+Artigo 10.o 2.

Artigo 10.o 2.

Os procedimentos de gestão das vulnerabilidades referidos no n.o 1 devem:

a) 

Identificar e atualizar recursos de informação pertinentes e fiáveis para desenvolver e manter a sensibilização para as vulnerabilidades;

b) 

Assegurar a realização de análises automatizadas da vulnerabilidade e de avaliações dos ativos de TIC, devendo a frequência e o âmbito dessas atividades ser proporcionais à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao perfil de risco global do ativo de TIC;

c) 

Verificar se:

i) 

os terceiros prestadores de serviços de TIC tratam as vulnerabilidades relacionadas com os serviços de TIC prestados à entidade financeira,

ii) 

esses prestadores de serviços comunicam atempadamente à entidade financeira, pelo menos, as vulnerabilidades críticas, bem como estatísticas e tendências;

d) 

Acompanhar a utilização de:

i) 

bibliotecas de terceiros, incluindo bibliotecas de fonte aberta, utilizadas por serviços de TIC que apoiem funções críticas ou importantes,

ii) 

serviços de TIC desenvolvidos pela própria entidade financeira ou especificamente personalizados ou desenvolvidos para a entidade financeira por um terceiro prestador de serviços de TIC;

e) 

Estabelecer procedimentos para a divulgação responsável das vulnerabilidades aos clientes, às contrapartes e ao público;

f) 

Dar prioridade à implantação de correções e de outras medidas de mitigação para dar resposta às vulnerabilidades identificadas;

g) 

Monitorizar e verificar a correção das vulnerabilidades;

h) 

Exigir o registo de quaisquer vulnerabilidades detetadas que afetem os sistemas de TIC e a monitorização da sua resolução.

Para efeitos da alínea b), as entidades financeiras devem realizar, pelo menos semanalmente, uma análise automatizada da vulnerabilidade e avaliações dos ativos de TIC para os ativos de TIC que apoiam funções críticas ou importantes.

Para efeitos da alínea c), as entidades financeiras devem solicitar que os terceiros prestadores de serviços de TIC investiguem as vulnerabilidades relevantes, determinem as causas profundas e apliquem medidas de mitigação adequadas.

Para efeitos da alínea d), as entidades financeiras devem, se for caso disso em colaboração com o terceiro prestador de serviços de TIC, monitorizar a versão e eventuais atualizações das bibliotecas de terceiros. No caso dos ativos de TIC prontos a utilizar (off-the-shelf) ou de componentes de ativos de TIC adquiridos e utilizados no funcionamento de serviços de TIC que não apoiem funções críticas ou importantes, as entidades financeiras devem acompanhar a utilização, na medida do possível, das bibliotecas de terceiros, incluindo bibliotecas de fonte aberta.

Para efeitos da alínea f), as entidades financeiras devem ter em conta o caráter crítico da vulnerabilidade, a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e o perfil de risco dos ativos de TIC afetados pelas vulnerabilidades identificadas.

1. Visão geral

,

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas