+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Article 11 1

1.   As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.
EULAW Article 11 6

6.   As part of their comprehensive ICT risk management, financial entities shall:

(a)

test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)

test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.
EULAW Article 11 2

2.   Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)

ensure the continuity of the financial entity’s critical or important functions;

(b)

quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)

activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)

estimate preliminary impacts, damages and losses;

(e)

set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.
EULAW Article 11 4

4.   Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.
EULAW Article 11 5

5.   As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.
EULAW Article 11 7

7.   Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.
EULAW Article 11 8

8.   Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.
EULAW Article 11 9

9.   Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.
EULAW Article 11 10

10.   Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.
EULAW Article 14 1

1.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.
EULAW Artikel 24 1.

Financiële entiteiten nemen in hun in artikel 11, lid 1, van Verordening (EU) 2022/2554 bedoelde beleid voor ICT-bedrijfscontinuïteit alle volgende elementen op:

a) 

een beschrijving van:

i) 

de doelstellingen van het beleid voor ICT-bedrijfscontinuïteit, met inbegrip van de onderlinge relatie tussen ICT-bedrijfscontinuïteit en algemene bedrijfscontinuïteit, en rekening houdende met de uitkomsten van de in artikel 11, lid 5, van Verordening (EU) 2022/2554 bedoelde bedrijfsimpactanalyse (business impact analysis — BIA);

ii) 

de scope van de afspraken, plannen, procedures en mechanismen voor ICT-bedrijfscontinuïteit, met inbegrip van beperkingen en uitsluitingen;

iii) 

de tijdsspanne die wordt bestreken door de afspraken, plannen, procedures en mechanismen voor ICT-bedrijfscontinuïteit;

iv) 

de criteria om ICT-bedrijfscontinuïteitsplannen, ICT-respons- en -herstelplannen en crisiscommunicatieplannen te activeren en te deactiveren;

b) 

bepalingen wat betreft:

i) 

de governance en organisatie om het ICT-bedrijfscontinuïteitsplan te implementeren, met inbegrip van rollen, verantwoordelijkheden en escalatieprocedures die ervoor moeten zorgen dat voldoende middelen beschikbaar zijn;

ii) 

de afstemming tussen de ICT-bedrijfscontinuïteitsplannen en de algemene bedrijfscontinuïteitsplannen, voor ten minste alle volgende elementen:

1) 

potentiële scenario’s van falen, met inbegrip van de in artikel 26, lid 2, van deze verordening bedoelde scenario’s;

2) 

hersteldoelstellingen, die specificeren dat de financiële entiteit na storingen binnen een hersteltijddoelstelling (RTO) en een herstelpuntdoelstelling (RPO) de operaties van haar kritieke of belangrijke functies kan hervatten;

iii) 

het opzetten van ICT-bedrijfscontinuïteitsplannen voor zware bedrijfsstoringen als onderdeel van die plannen en het prioriteren van ICT-bedrijfscontinuïteitsacties met gebruikmaking van een risicogebaseerde benadering;

iv) 

de uitwerking, het testen en de evaluatie van ICT-respons- en -herstelplannen, overeenkomstig de artikelen 25 en 26 van deze verordening;

v) 

de evaluatie van de doeltreffendheid van de geïmplementeerde afspraken, plannen, procedures en mechanismen voor ICT-bedrijfscontinuïteit, overeenkomstig artikel 26 van deze verordening;

vi) 

de afstemming van het beleid voor ICT-bedrijfscontinuïteit op:

1) 

het in artikel 14, lid 2, van Verordening (EU) 2022/2554 bedoelde communicatiebeleid;

2) 

de in artikel 11, lid 2, punt e), van Verordening (EU) 2022/2554 bedoelde communicatie- en crisiscommunicatieacties.
EULAW Artikel 24 2.

Naast de in lid 1 bedoelde vereisten bewaken centrale tegenpartijen dat hun beleid voor ICT-bedrijfscontinuïteit:

a) 

voor hun kritieke functies een maximale hersteltijd bevat van maximaal twee uur;

b) 

rekening houdt met externe verbanden en onderlinge afhankelijkheden binnen de financiële infrastructuren, met inbegrip van door de centrale tegenpartij geclearde handelsplatformen, effectenafwikkelings- en betalingssystemen en kredietinstellingen waarvan de centrale tegenpartij of een verbonden centrale tegenpartij gebruikmaakt;

c) 

voorschrijft dat afspraken voorhanden zijn om:

i) 

de continuïteit te borgen van kritieke of belangrijke functies van de centrale tegenpartij op basis van rampscenario’s:

ii) 

een secundaire verwerkingslocatie in stand te houden die continuïteit kan verzekeren van kritieke of belangrijke functies van de centrale tegenpartij en die identiek is aan de primaire locatie;

iii) 

een secundaire bedrijfslocatie in stand te houden of daartoe onmiddellijke toegang te hebben zodat medewerkers de continuïteit van de dienstverlening kunnen verzekeren indien de primaire bedrijfslocatie niet beschikbaar is;

iv) 

de behoefte aan aanvullende verwerkingslocaties te onderzoeken, in het bijzonder wanneer de diversiteit van de risicoprofielen van de primaire en secundaire locaties onvoldoende zekerheid biedt dat de doelstellingen van de centrale tegenpartij op het punt van bedrijfscontinuïteit in alle scenario’s worden behaald.

Voor de toepassing van punt a) ronden centrale tegenpartijen “einde dag”-procedures en -betalingen onder alle omstandigheden af op het daartoe vereiste tijdstip en de daartoe vereiste dag.

Voor de toepassing van punt c), i), bieden de in dat punt bedoelde afspraken een oplossing voor de beschikbaarheid van afdoende personele middelen, de maximale uitvaltijd van kritieke functies, en failover en herstel op een secundaire locatie.

Voor de toepassing van punt c), ii), heeft de in dat punt bedoelde secundaire verwerkingslocatie een geografisch risicoprofiel dat verschilt van dat van de primaire locatie.
EULAW Artikel 24 3.

Naast de in lid 1 bedoelde vereisten zien centrale effectenbewaarinstellingen erop toe dat hun beleid voor ICT-bedrijfscontinuïteit:

a) 

rekening houdt met verbanden met en onderlinge afhankelijkheden van gebruikers, leveranciers van kritieke voorzieningen en diensten, andere centrale effectenbewaarinstellingen en andere marktinfrastructuren;

b) 

voorschrijft dat haar afspraken inzake ICT-bedrijfscontinuïteit ervoor zorgen dat de hersteltijddoelstelling voor hun kritieke of belangrijke functies maximaal twee uur bedraagt.
EULAW Artikel 24 4.

Naast de in lid 1 bedoelde vereisten bewaken handelsplatformen dat hun beleid voor ICT-bedrijfscontinuïteit ervoor zorgt dat:

a) 

transacties kunnen worden hervat binnen of dicht bij twee uur na een verstorend incident;

b) 

de maximale hoeveelheid data die na een verstorend incident eventueel bij IT-diensten van het handelsplatform verloren gaat, dicht bij nul ligt.
EULAW Artikel 25 1.
Bij het testen van de ICT-bedrijfscontinuïteitsplannen overeenkomstig artikel 11, lid 6, van Verordening (EU) 2022/2554, houden financiële entiteiten rekening met de bedrijfsimpactanalyse (BIA) en de ICT-risicobeoordeling van de financiële entiteit als bedoeld in artikel 3, lid 1, punt b), van deze verordening.
EULAW Artikel 25 2.

Financiële entiteiten beoordelen aan de hand van testen van hun in lid 1 bedoelde ICT-bedrijfscontinuïteitsplannen of deze in staat zijn de continuïteit van de kritieke of belangrijke functies van de financiële entiteit te verzekeren. Die testen:

a) 

worden uitgevoerd op basis van testscenario’s die potentiële storingen simuleren, met inbegrip van een adequate reeks van zware, maar plausibele scenario’s;

b) 

bevatten het testen van ICT-diensten die worden geleverd door derde aanbieders van ICT-diensten (in voorkomend geval);

c) 

bevatten, voor financiële entiteiten niet zijnde micro-ondernemingen als bedoeld in artikel 11, lid 6, tweede alinea, van Verordening (EU) 2022/2554, scenario’s voor de overschakeling van primaire ICT-infrastructuur naar de redundante capaciteit, back-ups en redundante faciliteiten;

d) 

zijn opgezet om de aannames waarop de bedrijfscontinuïteitsplannen zijn gebaseerd, met inbegrip van governanceregelingen en crisiscommunicatieplannen, te bevragen;

e) 

bevatten procedures om na te gaan in hoeverre de medewerkers van financiële entiteiten, derde aanbieders van ICT-diensten, ICT-systemen en ICT-diensten een adequate respons kunnen bieden op de scenario’s waarmee overeenkomstig artikel 26, lid 2, terdege is rekening gehouden.

Voor de toepassing van punt a) nemen financiële entiteiten bij het testen de scenario’s op waarmee is rekening gehouden bij het opzetten van de bedrijfscontinuïteitsplannen.

Voor de toepassing van punt b) houden financiële entiteiten voldoende rekening met scenario’s in verband met insolventie of falen van de derde aanbieders van ICT-diensten of in verband met politieke risico’s in de jurisdicties van de derde aanbieders van ICT-diensten, voor zover relevant.

Voor de toepassing van punt c) wordt met het testen nagegaan of ten minste kritieke of belangrijke functies voor een voldoende periode kunnen worden geopereerd en of het normale functioneren kan worden hersteld.
EULAW Artikel 25 3.

Naast de in lid 2 bedoelde vereisten betrekken centrale tegenpartijen bij het testen van hun in lid 1 bedoelde ICT-bedrijfscontinuïteitsplannen:

a) 

clearingleden;

b) 

externe leveranciers;

c) 

relevante instellingen binnen de financiële infrastructuur waarmee centrale tegenpartijen volgens hun bedrijfscontinuïteitsbeleid banden van onderlinge afhankelijkheid blijken te hebben.
EULAW Artikel 25 4.

