+Critical and Important Functions

Critical and Important Functions

Identify, classify and adequately document all critical and important functions. This process involves determining which functions are essential for the entity's operational stability and continuity. Review as needed, and at least yearly, the adequacy of this classification.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 6 1

1.   Finančné subjekty musia mať ako súčasť svojho celkového systému riadenia rizika zavedený spoľahlivý, komplexný a dobre zdokumentovaný rámec riadenia IKT rizika, ktorý im umožňuje riešiť IKT riziko rýchlo, efektívne a komplexne a zabezpečiť vysokú úroveň digitálnej prevádzkovej odolnosti.
EULAW Článok 6 2

2.   Rámec riadenia IKT rizika zahŕňa aspoň stratégie, politiky, postupy, IKT protokoly a nástroje, ktoré sú potrebné na riadnu a primeranú ochranu všetkých informačných aktív a IKT aktív vrátane počítačového softvéru, hardvéru, serverov, ako aj ochranu všetkých relevantných fyzických zložiek a infraštruktúr, ako sú priestory, dátové centrá a citlivé určené oblasti s cieľom zabezpečiť, aby boli všetky informačné aktíva a IKT aktíva primerane chránené pred rizikami vrátane poškodenia a neoprávneného prístupu či používania.
EULAW Článok 6 3

3.   Finančné subjekty v súlade so svojím rámcom riadenia IKT rizika minimalizujú vplyv IKT rizika zavedením vhodných stratégií, politík, postupov, IKT protokolov a nástrojov. Príslušným orgánom poskytujú na ich žiadosť úplné a aktualizované informácie o IKT riziku a o svojom rámci riadenia IKT rizika.
EULAW Článok 6 4

4.   Finančné subjekty iné než mikropodniky priradia zodpovednosť za riadenie IKT rizika a dozor nad ním kontrolnej funkcii a zabezpečia primeranú úroveň nezávislosti tejto kontrolnej funkcie, aby sa zabránilo konfliktom záujmov. Finančné subjekty zabezpečia primeranú segregáciu a nezávislosť riadiacich funkcií v oblasti IKT rizika, kontrolných funkcií a funkcií vnútorného auditu, a to na základe modelu troch línií obrany alebo na základe interného modelu riadenia rizík a kontroly.
EULAW Článok 6 5

5.   Rámec riadenia IKT rizika sa zdokumentuje a preskúma aspoň raz ročne, alebo pravidelne v prípade mikropodnikov, ako aj pri výskyte závažných incidentov súvisiacich s IKT, pričom sa riadi pokynmi alebo závermi dohľadu vyplývajúcimi z príslušných procesov testovania alebo auditu digitálnej prevádzkovej odolnosti. Na základe skúseností získaných pri vykonávaní a monitorovaní sa rámec neustále vylepšuje. Správa o preskúmaní rámca riadenia IKT rizika sa predkladá príslušnému orgánu na jeho žiadosť.
EULAW Článok 6 7

7.   Na základe záverov vnútorného audítorského preskúmania finančné subjekty zavedú formálny postup prijímania následných opatrení vrátane pravidiel včasného overovania a nápravy kritických zistení auditu IKT.
EULAW Článok 6 9

9.   Finančné subjekty môžu v súvislosti so stratégiou digitálnej prevádzkovej odolnosti uvedenou v odseku 8 vymedziť holistickú stratégiu viacerých dodávateľov IKT, a to na úrovni skupiny alebo subjekt, ktorá preukazuje kľúčové závislosti od externých poskytovateľov IKT služieb a vysvetľuje dôvody, na ktorých je založený príslušný obstarávací mix externých poskytovateľov služieb.
EULAW Článok 6 10

10.   Finančné subjekty môžu v súlade s právom Únie a vnútroštátnym odvetvovým právom zadať úlohy overovania súladu s požiadavkami na riadenie IKT rizika vnútroskupinovým alebo externým podnikom formou outsourcingu. V prípade takéhoto outsourcingu zostáva finančný subjekt plne zodpovedný za overovanie súladu s požiadavkami na riadenie IKT rizika.
EULAW Článok 8 1

