|
+Článok 27 2. |
Článok 27 2.Finančné subjekty zahrnú do správy uvedenej v odseku 1 všetky tieto prvky:
a)
úvodný oddiel, v ktorom sa:
i)
jasne identifikuje finančný subjekt, ktorý je predmetom správy, a v prípade potreby opisuje jeho skupinová štruktúra;
ii)
opisuje kontext správy z hľadiska povahy, rozsahu a zložitosti služieb, činností a operácií finančného subjektu, jeho organizácie, identifikovaných kritických funkcií, stratégie, hlavných prebiehajúcich projektov alebo činností, vzťahov a jeho závislosť od interných a zmluvných IKT služieb a systémov, alebo dôsledkov, ktoré by mala celková strata alebo závažná degradácia takýchto systémov z hľadiska kritických alebo dôležitých funkcií a efektívnosti trhu;
iii)
sumarizujú významné zmeny v rámci riadenia IKT rizika od predloženia predchádzajúcej správy;
iv)
poskytuje sumárne zhrnutie súčasného a krátkodobého profilu IKT rizika, panorámy hrozieb, posúdenia účinnosti jeho kontrol a stavu kybernetickej bezpečnosti finančného subjektu;
b)
dátum schválenia správy riadiacim orgánom finančného subjektu;
c)
opis dôvodu preskúmania rámca riadenia IKT rizika v súlade s článkom 6 ods. 5 nariadenia (EÚ) 2022/2554;
d)
dátumy začiatku a konca obdobia preskúmania;
e)
uvedenie funkcie zodpovednej za preskúmanie;
f)
opis významných zmien a zlepšení rámca riadenia IKT rizika od predchádzajúceho preskúmania;
g)
zhrnutie zistení preskúmania a podrobná analýza a posúdenie závažnosti slabých stránok, nedostatkov a medzier v rámci riadenia IKT rizika počas obdobia preskúmania;
h)
opis opatrení na riešenie zistených slabých stránok, nedostatkov a medzier vrátane všetkých týchto prvkov:
i)
zhrnutie opatrení prijatých na nápravu zistených slabých stránok, nedostatkov a medzier;
ii)
očakávaný dátum vykonávania opatrení a dátumy súvisiace s vnútornou kontrolou vykonávania vrátane informácií o stave pokroku pri vykonávaní týchto opatrení k dátumu vypracovania správy, v prípade potreby s vysvetlením, či existuje riziko možného nedodržania lehôt;
iii)
nástroje, ktoré sa majú použiť, a identifikácia funkcie zodpovednej za vykonávanie opatrení, pričom sa podrobne uvedie, či sú nástroje a funkcie interné alebo externé;
iv)
opis vplyvu plánovaných zmien v opatreniach na rozpočtové, ľudské a materiálne zdroje finančného subjektu vrátane zdrojov určených na vykonávanie akýchkoľvek nápravných opatrení;
v)
informácie o postupe informovania príslušného orgánu, ak je to vhodné;
vi)
ak zistené slabé stránky, nedostatky alebo medzery nepodliehajú nápravným opatreniam, podrobné vysvetlenie kritérií použitých na analýzu vplyvu týchto slabých stránok, nedostatkov alebo medzier v snahe vyhodnotiť súvisiace zvyškové IKT riziko, ako aj kritérií použitých na akceptovanie súvisiaceho zvyškového rizika;
i)
informácie o plánovanom ďalšom vývoji rámca riadenia IKT rizika;
j)
závery, ktoré vyplývajú z preskúmania rámca riadenia IKT rizika;
k)
informácie o predchádzajúcich preskúmaniach vrátane týchto prvkov:
i)
zoznam doterajších preskúmaní;
ii)
v prípade potreby stav vykonávania nápravných opatrení identifikovaných v poslednej správe;
iii)
ak sa navrhované nápravné opatrenia v predchádzajúcich preskúmaniach ukázali ako neúčinné alebo priniesli neočakávané výzvy, opis spôsobu, akým by sa tieto nápravné opatrenia mohli zlepšiť, alebo opis týchto neočakávaných výziev;
l)
zdroje informácií použité pri príprave správy vrátane všetkých týchto informácií:
i)
v prípade finančných subjektov iných ako mikropodniky, ako sa uvádza v článku 6 ods. 6 nariadenia (EÚ) 2022/2554, výsledky vnútorných auditov;
ii)
výsledky posúdení súladu;
iii)
výsledky testovania digitálnej prevádzkovej odolnosti a prípadne výsledky pokročilého testovania vychádzajúceho z penetračného testovania na základe konkrétnej hrozby (TLPT), IKT nástrojov, systémov a procesov;
iv)
externé zdroje. Na účely písmena c), ak sa preskúmanie začalo v nadväznosti na pokyny orgánov dohľadu alebo na závery vyplývajúce z príslušného testovania digitálnej prevádzkovej odolnosti alebo audítorských procesov, správa musí obsahovať výslovné odkazy na takéto pokyny alebo závery, čo umožní identifikovať dôvod na začatie preskúmania. Ak sa preskúmanie začalo v nadväznosti na incidenty súvisiace s IKT, správa musí obsahovať zoznam všetkých incidentov súvisiacich s IKT a analýzu základných príčin jednotlivých incidentov. Na účely písmena f) opis musí obsahovať analýzu vplyvu zmien na stratégiu digitálnej prevádzkovej odolnosti finančného subjektu, na rámec vnútornej kontroly IKT finančného subjektu a na správu riadenia IKT rizika finančného subjektu. 1. Prehľad
1.1 Odkazy1.2 Identifikované požiadavky1.3 Súvisiace štandardy2. Identifikované požiadavky
3. Súvisiace štandardy
|