+Artikel 41 2.

Artikel 41 2.

Het in lid 1 bedoelde verslag omvat alle volgende informatie:

a) 

een inleidend gedeelte met:

i) 

een beschrijving van de context van het verslag in termen van aard, schaal en complexiteit van de diensten, activiteiten en operaties van de financiële entiteit, de organisatie van de financiële entiteit, geïdentificeerde kritieke functies, strategie, majeure lopende projecten of activiteiten, en relaties, en de afhankelijkheid van de financiële entiteit van interne en uitbestede ICT-diensten en -systemen, of de implicaties die een totaal verlies of ernstige degradatie van die systemen zou hebben voor kritieke of belangrijke functies en voor marktefficiëntie;

ii) 

een executive summary van het geïdentificeerde actuele ICT-risico en ICT-risico op kortere termijn, het dreigingslandschap, de beoordeelde doeltreffendheid van haar beheersmaatregelen en de security posture van de financiële entiteit;

iii) 

informatie over het betrokken onderdeel van het verslag;

iv) 

een overzicht van de majeure wijzigingen van het raamwerk voor ICT-risicobeheersing sinds het vorige verslag;

v) 

een overzicht en beschrijving van de impact van de majeure wijzigingen van het raamwerk voor ICT-risicobeheersing sinds het vorige verslag;

b) 

(in voorkomend geval) de datum van goedkeuring van het verslag door het leidinggevend orgaan van de financiële entiteit;

c) 

een beschrijving van de redenen voor de evaluatie, met inbegrip van:

i) 

wanneer de evaluatie er kwam op instructie van toezichthouders: bewijs voor die instructies;

ii) 

wanneer de evaluatie er kwam na ICT-incidenten: de lijst van al die ICT-incidenten met de daarbij behorende Root Cause Analysis (RCA) van de incidenten;

d) 

de begin- en einddatum van de evaluatieperiode;

e) 

de voor de evaluatie verantwoordelijke persoon;

f) 

een overzicht van de bevindingen en een zelfbeoordeling van de ernst van de zwakke punten, tekortkomingen en lacunes die in het raamwerk voor ICT-risicobeheersing zijn geconstateerd voor de evaluatieperiode, met inbegrip van een gedetailleerde analyse daarvan;

g) 

geïdentificeerde remediërende maatregelen om zwakke punten, tekortkomingen en lacunes in het vereenvoudigde raamwerk voor ICT-risicobeheersing aan te pakken, en de verwachte datum voor de implementatie van die maatregelen, met inbegrip van de follow-up van zwakke punten, tekortkomingen en lacunes die in vroegere verslagen zijn geïdentificeerd, wanneer die zwakke punten, tekortkomingen en lacunes nog niet zijn geremedieerd;

h) 

algemene conclusies over de evaluatie van het vereenvoudigde raamwerk voor ICT-risicobeheersing, met inbegrip van verdere geplande ontwikkelingen.

1. Overzicht

,

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden