+Artigo 11.o 2.

Artigo 11.o 2.

O procedimento de segurança dos dados e do sistema referido no n.o 1 deve conter todos os elementos indicados a seguir relacionados com a segurança dos dados e do sistema de TIC, de acordo com a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554:

a) 

As restrições de acesso referidas no artigo 21.o do presente regulamento, que apoiem os requisitos de proteção para cada nível de classificação;

b) 

A identificação de uma base de referência de configuração segura para os ativos de TIC que minimize a exposição desses ativos de TIC a ciberameaças e medidas para verificar regularmente se essas bases de referência são efetivamente implantadas;

c) 

A identificação de medidas de segurança para garantir que apenas sejam instalados programas informáticos autorizados nos sistemas TIC e dispositivos terminais;

d) 

A identificação de medidas de segurança contra códigos maliciosos;

e) 

A identificação de medidas de segurança para assegurar que apenas se utilizam suportes externos, sistemas e dispositivos terminais de armazenamento de dados autorizados para transferir e conservar dados da entidade financeira;

f) 

Os seguintes requisitos para garantir a utilização de dispositivos terminais portáteis e de dispositivos terminais não portáteis privados:

i) 

o requisito de utilizar uma solução de gestão para gerir os dispositivos terminais à distância e limpar remotamente os dados da entidade financeira,

ii) 

o requisito de utilizar mecanismos de segurança que não possam ser modificados, removidos ou contornados por membros do pessoal ou terceiros prestadores de serviços de TIC de forma não autorizada,

iii) 

o requisito de utilizar dispositivos de armazenamento de dados amovíveis apenas se o risco residual associado às TIC permanecer dentro do nível de tolerância ao risco da entidade financeira referido no artigo 3.o, primeiro parágrafo, alínea a);

g) 

O processo de apagamento seguro de dados, presentes nas instalações da entidade financeira ou conservados externamente, que a entidade financeira já não precisa de recolher nem conservar;

h) 

O processo de eliminação ou desativação segura de dispositivos de armazenamento de dados presentes nas instalações da entidade financeira ou conservados externamente que contenham informações confidenciais;

i) 

A identificação e aplicação de medidas de segurança para evitar a perda e fuga de dados de sistemas e dispositivos terminais;

j) 

A aplicação de medidas de segurança para garantir que o teletrabalho e a utilização de dispositivos terminais privados não têm um impacto negativo na segurança das TIC da entidade financeira;

k) 

No caso dos ativos ou serviços de TIC operados por um terceiro prestador de serviços de TIC, a identificação e aplicação de requisitos para manter a resiliência operacional digital, de acordo com os resultados da classificação dos dados e da avaliação do risco associado às TIC.

Para efeitos da alínea b), a base de referência da configuração segura referida nessa alínea deve ter em conta as melhores práticas e as técnicas adequadas previstas nas normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012.

Para efeitos da alínea k), as entidades financeiras devem considerar o seguinte:

a) 

A implementação dos parâmetros recomendados pelo vendedor nos elementos operados pela entidade financeira;

b) 

Uma repartição clara das funções e responsabilidades em matéria de segurança da informação entre a entidade financeira e o terceiro prestador de serviços de TIC, em conformidade com o princípio da total responsabilidade da entidade financeira em relação ao terceiro prestador de serviços de TIC, referido no artigo 28.o, n.o 1, alínea a), do Regulamento (UE) 2022/2554, no caso das entidades financeiras referidas no artigo 28.o, n.o 2, do mesmo regulamento e de acordo com a política da entidade financeira em matéria de utilização de serviços de TIC que apoiem funções críticas ou importantes;

c) 

A necessidade de assegurar e manter competências adequadas no seio da entidade financeira na gestão e segurança do serviço utilizado;

d) 

Medidas técnicas e organizativas para minimizar os riscos relacionados com a infraestrutura utilizada pelo terceiro prestador de serviços de TIC para os seus serviços de TIC, tendo em conta as melhores práticas e as normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012.

1. Visão geral

,

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas