Crisis Management

EULAW

Article 11 1

1. As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.

EULAW

Article 11 6

6. As part of their comprehensive ICT risk management, financial entities shall:

(a)	test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)	test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.

EULAW

Article 11 2

2. Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)	ensure the continuity of the financial entity’s critical or important functions;

(b)	quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)	activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)	estimate preliminary impacts, damages and losses;

(e)	set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.

EULAW

Article 11 4

4. Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.

EULAW

Article 11 5

5. As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.

EULAW

Article 11 7

7. Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.

EULAW

Article 11 8

8. Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.

EULAW

Article 11 9

9. Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.

EULAW

Article 11 10

10. Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.

EULAW

Article 14 1

1. As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.

EULAW

Artykuł 24 1.

Podmioty finansowe uwzględniają w swojej strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11 ust. 1 rozporządzenia (UE) 2022/2554, wszystkie następujące elementy:

a)

opis:

(i)

celów strategii na rzecz ciągłości działania w zakresie ICT, w tym wzajemnych powiązań między ICT a ogólną ciągłością działania, z uwzględnieniem wyników analizy wpływu na działalność (BIA), o której mowa w art. 11 ust. 5 rozporządzenia (UE) 2022/2554;

(ii)

zakresu ustaleń, planów, procedur i mechanizmów zapewniających ciągłość działania w zakresie ICT, w tym ograniczeń i wyłączeń;

(iii)

ram czasowych, które mają być objęte ustaleniami, planami, procedurami i mechanizmami zapewniającymi ciągłość działania w zakresie ICT;

(iv)

kryteriów uruchamiania i dezaktywowania planów ciągłości działania w zakresie ICT, planów reagowania i przywracania sprawności ICT oraz planów działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej;

b)

przepisy dotyczące:

(i)

zarządzania i organizacji na potrzeby wdrażania strategii na rzecz ciągłości działania w zakresie ICT, w tym ról, obowiązków i procedur eskalacji zapewniających dostępność wystarczających zasobów;

(ii)

dostosowania między planami ciągłości działania w zakresie ICT a ogólnymi planami ciągłości działania, w odniesieniu do co najmniej wszystkich poniższych elementów:

1)

potencjalnych scenariuszy awarii, w tym scenariuszy, o których mowa w art. 26 ust. 2 niniejszego rozporządzenia;

2)

celów związanych z przywracaniem sprawności, określających, że podmiot finansowy musi być w stanie przywrócić funkcjonowanie swoich krytycznych lub istotnych funkcji po zakłóceniach w ramach zakładanego czasu przywrócenia sprawności oraz akceptowalnego poziomu utraty danych;

(iii)

opracowywania planów ciągłości działania w zakresie ICT w przypadku poważnych zakłóceń działalności gospodarczej w ramach tych planów oraz określania hierarchii środków na rzecz ciągłości działania w zakresie ICT z zastosowaniem podejścia opartego na analizie ryzyka;

(iv)

opracowywania, testowania i przeglądu planów reagowania i przywracania sprawności ICT, zgodnie z art. 25 i 26 niniejszego rozporządzenia;

(v)

przeglądu skuteczności wdrożonych ustaleń, planów, procedur i mechanizmów zapewniających ciągłość działania w zakresie ICT, zgodnie z art. 26 niniejszego rozporządzenia;

(vi)

dostosowania strategii na rzecz ciągłości działania w zakresie ICT do:

1)

polityki komunikacyjnej, o której mowa w art. 14 ust. 2 rozporządzenia (UE) 2022/2554;

2)

działań w zakresie komunikacji i zarządzania kryzysowego, o których mowa w art. 11 ust. 2 lit. e) rozporządzenia (UE) 2022/2554.

EULAW

Artykuł 24 2.