1.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty identifikujú, klasifikujú a primerane dokumentujú všetky obchodné funkcie, úlohy a povinnosti podporované IKT, informačné aktíva a IKT aktíva podporujúce uvedené funkcie a ich úlohy a závislosti vo vzťahu k IKT riziku. Finančné subjekty podľa potreby, najmenej však raz ročne, preskúmavajú primeranosť tejto klasifikácie a akejkoľvek relevantnej dokumentácie.
EULAW Článok 9 1

1.   Na účely primeranej ochrany IKT systémov a s cieľom organizovať opatrenia v oblasti reakcie finančné subjekty nepretržite monitorujú a kontrolujú bezpečnosť a fungovanie IKT systémov a nástrojov a minimalizujú vplyv IKT rizika na IKT systémy tak, že zavedú vhodné nástroje, politiky a postupy v oblasti bezpečnosti IKT.
EULAW Článok 9 4

4.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty:

a)

vypracúvajú a zdokumentujú politiku v oblasti informačnej bezpečnosti, v ktorej sa vymedzujú pravidlá na ochranu dostupnosti, pravosti, integrity a dôvernosti údajov, informačných aktív a IKT aktív vrátane prípadných údajov a aktív ich zákazníkov;

b)

na základe prístupu založeného na riziku zavedú spoľahlivé riadenie siete a infraštruktúry pomocou vhodných techník, metód a protokolov, ktoré môžu zahŕňať zavedenie automatizovaných mechanizmov na izolovanie dotknutých informačných aktív v prípade kybernetických útokov;

c)

vykonávajú politiky, ktoré obmedzujú fyzický alebo logický prístup k informačným aktívam a IKT aktívam len na to, čo je nevyhnutné pre legitímne a schválené funkcie a činnosti, a na tento účel zavedú súbor politík, postupov a kontrol, ktoré sa zaoberajú oprávneniami na prístup a zabezpečujú ich riadnu správu;

d)

vykonávajú politiky a protokoly pre silné mechanizmy autentifikácie založené na príslušných normách a špecializovaných kontrolných systémoch, ako aj ochranné opatrenia v podobe šifrovacích kľúčov, pričom údaje sú šifrované na základe výsledkov schválenej klasifikácie údajov a procesov posudzovania IKT rizika;

e)

vykonávajú zdokumentované politiky, postupy a kontroly riadenia zmien IKT vrátane zmien komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, ktoré sú založené na prístupe posudzovania rizík a sú neoddeliteľnou súčasťou celkového procesu riadenia zmien finančného subjektu s cieľom zabezpečiť, aby sa všetky zmeny IKT systémov zaznamenávali, testovali, posudzovali, schvaľovali, vykonávali a overovali kontrolovaným spôsobom;

f)

majú vhodné a komplexné zdokumentované politiky týkajúce sa opráv a aktualizácií.

Na účely prvého pododseku písm. b) finančné subjekty navrhnú infraštruktúru sieťového pripojenia tak, aby umožňovala jej okamžité odpojenie alebo segmentáciu s cieľom minimalizovať šírenie nákazy a predchádzať mu, a to najmä v prípade vzájomne prepojených finančných procesov.

Proces riadenia zmien IKT na účely prvého pododseku písm. e) schvaľujú príslušné riadiace línie, ktoré majú zavedené osobitné protokoly.
EULAW Článok 11 1

1.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 a na základe požiadaviek na identifikáciu stanovených v článku 8 zavedú komplexnú politiku kontinuity činností v oblasti IKT, ktorá môže byť prijatá ako osobitná, špecifická politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu.
EULAW Článok 11 3

3.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 vykonávajú súvisiace plány reakcie a obnovy v oblasti IKT, ktoré v prípade finančných subjektov iných než mikropodnikov podliehajú nezávislému vnútornému audítorskému preskúmaniu.
EULAW Článok 11 6

6.   Finančné subjekty v rámci svojho komplexného riadenia IKT rizika:

a)

testujú plány kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT vo vzťahu k IKT systémom podporujúcim všetky funkcie aspoň raz ročne, ako aj v prípade akýchkoľvek podstatných zmien IKT systémov podporujúcich kritické alebo dôležité funkcie;

b)

testujú plány krízovej komunikácie vypracované v súlade s článkom 14.

