+Artigo 15.o Maior harmonização das ferramentas, dos métodos, dos processos e das políticas de gestão do risco associado às TIC
---+Article 15 (a)
---+Article 15 (b)
---+Article 15 (c)
---+Article 15 (d)
---+Article 15 (e)
---+Article 15 (f)
---+Article 15 (g)
---+Article 15 2
---+Article 15 3
---+Article 15 4

Artigo 15.o Maior harmonização das ferramentas, dos métodos, dos processos e das políticas de gestão do risco associado às TIC

Artigo 15.o

Maior harmonização das ferramentas, dos métodos, dos processos e das políticas de gestão do risco associado às TIC

As AES desenvolvem, através do Comité Conjunto, em consulta com a Agência da União Europeia para a Cibersegurança (ENISA), projetos de normas técnicas de regulamentação comuns a fim de:

a) 

Especificar mais pormenorizadamente os elementos a incluir nas políticas, nos procedimentos, nos protocolos e nas ferramentas relacionadas com a segurança das TIC referidos no artigo 9.o, n.o 2, com vista a acautelar a segurança das redes, prever salvaguardas adequadas contra as intrusões e a utilização abusiva dos dados, preservar a disponibilidade, autenticidade, integridade e confidencialidade dos dados, nomeadamente por via de técnicas criptográficas, e garantir uma transmissão fiável e rápida dos dados sem grandes interrupções, e sem demoras injustificadas;

b) 

Desenvolver mais pormenorizadamente os componentes de controlo da gestão dos direitos de acesso a que se refere o artigo 9.o, n.o 4, alínea c), e a política de recursos humanos associada, especificando os direitos de acesso, os procedimentos para conceder e revogar esses direitos e a monitorização de comportamentos anómalos em relação ao risco associado às TIC através dos indicadores adequados, nomeadamente os padrões de utilização das redes, as horas de acesso, a atividade informática e os dispositivos desconhecidos;

c) 

Desenvolver mais pormenorizadamente os mecanismos especificados no artigo 10.o, n.o 1, que permitem a deteção rápida de atividades anómalas, bem como os critérios estabelecidos no artigo 10.o, n.o 2, que desencadeiam processos de deteção e resposta a incidentes relacionados com as TIC;

d) 

Especificar mais pormenorizadamente os componentes da política de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 1;

e) 

Especificar mais pormenorizadamente os testes dos planos de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 6, por forma a assegurar que os testes têm devidamente em conta cenários em que a qualidade do desempenho de uma função crítica ou importante atinge níveis inaceitáveis ou falha, e considerar devidamente o potencial impacto de uma insolvência, ou de outras falhas, de qualquer terceiro prestador de serviços de TIC relevante e, quando pertinente, os riscos políticos nas respetivas jurisdições desses prestadores;

f) 

Especificar mais pormenorizadamente os componentes dos planos de resposta e recuperação em matéria de TIC a que se refere o artigo 11.o, n.o 3;

g) 

Especificar mais pormenorizadamente o conteúdo e o formato do relatório de análise do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 5;

Ao elaborar esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, tendo devidamente em conta qualquer característica específica decorrente da natureza distinta das atividades nos diferentes setores dos serviços financeiros.

As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

1. Visão geral

,
Article 15 (a)

specify further elements to be included in the ICT security policies, procedures, protocols and tools referred to in Article 9(2), with a view to ensuring the security of networks, enable adequate safeguards against intrusions and data misuse, preserve the availability, authenticity, integrity and confidentiality of data, including cryptographic techniques, and guarantee an accurate and prompt data transmission without major disruptions and undue delays;
Article 15 (b)

develop further components of the controls of access management rights referred to in Article 9(4), point (c), and associated human resource policy specifying access rights, procedures for granting and revoking rights, monitoring anomalous behaviour in relation to ICT risk through appropriate indicators, including for network use patterns, hours, IT activity and unknown devices;
Article 15 (c)

develop further the mechanisms specified in Article 10(1) enabling a prompt detection of anomalous activities and the criteria set out in Article 10(2) triggering ICT-related incident detection and response processes;
Article 15 (d)

specify further the components of the ICT business continuity policy referred to in Article 11(1);
Article 15 (e)

specify further the testing of ICT business continuity plans referred to in Article 11(6) to ensure that such testing duly takes into account scenarios in which the quality of the provision of a critical or important function deteriorates to an unacceptable level or fails, and duly considers the potential impact of the insolvency, or other failures, of any relevant ICT third-party service provider and, where relevant, the political risks in the respective providers’ jurisdictions;
Article 15 (f)

specify further the components of the ICT response and recovery plans referred to in Article 11(3);
Article 15 (g)

specifying further the content and format of the report on the review of the ICT risk management framework referred to in Article 6(5);
Article 15 2

When developing those draft regulatory technical standards, the ESAs shall take into account the size and the overall risk profile of the financial entity, and the nature, scale and complexity of its services, activities and operations, while duly taking into consideration any specific feature arising from the distinct nature of activities across different financial services sectors.
Article 15 3

The ESAs shall submit those draft regulatory technical standards to the Commission by 17 January 2024.
Article 15 4

Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in the first paragraph in accordance with Articles 10 to 14 of Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas