+Artykuł 41 2.

Artykuł 41 2.

Sprawozdanie, o którym mowa w ust. 1, zawiera wszystkie następujące informacje:

a) 

część wprowadzającą, która zawiera:

(i) 

opis kontekstu sprawozdania pod względem charakteru, skali i stopnia złożoności usług, działań i operacji podmiotu finansowego, jego organizacji, zidentyfikowanych funkcji krytycznych, strategii, dużych bieżących projektów lub działań oraz relacji i zależności podmiotu finansowego od wewnętrznych i zleconych na zasadzie outsourcingu usług i systemów ICT lub skutków, jakie całkowita utrata lub poważna degradacja takich systemów miałaby dla krytycznych lub istotnych funkcji oraz efektywności rynku;

(ii) 

podsumowanie na poziomie wykonawczym stwierdzonego obecnego i krótkoterminowego ryzyka związanego z ICT, krajobrazu zagrożeń, ocenionej skuteczności kontroli oraz poziomu cyberbezpieczeństwa podmiotu finansowego;

(iii) 

informacje na temat obszaru będącego przedmiotem sprawozdania;

(iv) 

podsumowanie istotnych zmian w ramach zarządzania ryzykiem związanym z ICT od czasu poprzedniego sprawozdania;

(v) 

podsumowanie i opis wpływu istotnych zmian w uproszczonych ramach zarządzania ryzykiem związanym z ICT od czasu poprzedniego sprawozdania;

b) 

w stosownych przypadkach data zatwierdzenia sprawozdania przez organ zarządzający podmiotu finansowego;

c) 

opis przyczyn wszczęcia przeglądu, w tym:

(i) 

w przypadku wszczęcia przeglądu zgodnie z instrukcjami nadzorczymi – dowody potwierdzające takie instrukcje;

(ii) 

w przypadku wszczęcia przeglądu w następstwie wystąpienia incydentów związanych z ICT – wykaz wszystkich incydentów związanych z ICT wraz z analizą przyczyn incydentów;

d) 

daty rozpoczęcia i zakończenia okresu objętego przeglądem;

e) 

informacje na temat osoby odpowiedzialnej za przegląd;

f) 

podsumowanie ustaleń oraz samoocenę wagi słabości, niedoskonałości i luk stwierdzonych w ramach zarządzania ryzykiem związanym z ICT w okresie objętym przeglądem, w tym ich szczegółową analizę;

g) 

środki naprawcze określone na potrzeby wyeliminowania słabości, niedoskonałości i luk w uproszczonych ramach zarządzania ryzykiem związanym z ICT oraz przewidywany termin wdrożenia tych środków, w tym działania następcze w związku ze słabościami, niedociągnięciami i lukami wskazanymi w poprzednich sprawozdaniach, w przypadku gdy te słabości, niedociągnięcia i luki nie zostały jeszcze usunięte;

h) 

ogólne wnioski dotyczące przeglądu uproszczonych ram zarządzania ryzykiem związanym z ICT, w tym wszelkie dalsze planowane zmiany.

1. Przegląd

,

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

Wymagania

3. Powiązane normy

Normy