Crisis Management

EULAW

Article 11 1

1. As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.

EULAW

Article 11 6

6. As part of their comprehensive ICT risk management, financial entities shall:

(a)	test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)	test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.

EULAW

Article 11 2

2. Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)	ensure the continuity of the financial entity’s critical or important functions;

(b)	quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)	activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)	estimate preliminary impacts, damages and losses;

(e)	set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.

EULAW

Article 11 4

4. Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.

EULAW

Article 11 5

5. As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.

EULAW

Article 11 7

7. Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.

EULAW

Article 11 8

8. Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.

EULAW

Article 11 9

9. Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.

EULAW

Article 11 10

10. Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.

EULAW

Article 14 1

1. As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.

EULAW

Artigo 24.o 1.

As entidades financeiras devem incluir na sua política de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 1, do Regulamento (UE) 2022/2554 todos os elementos seguintes:

a)

Uma descrição:

i)

dos objetivos da política de continuidade das atividades no domínio das TIC, incluindo a inter-relação entre as TIC e a continuidade global das atividades, e tendo em conta os resultados da análise de impacto na atividade (BIA) a que se refere o artigo 11.o, n.o 5, do Regulamento (UE) 2022/2554,

ii)

do âmbito das disposições, planos, procedimentos e mecanismos de continuidade das atividades no domínio das TIC, incluindo limitações e exclusões,

iii)

do calendário a abranger pelas disposições, planos, procedimentos e mecanismos de continuidade das atividades no domínio das TIC

iv)

dos critérios para ativar e desativar os planos de continuidade das atividades no domínio das TIC, os planos de resposta e recuperação no domínio das TIC e os planos de comunicação em situações de crise;

b)

Disposições relativas:

i)

à governação e à organização para aplicar a política de continuidade das atividades no domínio das TIC, incluindo funções, responsabilidades e procedimentos escalonados que garantam a disponibilidade de recursos suficientes,

ii)

ao alinhamento entre os planos de continuidade das atividades no domínio das TIC e os planos globais de continuidade das atividades, no que respeita, pelo menos, a todos os elementos seguintes:

(1)

potenciais cenários de falha, incluindo os cenários referidos no artigo 26.o, n.o 2, do presente regulamento,

(2)

objetivos de recuperação, especificando que a entidade financeira deve ser capaz de recuperar as operações das suas funções críticas ou importantes após a ocorrência de perturbações de acordo com um objetivo de tempo de recuperação e um objetivo de ponto de recuperação,

iii)

à elaboração de planos de continuidade das atividades no domínio das TIC em caso de perturbações graves das atividades no âmbito desses planos e à atribuição de prioridade às ações de continuidade das atividades no domínio das TIC utilizando uma abordagem baseada no risco,

iv)

à elaboração, testes e revisão dos planos de resposta e recuperação no domínio das TIC, em conformidade com os artigos 25.o e 26.o do presente regulamento,

v)

à análise da eficácia das disposições, planos, procedimentos e mecanismos de continuidade das atividades no domínio das TIC aplicados, em conformidade com o artigo 26.o do presente regulamento,

vi)

ao alinhamento da política de continuidade das atividades no domínio das TIC com:

(1)

a política de comunicação a que se refere o artigo 14.o, n.o 2, do Regulamento (UE) 2022/2554,

(2)

as ações de comunicação e gestão de crises a que se refere o artigo 11.o, n.o 2, alínea e), do Regulamento (UE) 2022/2554.

EULAW

Artigo 24.o 2.

Para além dos requisitos a que se refere o n.o 1, as contrapartes centrais devem assegurar que a sua política de continuidade das atividades no domínio das TIC:

a)

Inclua um tempo máximo de recuperação das suas funções críticas não superior a duas horas;

b)

Tenha em conta as ligações e interdependências externas no âmbito das infraestruturas financeiras, incluindo as plataformas de negociação compensadas pela contraparte central, os sistemas de liquidação e pagamento de valores mobiliários e as instituições de crédito utilizadas pela contraparte central ou por uma contraparte central ligada;

c)

Exija a adoção de disposições para:

i)

assegurar a continuidade das funções críticas ou importantes da contraparte central com base em cenários de catástrofe,

ii)

manter um local de tratamento de dados secundário capaz de assegurar a continuidade de funções críticas ou importantes da contraparte central de forma idêntica às do local principal,

iii)

manter ou ter acesso imediato a um local de atividade secundário, a fim de permitir que o pessoal assegure a continuidade do serviço se a localização principal da atividade não estiver disponível,

iv)

ponderar a necessidade de instalações suplementares de tratamento de dados, em particular se a diversidade dos perfis de risco dos locais primário e secundário não proporcionar confiança suficiente em que os objetivos de continuidade das atividades da contraparte central serão atingidos em todos os cenários.

Para efeitos da alínea a), as contrapartes centrais devem realizar os procedimentos e os pagamentos de fim de dia no dia e na hora devidos em todas as circunstâncias.

Para efeitos da alínea c), subalínea i), as disposições referidas nessa alínea devem abordar a disponibilidade de recursos humanos adequados, o tempo máximo de indisponibilidade de funções críticas, bem como a comutação e recuperação para um local secundário.

Para efeitos da alínea c), subalínea ii), o local de tratamento de dados secundário referido nessa alínea deve ter um perfil de risco geográfico distinto do perfil do local primário.

EULAW

Artigo 24.o 3.

Para além dos requisitos a que se refere o n.o 1, as centrais de depósito de valores mobiliários devem assegurar que a sua política de continuidade das atividades no domínio das TIC:

a)

Tenha em conta quaisquer ligações e interdependências com utilizadores, serviços públicos críticos e prestadores de serviços críticos, outras centrais de depósito de valores mobiliários e outras infraestruturas de mercado;

b)

Exija que as suas disposições de continuidade das atividades no domínio das TIC assegurem que o objetivo do tempo de recuperação das suas funções críticas ou importantes não seja superior a duas horas.

EULAW

Artigo 24.o 4.

Para além dos requisitos a que se refere o n.o 1, as plataformas de negociação devem garantir que a sua política de continuidade das atividades no domínio das TIC assegure que:

a)

A negociação possa ser retomada num período de duas horas ou próximo de duas horas após um incidente que perturbe as atividades;

b)

A quantidade máxima de dados que possam ser perdidos em qualquer serviço informático da plataforma de negociação após um incidente que perturbe as atividades seja praticamente nula.

EULAW

Artigo 25.o 1.

Ao testar os planos de continuidade das atividades no domínio das TIC em conformidade com o artigo 11.o, n.o 6, do Regulamento (UE) 2022/2554, as entidades financeiras devem ter em conta a análise de impacto na atividade (BIA) da entidade financeira e a avaliação do risco associado às TIC a que se refere o artigo 3.o, n.o 1, alínea b), do presente regulamento.

EULAW

Artigo 25.o 2.

As entidades financeiras devem avaliar, através dos testes dos seus planos de continuidade das atividades no domínio das TIC a que se refere o n.o 1, se são capazes de assegurar a continuidade das funções críticas ou importantes da entidade financeira. Esses testes devem:

a)

Ser realizados com base em cenários de teste que simulem potenciais perturbações, incluindo um conjunto adequado de cenários graves mas plausíveis;

b)

Incluir os testes dos serviços de TIC prestados por terceiros prestadores de serviços de TIC, se for caso disso;

c)

No caso de entidades financeiras que não sejam microempresas, como referido no artigo 11.o, n.o 6, segundo parágrafo, do Regulamento (UE) 2022/2554, incluir cenários de passagem entre a infraestrutura primária de TIC e a capacidade redundante, cópias de segurança e equipamentos redundantes;

d)

Ser concebidos para desafiar os pressupostos em que se baseiam os planos de continuidade das atividades, incluindo mecanismos de governação e planos de comunicação em situações de crise;

e)

Incluir procedimentos para verificar a capacidade do pessoal das entidades financeiras, dos terceiros prestadores de serviços de TIC, dos sistemas de TIC e dos serviços de TIC para responder de forma adequada aos cenários tidos devidamente em conta nos termos do artigo 26.o, n.o 2.

Para efeitos da alínea a), as entidades financeiras devem sempre incluir nos testes os cenários considerados para a elaboração dos planos de continuidade das atividades.

Para efeitos da alínea b), as entidades financeiras devem ter devidamente em conta cenários associados à insolvência ou a falhas dos terceiros prestadores de serviços de TIC ou associados a riscos políticos nas jurisdições dos terceiros prestadores de serviços de TIC, se for caso disso.

Para efeitos da alínea c), os testes devem verificar se é possível executar de forma adequada pelo menos as funções críticas ou importantes durante um período suficiente e se o funcionamento normal pode ser restabelecido.

EULAW

Artigo 25.o 3.

Para além dos requisitos a que se refere o n.o 2, as contrapartes centrais devem envolver as seguintes entidades nos testes dos seus planos de continuidade das atividades no domínio das TIC a que se refere o n.o 1:

a)

Membros compensadores;

b)

Prestadores externos;

c)

Instituições relevantes nas infraestruturas financeiras com as quais as contrapartes centrais tenham identificado interdependências nas suas políticas de continuidade das atividades.

EULAW

Artigo 25.o 4.

Para além dos requisitos a que se refere o n.o 2, as centrais de depósito de valores mobiliários devem envolver as seguintes entidades na testagem dos seus planos de continuidade das atividades no domínio das TIC a que se refere o n.o 1, conforme adequado:

a)

Utilizadores das centrais de depósito de valores mobiliários;

b)

Prestadores de serviços de utilidade pública críticos e de outros serviços críticos;

c)

Outras centrais de valores mobiliários;

d)

Outras infraestruturas de mercado;

e)

Quaisquer outras instituições com as quais as centrais de valores mobiliários tenham identificado interdependências na sua política de continuidade das atividades.

EULAW

Artigo 25.o 5.

As entidades financeiras devem documentar os resultados dos testes a que se refere o n.o 1. As eventuais deficiências identificadas resultantes desses testes devem ser analisadas, corrigidas e comunicadas ao órgão de administração.

EULAW

Artigo 26.o 1.

Ao elaborar os planos de resposta e recuperação no domínio das TIC a que se refere o artigo 11.o, n.o 3, do Regulamento (UE) 2022/2554, as entidades financeiras devem ter em conta os resultados da análise de impacto na atividade (BIA) da entidade financeira. Esses planos de resposta e recuperação no domínio das TIC devem:

a)

Especificar as condições que desencadeiam a sua ativação ou desativação, bem como quaisquer exceções a essa ativação ou desativação;

b)

Descrever as medidas a tomar para assegurar a disponibilidade, integridade, continuidade e recuperação, pelo menos, dos sistemas e serviços de TIC que apoiam funções críticas ou importantes da entidade financeira;

c)

Ser concebidos de modo a cumprir os objetivos de recuperação das operações das entidades financeiras;

d)

Ser documentados e disponibilizados ao pessoal envolvido na execução dos planos de resposta e recuperação no domínio das TIC e ser facilmente acessíveis numa situação de emergência;

e)

Prever opções de recuperação a curto e a longo prazo, incluindo a recuperação parcial dos sistemas;

f)

Estabelecer os objetivos dos planos de resposta e recuperação no domínio das TIC e as condições para declarar a execução eficaz desses planos.

Para efeitos da alínea d), as entidades financeiras devem especificar claramente as funções e responsabilidades.

EULAW

Artigo 26.o 2.

Os planos de resposta e recuperação no domínio das TIC a que se refere o n.o 1 devem identificar cenários pertinentes, incluindo cenários de perturbações graves da atividade e de maior probabilidade de ocorrência de perturbações. Esses planos devem desenvolver cenários com base nas informações atuais sobre as ameaças e nos ensinamentos retirados de anteriores ocorrências de perturbações da atividade. As entidades financeiras devem ter devidamente em conta todos os cenários seguintes:

a)

Ciberataques e transições entre a infraestrutura de TIC primária e a capacidade redundante, cópias de segurança e equipamentos redundantes;

b)

Cenários em que a qualidade da prestação de uma função crítica ou importante se deteriore para um nível inaceitável ou falhe, considerando devidamente o potencial impacto da insolvência, ou de outras falhas, de qualquer terceiro prestador de serviços de TIC relevante;

c)

Falha total ou parcial das instalações, incluindo instalações administrativas e comerciais, e de centros de dados;

d)

Falha substancial dos ativos de TIC ou das infraestruturas de comunicação;

e)

Indisponibilidade de um número crítico de pessoal ou de membros do pessoal encarregados de garantir a continuidade das operações;

f)

Impacto de eventos relacionados com as alterações climáticas e a degradação do ambiente, catástrofes naturais, pandemias e ataques físicos, incluindo intrusões e ataques terroristas;

g)

Ataques internos;

h)

Instabilidade política e social, incluindo, se for caso disso, na jurisdição do terceiro prestador de serviços de TIC e no local onde os dados são conservados e tratados;

i)

Cortes generalizados de energia.

EULAW

Artigo 26.o 3.

Caso as principais medidas de recuperação possam não ser exequíveis a curto prazo devido a custos, riscos, logística ou circunstâncias imprevistas, os planos de resposta e recuperação no domínio das TIC a que se refere o n.o 1 devem considerar opções alternativas.

EULAW

Artigo 26.o 4.

No âmbito dos planos de resposta e recuperação no domínio das TIC a que se refere o n.o 1, as entidades financeiras devem considerar e aplicar medidas de continuidade para atenuar as falhas de terceiros prestadores de serviços de TIC de apoio a funções críticas ou importantes da entidade financeira.

Crisis Management

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

3. Regulamentos relacionados