|
+Artykuł 41 2. |
Artykuł 41 2.Sprawozdanie, o którym mowa w ust. 1, zawiera wszystkie następujące informacje:
a)
część wprowadzającą, która zawiera:
(i)
opis kontekstu sprawozdania pod względem charakteru, skali i stopnia złożoności usług, działań i operacji podmiotu finansowego, jego organizacji, zidentyfikowanych funkcji krytycznych, strategii, dużych bieżących projektów lub działań oraz relacji i zależności podmiotu finansowego od wewnętrznych i zleconych na zasadzie outsourcingu usług i systemów ICT lub skutków, jakie całkowita utrata lub poważna degradacja takich systemów miałaby dla krytycznych lub istotnych funkcji oraz efektywności rynku;
(ii)
podsumowanie na poziomie wykonawczym stwierdzonego obecnego i krótkoterminowego ryzyka związanego z ICT, krajobrazu zagrożeń, ocenionej skuteczności kontroli oraz poziomu cyberbezpieczeństwa podmiotu finansowego;
(iii)
informacje na temat obszaru będącego przedmiotem sprawozdania;
(iv)
podsumowanie istotnych zmian w ramach zarządzania ryzykiem związanym z ICT od czasu poprzedniego sprawozdania;
(v)
podsumowanie i opis wpływu istotnych zmian w uproszczonych ramach zarządzania ryzykiem związanym z ICT od czasu poprzedniego sprawozdania;
b)
w stosownych przypadkach data zatwierdzenia sprawozdania przez organ zarządzający podmiotu finansowego;
c)
opis przyczyn wszczęcia przeglądu, w tym:
(i)
w przypadku wszczęcia przeglądu zgodnie z instrukcjami nadzorczymi – dowody potwierdzające takie instrukcje;
(ii)
w przypadku wszczęcia przeglądu w następstwie wystąpienia incydentów związanych z ICT – wykaz wszystkich incydentów związanych z ICT wraz z analizą przyczyn incydentów;
d)
daty rozpoczęcia i zakończenia okresu objętego przeglądem;
e)
informacje na temat osoby odpowiedzialnej za przegląd;
f)
podsumowanie ustaleń oraz samoocenę wagi słabości, niedoskonałości i luk stwierdzonych w ramach zarządzania ryzykiem związanym z ICT w okresie objętym przeglądem, w tym ich szczegółową analizę;
g)
środki naprawcze określone na potrzeby wyeliminowania słabości, niedoskonałości i luk w uproszczonych ramach zarządzania ryzykiem związanym z ICT oraz przewidywany termin wdrożenia tych środków, w tym działania następcze w związku ze słabościami, niedociągnięciami i lukami wskazanymi w poprzednich sprawozdaniach, w przypadku gdy te słabości, niedociągnięcia i luki nie zostały jeszcze usunięte;
h)
ogólne wnioski dotyczące przeglądu uproszczonych ram zarządzania ryzykiem związanym z ICT, w tym wszelkie dalsze planowane zmiany. 1. Przegląd
1.1 Odwołania1.2 Zidentyfikowane wymagania1.3 Powiązane normy2. Zidentyfikowane wymagania
3. Powiązane normy
|