Oprócz wymogów, o których mowa w ust. 1, kontrahenci centralni zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT:

a)

obejmowała maksymalny czas przywrócenia sprawności ich funkcji krytycznych nie dłuższy niż 2 godziny;

b)

uwzględniała zewnętrzne powiązania i współzależności w obrębie infrastruktur finansowych, w tym systemów obrotu rozliczanych przez kontrahenta centralnego, systemów rozrachunku papierów wartościowych i płatności oraz instytucji kredytowych wykorzystywanych przez kontrahenta centralnego lub powiązanego kontrahenta centralnego;

c)

zawierała wymóg wprowadzenia ustaleń mających na celu:

(i)

zapewnienie ciągłości krytycznych lub istotnych funkcji kontrahenta centralnego w oparciu o scenariusze wystąpienia sytuacji nadzwyczajnej;

(ii)

utrzymywanie zapasowej lokalizacji przetwarzania danych, która jest w stanie zapewnić ciągłość krytycznych lub istotnych funkcji kontrahenta centralnego, identycznej z głównym miejscem przetwarzania danych;

(iii)

utrzymywanie zapasowej lokalizacji przetwarzania danych lub posiadanie natychmiastowego dostępu do niej, aby umożliwić pracownikom zapewnienie ciągłości świadczenia usług, jeżeli główne miejsce przetwarzania danych nie jest dostępne;

(iv)

rozważenie konieczności posiadania dodatkowych lokalizacji przetwarzania danych, zwłaszcza jeżeli profile ryzyka głównej i zapasowej lokalizacji nie są na tyle zróżnicowane, aby z wystarczającą pewnością zagwarantować, że wszystkie cele kontrahenta centralnego z zakresu ciągłości działania zostaną zrealizowane we wszystkich scenariuszach.

Do celów lit. a) kontrahenci centralni realizują procedury i płatności na koniec dnia w wymaganym terminie i dniu w każdych okolicznościach.

Do celów lit. c) pkt (i) ustalenia, o których mowa w tej literze, dotyczą dostępności odpowiednich zasobów ludzkich, maksymalnej przerwy w świadczeniu funkcji krytycznych oraz pracy awaryjnej i przywrócenia sprawności funkcji przez systemy znajdujące się w lokalizacji zapasowej.

Do celów lit. c) pkt (ii) zapasowa lokalizacja przetwarzania danych, o której mowa w tej literze, musi mieć geograficzny profil ryzyka, który różni się od geograficznego profilu ryzyka głównego miejsca przetwarzania.

EULAW

Artykuł 24 3.

Oprócz wymogów, o których mowa w ust. 1, centralne depozyty papierów wartościowych zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT:

a)

uwzględniała wszelkie powiązania i współzależności z użytkownikami, dostawcami najważniejszych mediów i usług, innymi centralnymi depozytami papierów wartościowych i innymi infrastrukturami rynkowymi;

b)

zawierała wymóg, zgodnie z którym ustalenia dotyczące ciągłości działania w zakresie ICT muszą zapewniać, by zakładany czas przywrócenia sprawności krytycznych lub istotnych funkcji nie był dłuższy niż 2 godziny.

EULAW

Artykuł 24 4.

Oprócz wymogów, o których mowa w ust. 1, systemy obrotu zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT zapewniała, by:

a)

obrót mógł zostać wznowiony w ciągu dwóch godzin lub blisko dwóch godzin od wystąpienia incydentu zakłócającego;

b)

maksymalna ilość danych, które mogą zostać utracone w ramach jakiejkolwiek usługi informatycznej systemu obrotu w wyniku wystąpienia incydentu zakłócającego, była bliska zeru.

EULAW

Artykuł 25 1.

Testując plany ciągłości działania w zakresie ICT zgodnie z art. 11 ust. 6 rozporządzenia (UE) 2022/2554, podmioty finansowe uwzględniają analizę wpływu na działalność (BIA) podmiotu finansowego oraz ocenę ryzyka związanego z ICT, o której mowa w art. 3 akapit pierwszy lit. b) niniejszego rozporządzenia.

