|
+Artikel 27 2. |
Artikel 27 2.Financiële entiteiten nemen in het in lid 1 bedoelde verslag alle volgende informatie op:
a)
een inleidend gedeelte dat:
i)
duidelijk de financiële entiteit identificeert waarop het verslag ziet, en, in voorkomend geval, haar groepsstructuur beschrijft;
ii)
de context van het verslag beschrijft in termen van aard, schaal en complexiteit van de diensten, activiteiten en operaties van de financiële entiteit, haar organisatie, geïdentificeerde kritieke functies, strategie, majeure lopende projecten of activiteiten, relaties, en haar afhankelijkheid van interne en gecontracteerde ICT-diensten en -systemen, of de implicaties die een totaal verlies van of ernstige degradatie van die systemen zou hebben in termen van kritieke of belangrijke functies en marktefficiëntie;
iii)
een overzicht geeft van de majeure wijzigingen van het raamwerk voor ICT-risicobeheersing sinds het vorige verslag werd ingediend;
iv)
een executive summary geeft van het actuele ICT-risicoprofiel en het ICT-risicoprofiel op kortere termijn, het dreigingslandschap, de beoordeelde doeltreffendheid van haar beheersmaatregelen en de security posture van de financiële entiteit;
b)
de datum van goedkeuring van het verslag door het leidinggevend orgaan van de financiële entiteit;
c)
een beschrijving van de reden voor de evaluatie van het raamwerk voor ICT-risicobeheersing overeenkomstig artikel 6, lid 5, van Verordening (EU) 2022/2554;
d)
de begin- en einddatum van de evaluatieperiode;
e)
een vermelding van de voor de evaluatie verantwoordelijke functie;
f)
een beschrijving van de majeure wijzigingen en verbeteringen van het raamwerk voor ICT-risicobeheersing sinds de vorige evaluatie;
g)
een overzicht van de bevindingen van de evaluatie en gedetailleerde analyse en beoordeling van de ernst van de zwakke punten, tekortkomingen en lacunes in het raamwerk voor ICT-risicobeheersing tijdens de evaluatieperiode;
h)
een beschrijving van de maatregelen voor het aanpakken van de geconstateerde zwakke punten, tekortkomingen en lacunes, met inbegrip van alle volgende elementen:
i)
een overzicht van maatregelen genomen om geconstateerde zwakke punten, tekortkomingen en lacunes te verhelpen;
ii)
een verwachte datum voor de implementatie van de maatregelen en data wat betreft de interne controle op de implementatie, met inbegrip van informatie over de stand van uitvoering van de implementatie van die maatregelen per de datum waarop het verslag is opgesteld, waarbij, in voorkomend geval, wordt uitgelegd of er een risico bestaat dat termijnen misschien niet worden nageleefd;
iii)
te gebruiken tools en de identificatie van de functie verantwoordelijk voor het uitvoeren van de maatregelen, met nadere vermelding of het interne of externe tools en functies betreft;
iv)
een beschrijving van de impact van de in de maatregelen voorgenomen wijzigingen op de budgettaire, menselijke en materiële middelen van de financiële entiteit, met inbegrip van de middelen bestemd voor de implementatie van corrigerende maatregelen;
v)
informatie over het proces om de bevoegde autoriteit te informeren (in voorkomend geval);
vi)
wanneer er voor de geconstateerde zwakke punten, tekortkomingen of lacunes geen corrigerende maatregelen zijn: een nadere toelichting bij de criteria gebruikt voor het analyseren van de impact van die zwakke punten, tekortkomingen of lacunes, voor het evalueren van het betrokken ICT-restrisico, en bij de criteria gebruikt voor het accepteren van het betrokken restrisico;
i)
informatie over geplande toekomstige evoluties van het raamwerk voor ICT-risicobeheersing;
j)
conclusies van de evaluatie van het raamwerk voor ICT-risicobeheersing;
k)
informatie over vorige evaluaties, met inbegrip van:
i)
een lijst van evaluaties tot op heden;
ii)
in voorkomend geval een stand van zaken voor de implementatie van de in het laatste verslag genoemde corrigerende maatregelen;
iii)
wanneer de in vorige evaluaties voorgestelde corrigerende maatregelen ondoeltreffend zijn gebleken of voor onverwachte uitdagingen hebben gezorgd: een beschrijving van de wijze waarop die corrigerende maatregelen zouden kunnen worden verbeterd, of van die onverwachte uitdagingen;
l)
informatiebronnen die bij het opstellen van het verslag zijn gebruikt, met inbegrip van alle volgende elementen:
i)
voor financiële entiteiten niet zijnde micro-ondernemingen als bedoeld in artikel 6, lid 6, van Verordening (EU) 2022/2554: de uitkomsten van interne audits;
ii)
de uitkomsten van compliancebeoordelingen;
iii)
uitkomsten van tests op digitale operationele weerbaarheid en, in voorkomend geval, de uitkomsten van geavanceerde tests, op basis van Threat-Led Penetration Testing (TLPT), van ICT-tools, -systemen en -processen;
iv)
externe bronnen. Voor de toepassing van punt c) bevat het verslag, wanneer de evaluatie er kwam op instructie van toezichthouders of als gevolg van conclusies uit de betrokken tests of auditprocessen voor digitale operationele weerbaarheid, expliciete verwijzingen naar die instructies of conclusies, waarmee de reden voor het opstarten van de evaluatie kan worden geïdentificeerd. Wanneer de evaluatie er kwam na ICT-incidenten, bevat het verslag de lijst met alle ICT-incidenten met een Root Cause Analysis (RCA) van de incidenten. Voor de toepassing van punt f) bevat de beschrijving een analyse van de impact van de wijzigingen op de strategie voor digitale operationele weerbaarheid van de financiële entiteit, op haar interne-controleraamwerk voor ICT en op haar governance voor ICT-risicobeheersing. 1. Overzicht
1.1 Referenties1.2 Geïdentificeerde eisen1.3 Gerelateerde standaarden2. Geïdentificeerde eisen
3. Gerelateerde standaarden
|