+Secțiunea 2
---+Articolul 3 Gestionarea riscurilor TIC

Secțiunea 2

Secțiunea 2

1. Prezentare generală

,
Articolul 3 Gestionarea riscurilor TIC

Articolul 3

Gestionarea riscurilor TIC

Entitățile financiare elaborează, documentează și pun în aplicare politici și proceduri de gestionare a riscurilor TIC care conțin toate elementele următoare:

(a) 

o indicație a aprobării nivelului de toleranță la risc pentru riscurile TIC stabilit în conformitate cu articolul 6 alineatul (8) litera (b) din Regulamentul (UE) 2022/2554;

(b) 

o procedură și o metodologie de efectuare a evaluării riscurilor TIC, care identifică

(i) 

vulnerabilitățile și amenințările care afectează sau pot afecta funcțiile operaționale sprijinite, sistemele TIC și activele TIC care sprijină funcțiile respective;

(ii) 

indicatorii cantitativi sau calitativi pentru a măsura impactul și probabilitatea apariției vulnerabilităților și amenințărilor menționate la punctul (i);

(c) 

procedura de identificare, punere în aplicare și documentare a măsurilor de tratare a riscurilor TIC pentru riscurile TIC identificate și evaluate, inclusiv stabilirea măsurilor de tratare a riscurilor TIC necesare pentru a aduce riscurile TIC la nivelul de toleranță la risc menționat la litera (a);

(d) 

pentru riscurile TIC reziduale care sunt încă prezente în urma punerii în aplicare a măsurilor de tratare a riscurilor TIC menționate la litera (c):

(i) 

dispoziții privind identificarea acestor riscuri TIC reziduale;

(ii) 

atribuirea rolurilor și a responsabilităților în ceea ce privește:

1. 

acceptarea riscurilor TIC reziduale care depășesc nivelul de toleranță la risc al entității financiare menționat la litera (a);

2. 

procesul de revizuire menționat la punctul (iv) de la prezenta literă (d);

(iii) 

elaborarea unui inventar al riscurilor TIC reziduale acceptate, inclusiv o justificare a acceptării acestora;

(iv) 

dispoziții privind revizuirea riscurilor TIC reziduale acceptate cel puțin o dată pe an, inclusiv:

1. 

identificarea oricăror modificări ale riscurilor TIC reziduale;

2. 

evaluarea măsurilor de atenuare disponibile;

3. 

evaluarea măsurii în care motivele care justifică acceptarea riscurilor TIC reziduale sunt încă valabile și aplicabile la data revizuirii;

(e) 

dispoziții privind monitorizarea:

(i) 

oricărei modificări a peisajului riscurilor TIC și amenințărilor cibernetice;

(ii) 

vulnerabilităților și amenințărilor interne și externe;

(iii) 

riscului TIC al entității financiare care permite detectarea promptă a modificărilor care ar putea afecta profilul său de risc TIC;

(f) 

dispoziții privind un proces prin care să se asigure că se ține seama de orice modificare a strategiei de afaceri și a strategiei privind reziliența operațională digitală a entității financiare.

În sensul primului paragraf litera (c), procedura menționată la litera respectivă asigură:

(a) 

monitorizarea eficacității măsurilor de tratare a riscurilor TIC care au fost puse în aplicare;

(b) 

evaluarea măsurii în care au fost atinse nivelurile de toleranță la risc stabilite pentru entitatea financiară;

(c) 

evaluarea măsurii în care entitatea financiară a întreprins acțiuni pentru a corecta sau a îmbunătăți măsurile respective, după caz.

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

Cerințe

3. Standarde asociate

Standarde