EULAW

Artykuł 25 2.

Testując swoje plany ciągłości działania w zakresie ICT, o których mowa w ust. 1, podmioty finansowe oceniają, czy są w stanie zapewnić ciągłość krytycznych lub istotnych funkcji podmiotu finansowego. Testowanie to powinno:

a)

być przeprowadzane na podstawie scenariuszy testowych, które symulują potencjalne zakłócenia, w tym odpowiedniego zestawu pesymistycznych, ale prawdopodobnych scenariuszy;

b)

w stosownych przypadkach obejmować testowanie usług ICT świadczonych przez zewnętrznych dostawców usług ICT;

c)

w przypadku podmiotów finansowych innych niż mikroprzedsiębiorstwa, o których mowa w art. 11 ust. 6 akapit drugi rozporządzenia (UE) 2022/2554 – obejmować scenariusze przełączania się z głównej infrastruktury ICT na nadmiarowe zdolności, kopie zapasowe i urządzenia redundantne;

d)

być zaprojektowane tak, aby kwestionować założenia, na których opierają się plany ciągłości działania, w tym rozwiązania w zakresie zarządzania i plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej;

e)

obejmować procedury służące weryfikacji zdolności personelu podmiotów finansowych, zewnętrznych dostawców usług ICT, systemów ICT i usług ICT do odpowiedniego reagowania na scenariusze należycie uwzględnione zgodnie z art. 26 ust. 2.

Do celów lit. a) podmioty finansowe zawsze uwzględniają w ramach testowania scenariusze brane pod uwagę przy opracowywaniu planów ciągłości działania.

Do celów lit. b) podmioty finansowe należycie uwzględniają scenariusze związane z niewypłacalnością lub awariami zewnętrznych dostawców usług ICT lub z ryzykiem politycznym w jurysdykcjach zewnętrznych dostawców usług ICT, w stosownych przypadkach.

Do celów lit. c) w ramach testowania sprawdza się, czy co najmniej krytyczne lub istotne funkcje mogą być prawidłowo obsługiwane przez wystarczający czas oraz czy można przywrócić normalne funkcjonowanie.

EULAW

Artykuł 25 3.

Oprócz wymogów, o których mowa w ust. 2, kontrahenci centralni angażują w testowanie swoich planów ciągłości działania w zakresie ICT, o których mowa w ust. 1:

a)

członków rozliczających;

b)

usługodawców zewnętrznych;

c)

odpowiednie instytucje w infrastrukturze finansowej, które kontrahenci centralny wskazali jako powiązane z nimi współzależnościami w swoich strategiach na rzecz ciągłości działania.

EULAW

Artykuł 25 4.

Oprócz wymogów, o których mowa w ust. 2, centralne depozyty papierów wartościowych angażują w testowanie swoich planów ciągłości działania w zakresie ICT, o których mowa w ust. 1, w stosownych przypadkach:

a)

użytkowników centralnych depozytów papierów wartościowych;

b)

dostawców najważniejszych mediów i usług;

c)

inne centralne depozyty papierów wartościowych;

d)

inne infrastruktury rynkowe;

e)

wszelkie inne instytucje, które centralne depozyty papierów wartościowych wskazały jako powiązane z nimi współzależnościami w swoich strategiach na rzecz ciągłości działania.

EULAW

Artykuł 25 5.

Podmioty finansowe dokumentują wyniki testowania, o których mowa w ust. 1. Wszelkie niedoskonałości stwierdzone w ramach tego testowania powinny być analizowane, eliminowane i zgłaszane organowi zarządzającemu.

EULAW

Artykuł 26 1.