Naast de in lid 2 bedoelde vereisten betrekken centrale effectenbewaarinstellingen bij het testen van hun in lid 1 bedoelde ICT-bedrijfscontinuïteitsplannen, voor zover van toepassing:

a) 

gebruikers van de centrale effectenbewaarinstellingen;

b) 

leveranciers van kritieke voorzieningen en diensten;

c) 

andere centrale effectenbewaarinstellingen;

d) 

andere marktinfrastructuren;

e) 

andere instellingen waarmee centrale effectenbewaarinstellingen volgens hun bedrijfscontinuïteitsbeleid banden van onderlinge afhankelijkheid blijken te hebben.
EULAW Artikel 25 5.
Financiële entiteiten documenteren de uitkomsten van het in lid 1 bedoelde testen. Geconstateerde tekortkomingen die uit die tests naar voren komen, worden geanalyseerd, aangepakt en gemeld aan het leidinggevend orgaan.
EULAW Artikel 26 1.

Bij het uitwerken van de in artikel 11, lid 3, van Verordening (EU) 2022/2554 bedoelde ICT-respons- en -herstelplannen houden financiële entiteiten rekening met de uitkomsten van de bedrijfsimpactanalyse (BIA) van de financiële entiteit. Die ICT-respons- en -herstelplannen:

a) 

specificeren de omstandigheden waarin die plannen worden geactiveerd of gedeactiveerd, en eventuele uitzonderingen voor die activering of deactivering;

b) 

beschrijven welke acties moeten worden ondernomen om beschikbaarheid, integriteit, continuïteit en herstel te garanderen van ten minste de ICT-systemen en -diensten die kritieke of belangrijke functies van de financiële entiteit ondersteunen;

c) 

zijn zodanig opgezet dat de hersteldoelstellingen van de operaties van de financiële entiteiten worden verwezenlijkt;

d) 

worden gedocumenteerd en beschikbaar gesteld aan de medewerkers die betrokken zijn bij de uitvoering van ICT-respons- en -herstelplannen, en zijn in noodgevallen gemakkelijk toegankelijk;

e) 

bevatten herstelopties voor zowel korte als lange termijn, met inbegrip van gedeeltelijk systeemherstel;

f) 

leggen de doelstellingen van de ICT-respons- en -herstelplannen vast en de voorwaarden om te verklaren dat die plannen met succes zijn uitgevoerd.

Voor de toepassing van punt d) leggen financiële entiteiten rollen en verantwoordelijkheden duidelijk vast.
EULAW Artikel 26 2.

De in lid 1 bedoelde ICT-respons- en -herstelplannen identificeren relevante scenario’s, met inbegrip van scenario’s van ernstige bedrijfsstoringen en een toegenomen kans op storingen. Die plannen ontwikkelen scenario’s op basis van actuele informatie over dreigingen en lessons-learned van vorige bedrijfsstoringen. Financiële entiteiten houden terdege rekening met alle volgende scenario’s:

a) 

cyberaanvallen en overschakelingen tussen de primaire ICT-infrastructuur en de redundante capaciteit, back-ups en redundante faciliteiten;

b) 

scenario’s waarin de kwaliteit van de levering van een kritieke of belangrijke functie verslechtert tot een onacceptabel niveau of faalt, en houden terdege rekening met de potentiële impact van de insolventie, of andere vormen van falen, van relevante derde aanbieders van ICT-diensten;

c) 

gedeeltelijk of volledig falen van bedrijfslocaties, met inbegrip van kantoor- en bedrijfslocaties, en datacentra;

d) 

substantieel falen van ICT-assets of van de communicatie-infrastructuur;

e) 

de niet-beschikbaarheid van een kritiek aantal medewerkers of medewerkers belast met het verzekeren van de continuïteit van operaties;

f) 

impact van klimaatverandering en milieuaantasting in verband met gebeurtenissen, natuurrampen, pandemieën en fysieke aanvallen, met inbegrip van indringing en terreuraanvallen;

g) 

interne aanvallen;

h) 

politieke en maatschappelijke instabiliteit, onder meer, in voorkomend geval, in de jurisdictie van de derde aanbieder van ICT-diensten en de locatie waar de data worden opgeslagen en verwerkt;

i) 

algemene stroomstoringen.
EULAW Artikel 26 3.
Wanneer de primaire herstelmaatregelen misschien niet op de korte termijn haalbaar zijn vanwege de kosten, risico’s, logistiek of onvoorziene omstandigheden, worden in de in lid 1 bedoelde ICT-respons- en -herstelplannen alternatieve opties overwogen.
EULAW Artikel 26 4.
Als onderdeel van de in lid 1 bedoelde ICT-respons- en -herstelplannen onderzoeken en implementeren financiële entiteiten continuïteitsmaatregelen die falen van derde aanbieders van ICT-diensten mitigeren voor ICT-diensten die kritieke of belangrijke functies van de financiële entiteit ondersteunen.