entiteit, voor zover bepalingen in die zin niet zijn vastgelegd in andere beleidslijnen van de financiële entiteit;

f) 

een lijst van bij te houden documentatie bevatten;

g) 

de afspraken specificeren wat betreft functiescheiding in het kader van het “Three Lines of Defence”-model (3LoD-model) of andere interne risicobeheersings- en controlemodellen, al naargelang, om belangenconflicten te vermijden;

h) 

rekening houden met maatgevende praktijken en, in voorkomend geval, normen zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012;

i) 

de rollen en verantwoordelijkheden in kaart brengen wat betreft uitwerking, implementatie en onderhoud van beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging;

j) 

worden herzien overeenkomstig artikel 6, lid 5, van Verordening (EU) 2022/2554;

k) 

rekening houden met materiële veranderingen die de financiële entiteit raken, met inbegrip van materiële veranderingen in de activiteiten of processen van de financiële entiteit, in het landschap van cyberdreigingen of in toepasselijke wettelijke verplichtingen.
EULAW Artikel 3 ICT-risicobeheersing

Artikel 3

ICT-risicobeheersing

Financiële entiteiten ontwikkelen, documenteren en implementeren beleidslijnen en procedures voor ICT-beveiliging die alle volgende elementen bevatten:

a) 

een vermelding van de goedkeuring van het ICT-risicotolerantieniveau dat is vastgesteld overeenkomstig artikel 6, lid 8, punt b), van Verordening (EU) 2022/2554;

b) 

een procedure en methode om de ICT-risicobeoordeling te maken, ten behoeve van de identificatie van:

i) 

kwetsbaarheden en dreigingen die van invloed zijn of kunnen zijn op de ondersteunde bedrijfsfuncties, de ICT-systemen en ICT-assets die deze functies ondersteunen;

ii) 

de kwantitatieve of kwalitatieve indicatoren om de impact en de waarschijnlijkheid van de in punt i) bedoelde kwetsbaarheden en dreigingen te meten;

c) 

de procedure om maatregelen voor ICT-risicobehandeling te identificeren, te implementeren en te documenteren voor de in kaart gebrachte en beoordeelde ICT-risico’s, met inbegrip van het vaststellen van maatregelen voor ICT-risicobehandeling die noodzakelijk zijn om het ICT-risico binnen het in punt a) bedoelde risicotolerantieniveau te brengen;

d) 

voor de ICT-restrisico’s die na de implementatie van de in punt c) bedoelde maatregelen voor ICT-risicobehandeling nog aanwezig zijn:

i) 

bepalingen voor het in kaart brengen van die ICT-restrisico’s;

ii) 

de toewijzing van rollen en verantwoordelijkheden wat betreft:

1) 

de acceptatie van de ICT-restrisico’s die het in punt a) bedoelde risicotolerantieniveau van de financiële entiteit overschrijden;

2) 

het in punt d), iv), bedoelde evaluatieproces;

iii) 

het uitwerken van een inventaris van de geaccepteerde ICT-restrisico’s, met inbegrip van een verantwoording voor het accepteren van die risico’s;

iv) 

bepalingen betreffende de ten minste jaarlijks uit te voeren evaluatie van de geaccepteerde ICT-restrisico’s, met inbegrip van:

1) 

het in kaart brengen van veranderingen in de ICT-restrisico’s;

2) 

de beoordeling van beschikbare mitigerende maatregelen;

3) 

de beoordeling van de vraag of de redenen om de ICT-restrisico’s te accepteren, nog steeds gelden en van toepassing zijn op de datum van de evaluatie;

e) 

bepalingen voor het monitoren van:

i) 

veranderingen in het landschap van ICT-risico en cyberdreigingen;

ii) 

interne en externe kwetsbaarheden en dreigingen;

iii) 

ICT-risico van de financiële entiteit waardoor veranderingen die haar ICT-risicoprofiel kunnen beïnvloeden, snel kunnen worden gedetecteerd;

f) 

bepalingen over een proces waarmee veranderingen in de bedrijfsstrategie en de strategie voor digitale weerbaarheid van de financiële entiteit in aanmerking worden genomen.

Voor de toepassing van punt c) van het eerste lid zorgt de in dat punt bedoelde procedure voor:

a) 

de monitoring van de doeltreffendheid van de geïmplementeerde maatregel voor ICT-risicobehandeling;

b) 

de beoordeling van de vraag of de vastgestelde risicotolerantieniveaus van de financiële entiteit zijn bereikt;

c) 

de beoordeling van de vraag of de financiële entiteit acties heeft ondernemen om die maatregelen zo nodig te corrigeren of te verbeteren.
EULAW Artikel 8 1.
Als onderdeel van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen en procedures voor het beheer van de ICT-operaties. Die beleidslijnen en procedures specificeren hoe financiële entiteiten hun ICT-assets opereren, monitoren, controleren en herstellen, met inbegrip van de documentatie van ICT-operaties.
EULAW Artikel 8 2.

De in lid 1 bedoelde beleidslijnen en procedures voor ICT-operaties bevatten alle volgende elementen:

a) 

een beschrijving van ICT-assets, die alle volgende elementen bevat:

i) 

vereisten ten aanzien van veilige installatie, onderhoud, configuratie en verwijdering van een ICT-systeem;

ii) 

vereisten ten aanzien van het beheer van informatieassets die door ICT-assets worden gebruikt, met inbegrip van de verwerking en handling daarvan, zowel geautomatiseerd als handmatig;

iii) 

vereisten ten aanzien van de identificatie en controle van legacy ICT-systemen;

b) 

beheersmaatregelen en monitoring van ICT-systemen, met inbegrip van alle volgende elementen:

i) 

vereisten inzake back-up en herstel van ICT-systemen;

ii) 

vereisten inzake planning, rekening houdende met onderlinge afhankelijkheden van de ICT-systemen;

iii) 

protocollen voor audit-trail- en systeemlog-informatie;

iv) 

vereisten die borgen dat de uitvoering van interne audits en andere tests storingen van bedrijfsoperaties tot een minimum beperkt;

v) 

vereisten ten aanzien van de scheiding tussen de ICT-productieomgevingen en ontwikkelings-, test- en andere niet-productieomgevingen;

vi) 

vereisten om ontwikkeling en testen uit te voeren in omgevingen die gescheiden zijn van de productieomgeving;

vii) 

vereisten om ontwikkeling en testen uit te voeren in productieomgevingen;

c) 

foutafhandeling voor ICT-systemen, met inbegrip van alle volgende elementen:

i) 

procedures en protocollen voor foutafhandeling;

ii) 

ondersteunings- en escalatiecontacten, met inbegrip van contacten bij externe ondersteuning in het geval van onverwachte operationele of technische problemen;

iii) 

herstart-, rollback- en herstelprocedures van ICT-systemen voor toepassing bij een storing in het ICT-systeem.

Voor de toepassing van punt b), v), wordt bij de scheiding rekening gehouden met alle componenten van de omgeving, met inbegrip van accounts, gegevens en verbindingen, zoals voorgeschreven door artikel 13, eerste alinea, punt a).

Voor de toepassing van punt b), vii), wordt in de in lid 1 bedoelde beleidslijnen en procedures bepaald dat de gevallen waarin testen in een productieomgeving plaatsvindt, duidelijk geïdentificeerd worden, beargumenteerd worden, voor een beperkte tijd zijn en door de betrokken functie zijn goedgekeurd overeenkomstig artikel 16, lid 6. Financiële entiteiten borgen de beschikbaarheid, vertrouwelijkheid, integriteit en authenticiteit van ICT-systemen en productiegegevens tijdens de ontwikkelings- en testactiviteiten in de productieomgeving.