Opracowując plany reagowania i przywracania sprawności ICT, o których mowa w art. 11 ust. 3 rozporządzenia (UE) 2022/2554, podmioty finansowe uwzględniają wyniki przeprowadzonej przez podmiot finansowy analizy wpływu na działalność (BIA). Te plany reagowania i przywracania sprawności ICT powinny:

a)

określać warunki powodujące ich uruchamianie lub dezaktywowanie oraz wszelkie wyjątki dotyczące takiego uruchamiania lub dezaktywowania;

b)

zawierać opis, jakie działania należy podjąć w celu zapewnienia dostępności, integralności, ciągłości i przywrócenia sprawności co najmniej systemów i usług ICT wspierających krytyczne lub istotne funkcje podmiotu finansowego;

c)

być zaprojektowane z myślą o osiągnięciu celów związanych z przywracaniem sprawności podmiotów finansowych;

d)

być dokumentowane i udostępniane pracownikom zaangażowanym w realizację planów reagowania i przywracania sprawności ICT oraz być łatwo dostępne w sytuacjach awaryjnych;

e)

zapewniać zarówno krótko-, jak i długoterminowe warianty przywracania sprawności, w tym częściowe przywracanie sprawności systemów;

f)

określać cele planów reagowania i przywracania sprawności ICT oraz warunki uznania pomyślnego wykonania tych planów.

Do celów lit. d) podmioty finansowe jasno określają role i obowiązki.

EULAW

Artykuł 26 2.

W planach reagowania i przywracania sprawności ICT, o których mowa w ust. 1, określa się odpowiednie scenariusze, w tym scenariusze poważnych zakłóceń działalności gospodarczej i zwiększonego prawdopodobieństwa wystąpienia zakłóceń. W planach tych opracowuje się scenariusze oparte na aktualnych informacjach na temat zagrożeń oraz na wnioskach wyciągniętych z wcześniejszych przypadków zakłóceń działalności gospodarczej. Podmioty finansowe należycie uwzględniają wszystkie następujące scenariusze:

a)

cyberataki i pracę awaryjną w trakcie przełączania się z głównej infrastruktury ICT na nadmiarowe zdolności, kopie zapasowe i urządzenia redundantne;

b)

scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona, a także należycie uwzględniają potencjalny wpływ niewypłacalności lub innych rodzajów awarii któregokolwiek z odnośnych zewnętrznych dostawców usług ICT;

c)

częściowe lub całkowite awarie obiektów, w tym obiektów biurowych i lokali przedsiębiorstwa, oraz ośrodków przetwarzania danych;

d)

poważną awarię zasobów ICT lub infrastruktury łączności;

e)

niedostępność krytycznej liczby pracowników lub członków personelu odpowiedzialnych za zagwarantowanie ciągłości operacji;

f)

wpływ zdarzeń związanych ze zmianą klimatu i degradacją środowiska, klęsk żywiołowych, pandemii i ataków fizycznych, w tym włamań i ataków terrorystycznych;

g)

ataki wewnętrzne;

h)

niestabilność polityczną i społeczną, w tym, w stosownych przypadkach, w jurysdykcji zewnętrznego dostawcy usług ICT oraz w lokalizacji, w której dane są przechowywane i przetwarzane;

i)

przerwy w dostawie energii elektrycznej na szeroką skalę.

EULAW

Artykuł 26 3.

W przypadku gdy podstawowe środki przywracania sprawności mogą nie być wykonalne w perspektywie krótkoterminowej ze względu na koszty, ryzyko, logistykę lub nieprzewidziane okoliczności, w planach reagowania i przywracania sprawności ICT, o których mowa w ust. 1, bierze się pod uwagę alternatywne warianty.

EULAW

Artykuł 26 4.

W ramach planów reagowania i przywracania sprawności ICT, o których mowa w ust. 1, podmioty finansowe rozważają i wdrażają środki zapewniające ciągłość w celu ograniczenia awarii zewnętrznych dostawców usług ICT wspierających krytyczne lub istotne funkcje podmiotu finansowego.

Crisis Management

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane regulacje

2. Zidentyfikowane wymagania

3. Powiązane regulacje