|
+Artigo 27.o 2. |
Artigo 27.o 2.As entidades financeiras devem incluir todas as informações seguintes no relatório a que se refere o n.o 1:
a)
Uma secção introdutória que:
i)
identifique claramente a entidade financeira objeto do relatório e descreva a sua estrutura de grupo, se aplicável,
ii)
descreva o contexto do relatório em termos da natureza, escala e complexidade dos serviços, atividades e operações da entidade financeira, da sua organização, das funções críticas identificadas, da estratégia, dos projetos ou atividades de envergadura em curso, das relações e da sua dependência de serviços e sistemas de TIC internos e contratados, ou das implicações que uma perda total ou uma degradação grave desses sistemas teria em termos de funções críticas ou importantes e de eficiência do mercado,
iii)
sintetize as principais alterações do quadro de gestão do risco associado às TIC desde o relatório anterior apresentado,
iv)
apresente um resumo do perfil de risco atual e a curto prazo associado às TIC, do panorama das ameaças, da eficácia avaliada dos seus controlos e da postura de segurança da entidade financeira;
b)
A data de aprovação do relatório pelo órgão de administração da entidade financeira;
c)
Uma descrição do motivo para a revisão do quadro de gestão do risco associado às TIC, em conformidade com o artigo 6.o, n.o 5, do Regulamento (UE) 2022/2554;
d)
As datas de início e de termo do período de revisão;
e)
Uma indicação da função responsável pela revisão;
f)
Uma descrição das principais alterações e melhorias introduzidas no quadro de gestão do risco associado às TIC desde a revisão anterior;
g)
Um resumo das conclusões da revisão e da análise e avaliação aprofundadas da gravidade das vulnerabilidades, deficiências e lacunas no quadro de gestão do risco associado às TIC durante o período de revisão;
h)
Uma descrição das medidas destinadas a corrigir as vulnerabilidades, deficiências e lacunas, incluindo todos os elementos seguintes:
i)
um resumo das medidas tomadas para identificar as vulnerabilidades, deficiências e lacunas,
ii)
uma data prevista para a aplicação das medidas e as datas relacionadas com o controlo interno da aplicação, incluindo informações sobre o estado de progresso da aplicação dessas medidas à data de elaboração do relatório, explicando, se for caso disso, se existe o risco de os prazos não serem respeitados,
iii)
as ferramentas a utilizar e a identificação da função responsável pela aplicação das medidas, especificando se essas ferramentas e funções são internas ou externas,
iv)
uma descrição do impacto das alterações previstas das medidas relativas aos recursos orçamentais, humanos e materiais da entidade financeira, incluindo os recursos dedicados à aplicação de eventuais medidas corretivas,
v)
informações sobre o processo de informação da autoridade competente, se for caso disso,
vi)
se as vulnerabilidades, deficiências ou lacunas identificadas não forem objeto de medidas corretivas, uma explicação pormenorizada dos critérios utilizados para analisar o impacto dessas vulnerabilidades, deficiências ou lacunas, bem como para avaliar o risco residual associado às TIC, e dos critérios utilizados para aceitar o risco residual conexo;
i)
Informações sobre os desenvolvimentos futuros previstos do quadro de gestão do risco associado às TIC;
j)
Conclusões decorrentes da revisão do quadro de gestão do risco associado às TIC;
k)
Informações sobre revisões anteriores, incluindo:
i)
uma lista das revisões anteriores até à data,
ii)
a situação relativa à aplicação das medidas corretivas identificadas no último relatório, se aplicável,
iii)
caso as medidas corretivas propostas em revisões anteriores se tenham revelado ineficazes ou tenham criado dificuldades imprevistas, uma descrição da forma como essas medidas corretivas podem ser melhoradas ou dessas dificuldades imprevistas;
l)
Fontes de informação utilizadas na elaboração do relatório, incluindo todos os elementos seguintes:
i)
no caso das entidades financeiras que não sejam microempresas a que se refere o artigo 6.o, n.o 6, do Regulamento (UE) 2022/2554, os resultados das auditorias internas,
ii)
os resultados das avaliações de conformidade,
iii)
os resultados dos testes de resiliência operacional digital e, se for caso disso, os resultados dos testes avançados, com base em testes de penetração baseados em ameaças (TLPT) às ferramentas, sistemas e processos de TIC,
iv)
fontes externas. Para efeitos da alínea c), caso a revisão tenha sido iniciada na sequência de instruções de supervisão ou de conclusões decorrentes de testes de resiliência operacional digital ou de processos de auditoria pertinentes, o relatório deve conter referências explícitas a essas instruções ou conclusões, de modo a permitir identificar o motivo para dar início à revisão. Caso a revisão tenha sido iniciada na sequência da ocorrência de incidentes relacionados com as TIC, o relatório deve incluir a lista de todos esses incidentes relacionados com as TIC, juntamente com uma análise das respetivas causas profundas. Para efeitos da alínea f), a descrição deve incluir uma análise do impacto das alterações na estratégia de resiliência operacional digital da entidade financeira, no quadro de controlo interno das TIC da entidade financeira e na governação da gestão do risco associado às TIC da entidade financeira. 1. Visão geral
1.1 Referências1.2 Requisitos identificados1.3 Normas relacionadas2. Requisitos identificados
3. Normas relacionadas
|