Na účely prvého pododseku písm. a) finančné subjekty iné než mikropodniky zahrnú do testovacích plánov scenáre kybernetických útokov a prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami potrebnými na splnenie povinností stanovených v článku 12.

Finančné subjekty pravidelne preskúmavajú svoju politiku kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT, pričom zohľadňujú výsledky testov vykonaných v súlade s prvým pododsekom a odporúčania vyplývajúce z audítorských kontrol alebo preskúmaní orgánmi dohľadu.
EULAW Článok 12 1

1.   Na účely zabezpečenia reštaurovania IKT systémov a údajov s minimálnym výpadkom, obmedzeným narušením a stratami finančné subjekty v rámci ich riadenia IKT rizika vypracujú a zdokumentujú:

a)

politiky a postupy zálohovania, v ktorých sa špecifikuje rozsah údajov, ktoré sú predmetom zálohovania, a minimálna frekvencia zálohovania na základe kritickosti informácií alebo úrovne dôvernosti údajov;

b)

postupy a metódy reštaurovania a obnovy.
EULAW Článok 12 2

2.   Finančné subjekty zriadia záložné systémy, ktoré možno aktivovať v súlade s politikami a postupmi zálohovania, ako aj postupmi a metódami reštaurovania a obnovy. Aktivácia záložných systémov nesmie ohroziť bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov. Pravidelne sa vykonáva testovanie postupov zálohovania a postupov a metód reštaurovania a obnovy.
EULAW Článok 12 3

3.   Pri reštaurovaní záložných údajov pomocou vlastných systémov finančné subjekty používajú IKT systémy, ktoré sú fyzicky a logicky oddelené od zdrojového IKT systému. IKT systémy musia byť bezpečne chránené pred akýmkoľvek neoprávneným prístupom alebo poškodením IKT a podľa potreby umožňujú včasné reštaurovanie služieb využívajúcich údaje a zálohy systému.

V prípade centrálnych protistrán musia plány obnovy umožňovať obnovu všetkých transakcií v čase narušenia, aby centrálna protistrana mohla naďalej fungovať s istotou a aby vyrovnanie dokončila k plánovanému dátumu.

Poskytovatelia služieb vykazovania údajov okrem toho udržiavajú primerané zdroje a majú zavedené záložné zariadenia a zariadenia na reštaurovanie s cieľom neustále ponúkať a udržiavať svoje služby.
EULAW Článok 13 3

3.   Poznatky získané z testovania digitálnej prevádzkovej odolnosti, ktoré sa vykonalo v súlade s článkami 26 a 27, a z reálnych incidentov súvisiacich s IKT, najmä kybernetických útokov, spolu s výzvami, ktorým sa čelilo po aktivácii plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT spolu s príslušnými informáciami vymieňanými s protistranami a posudzovanými počas preskúmaní orgánmi dohľadu, sa náležite a nepretržite začleňujú do procesu posudzovania IKT rizika. Uvedené zistenia sa premietnu do vhodných preskúmaní príslušných zložiek rámca riadenia IKT rizika uvedeného v článku 6 ods. 1.
EULAW Článok 13 5

5.   Vedúci pracovníci v oblasti IKT podávajú aspoň raz ročne riadiacemu orgánu správu o zisteniach uvedených v odseku 3 a predkladajú odporúčania.
EULAW Článok 13 7

7.   Finančné subjekty iné ako mikropodniky priebežne monitorujú príslušný technologický vývoj, a to aj s cieľom pochopiť možné vplyvy zavádzania takýchto nových technológií na bezpečnostné požiadavky v oblasti IKT a digitálnu prevádzkovú odolnosť. Musia držať krok s najnovšími procesmi riadenia IKT rizika s cieľom účinne bojovať proti súčasným alebo novým formám kybernetických útokov.
EULAW Článok 14 2

2.   Finančné subjekty vykonávajú ako súčasť rámca riadenia IKT rizika komunikačné politiky pre interných zamestnancov a externé zainteresované strany. V komunikačných politikách pre zamestnancov sa zohľadňuje potreba rozlišovať medzi zamestnancami, ktorí sú zapojení do riadenia IKT rizika, najmä pokiaľ ide o zamestnancov zodpovedných za reakciu a obnovu, a zamestnancami, ktorí musia byť informovaní.
EULAW Článok 24 1

1.   Na účely posúdenia pripravenosti riešiť incidenty súvisiace s IKT, identifikácie slabých miest, nedostatkov a medzier v digitálnej prevádzkovej odolnosti a urýchleného vykonania nápravných opatrení finančné subjekty iné ako mikropodniky zriadia, udržiavajú a preskúmavajú spoľahlivý a komplexný program testovania digitálnej prevádzkovej odolnosti ako integrálnu súčasť rámca riadenia IKT rizika uvedeného v článku 6, pričom zohľadňujú kritériá stanovené v článku 4 ods. 2.
EULAW Článok 28 2

2.   Finančné subjekty iné ako subjekty uvedené v článku 16 ods. 1 prvom pododseku a iné ako mikropodniky prijmú a pravidelne preskúmavajú stratégiu týkajúcu sa externého IKT rizika ako súčasť svojho rámca riadenia IKT rizika, pričom v náležitých prípadoch zohľadnia stratégiu viacerých dodávateľov uvedenú v článku 6 ods. 9 Stratégia týkajúca sa externého IKT rizika zahŕňa politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie poskytované externými poskytovateľmi IKT služieb a uplatňuje sa na individuálnom, a v relevantných prípadoch na subkonsolidovanom a konsolidovanom základe. Riadiaci orgán na základe posúdenia celkového rizikového profilu finančného subjektu a rozsahu a zložitosti obchodných služieb pravidelne preskúmava riziká identifikované v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie.
EULAW Článok 28 3

3.   Finančné subjekty ako súčasť svojho rámca riadenia IKT rizika vedú a aktualizujú na úrovni subjektu, ako aj na subkonsolidovanej a konsolidovanej úrovni register informácií v súvislosti so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb.

Zmluvné dojednania uvedené v prvom pododseku musia byť náležite zdokumentované, pričom sa rozlišuje medzi tými, ktoré sa vzťahujú na IKT služby podporujúce kritické alebo dôležité funkcie, a tými, ktoré sa na ne nevzťahujú.

Finančné subjekty aspoň raz ročne nahlasujú príslušným orgánom počet nových dojednaní o využívaní IKT služieb, kategórie externých poskytovateľov IKT služieb, druh zmluvných dojednaní a poskytované IKT služby a funkcie.

Finančné subjekty sprístupnia príslušnému orgánu na jeho žiadosť úplný register informácií alebo na požiadanie jeho konkrétne oddiely spolu so všetkými informáciami, ktoré sa považujú za potrebné na umožnenie účinného dohľadu nad finančným subjektom.

Finančné subjekty včas informujú príslušný orgán o každom plánovanom zmluvnom dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj o tom, kedy sa funkcia stala kritickou alebo dôležitou.
EULAW Článok 1 Celkový rizikový profil a zložitosť

Článok 1

Celkový rizikový profil a zložitosť

Pri vypracúvaní a vykonávaní politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v hlave II a zjednodušeného rámca riadenia IKT rizika uvedeného v hlave III sa zohľadňuje veľkosť a celkový rizikový profil finančného subjektu, ako aj povaha, rozsah a prvky zvýšenej alebo zníženej zložitosti jeho služieb, činností a operácií vrátane prvkov týkajúcich sa:

a) 

šifrovania a kryptografie;

b) 

bezpečnosti operácií IKT;

c) 

bezpečnosti siete;

d) 

riadenia IKT projektu a zmien;

e) 

potenciálneho vplyvu IKT rizika na dôvernosť, integritu a dostupnosť údajov, ako aj narušení na kontinuitu a dostupnosť činností finančného subjektu.
EULAW Článok 2 1.

Finančné subjekty zabezpečia, aby ich politiky v oblasti bezpečnosti IKT, informačná bezpečnosť a súvisiace postupy, protokoly a nástroje uvedené v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 boli začlenené do ich rámca riadenia IKT rizika. Finančné subjekty zavedú politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT stanovené v tejto kapitole, ktoré:

a) 

zaistia bezpečnosť sietí;

b) 

obsahujú ochranné opatrenia proti vniknutiam a zneužitiu údajov;

c) 

zachovávajú dostupnosť, pravosť, integritu a dôvernosť údajov, a to aj prostredníctvom kryptografických techník;

d) 

zaručia presný a urýchlený prenos údajov bez závažných narušení a zbytočných prieťahov.
EULAW Článok 2 2.

Finančné subjekty zabezpečia, aby politiky v oblasti bezpečnosti IKT uvedené v odseku 1:

a) 

boli zosúladené s cieľmi informačnej bezpečnosti finančného subjektu zahrnutými do stratégie digitálnej prevádzkovej odolnosti uvedenej v článku 6 ods. 8 nariadenia (EÚ) 2022/2554;

b) 

obsahovali dátum, kedy riadiaci orgán formálne schválil politiky v oblasti bezpečnosti IKT;

c) 

obsahovali ukazovatele a opatrenia s cieľom:

i) 

monitorovať vykonávanie politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT;

ii) 

zaznamenávať výnimky z tohto vykonávania;

iii) 

zaistiť, aby bola zabezpečená digitálna prevádzková odolnosť finančného subjektu v prípade výnimiek uvedených v bode ii);

d) 

stanovovali povinnosti zamestnancov na všetkých úrovniach, aby sa zaistila bezpečnosť IKT finančného subjektu;

e) 

bližšie určovali dôsledky nedodržiavania politík v oblasti bezpečnosti IKT zo strany zamestnancov finančného subjektu, ak ustanovenia na tento účel nie sú stanovené v iných politikách finančného subjektu;

f) 

obsahovali zoznam dokumentácie, ktorá sa má viesť;

g) 

bližšie určovali opatrenia na segregáciu povinností v kontexte modelu troch línií obrany alebo prípadne iného interného modelu riadenia a kontroly rizík s cieľom zabrániť konfliktom záujmov;

h) 

zohľadňovali popredné postupy a prípadne normy v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) č. 1025/2012;

i) 

identifikovali úlohy a zodpovednosti za vypracovanie, vykonávanie a udržiavanie politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT;

j) 

boli predmetom preskúmania v súlade s článkom 6 ods. 5 nariadenia (EÚ) 2022/2554;

k) 

zohľadňovali závažné zmeny týkajúce sa finančného subjektu vrátane závažných zmien činností alebo postupov finančného subjektu, panorámy kybernetických hrozieb alebo uplatniteľných právnych povinností.
EULAW Článok 3 Riadenie IKT rizika

Článok 3

Riadenie IKT rizika

Finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy riadenia IKT rizika, ktoré obsahujú všetky tieto prvky:

a) 

údaj o schválení úrovne tolerancie rizika v prípade IKT rizika stanoveného v súlade s článkom 6 ods. 8 písm. b) nariadenia (EÚ) 2022/2554;

b) 

postup a metodiku na vykonávanie posudzovania IKT rizika, v ktorých sa identifikujú:

i) 

zraniteľné miesta a hrozby, ktoré ovplyvňujú alebo môžu ovplyvniť podporované obchodné funkcie, IKT systémy a IKT aktíva podporujúce uvedené funkcie;

ii) 

kvantitatívne alebo kvalitatívne ukazovatele na meranie vplyvu a pravdepodobnosti zraniteľných miest a hrozieb uvedených v bode i);

c) 

postup identifikácie, vykonávania a dokumentácie opatrení na riešenie IKT rizika v prípade identifikovaných a posudzovaných IKT rizík vrátane určenia opatrení na riešenie IKT rizika, ktoré sú potrebné na to, aby sa IKT riziko dostalo do úrovne tolerancie rizika uvedenej v písmene a);

d) 

v prípade zvyškových IKT rizík, ktoré sú stále prítomné po vykonaní opatrení na riešenie IKT rizika uvedených v písmene c):

i) 

ustanovenia o identifikácii uvedených zvyškových IKT rizík;

ii) 

pridelenie úloh a zodpovedností, pokiaľ ide o:

1. 

akceptovanie zvyškových IKT rizík, ktoré prekračujú úroveň tolerancie voči riziku finančného subjektu uvedenú v písmene a);

2. 

postup preskúmania uvedený v bode iv) tohto písmena d);

iii) 

vypracovanie zoznamu akceptovaných zvyškových IKT rizík vrátane uvedenia dôvodu, prečo boli akceptované;

iv) 

ustanovenia o preskúmaní akceptovaných zvyškových IKT rizík aspoň raz ročne vrátane:

1. 

identifikácie všetkých zmien zvyškových IKT rizík;

2. 

posúdenia dostupných zmierňujúcich opatrení;

3. 

posúdenia toho, či sú dôvody na akceptovanie zvyškových IKT rizík stále platné a uplatniteľné k dátumu preskúmania;

e) 

ustanovenia o monitorovaní:

i) 

všetkých zmien panorámy hrozieb IKT rizika a kybernetických hrozieb;

ii) 

vnútorných a vonkajších zraniteľných miest a hrozieb;

iii) 

IKT rizika finančného subjektu, ktoré umožňuje rýchle odhalenie zmien, ktoré by mohli ovplyvniť jeho profil IKT rizika;

f) 

ustanovenia o postupe na zabezpečenie toho, aby sa zohľadnili všetky zmeny obchodnej stratégie a stratégie digitálnej prevádzkovej odolnosti finančného subjektu.

Na účely prvého odseku písm. c) sa postupom uvedeným v uvedenom písmene zabezpečí:

a) 

monitorovanie účinnosti zavedených opatrení na riešenie IKT rizika;

b) 

posúdenie toho, či sa dosiahli stanovené úrovne tolerancie rizika finančného subjektu;

c) 

posúdenie toho, či finančný subjekt v prípade potreby prijal opatrenia na nápravu alebo zlepšenie týchto opatrení.
EULAW Článok 8 1.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy s cieľom riadiť operácie IKT. V týchto politikách a postupoch sa stanoví, ako finančné subjekty prevádzkujú, monitorujú, kontrolujú a obnovujú svoje IKT aktíva vrátane dokumentácie operácií IKT.
EULAW Článok 8 2.

Politiky a postupy v prípade operácií IKT uvedené v odseku 1 obsahujú všetky tieto prvky:

a) 

opis IKT aktív vrátane všetkých týchto prvkov:

i) 

požiadavky týkajúce sa bezpečnej inštalácie, údržby, konfigurácie a deinštalácie IKT systému;

ii) 

požiadavky týkajúce sa riadenia informačných aktív používaných IKT aktívami vrátane ich automatizovaného aj manuálneho spracovania a riešenia;

iii) 

požiadavky týkajúce sa identifikácie a kontroly pôvodných IKT systémov;

b) 

kontrola a monitorovanie IKT systémov vrátane všetkých týchto prvkov:

i) 

zálohovanie a obnova požiadaviek na IKT systémy;

ii) 

požiadavky na plánovanie, pričom sa zohľadňujú vzájomné závislosti medzi IKT systémami;

iii) 

protokoly v prípade informácií o audítorskom zázname a systéme vedenia záznamov;

iv) 

požiadavky na zabezpečenie toho, aby sa vykonávaním vnútorného auditu a iného testovania minimalizovalo narušenie obchodných operácií;

v) 

požiadavky na oddelenie produkčných prostredí IKT od prostredí, v ktorých sa systémy IKT vyvíjajú a testujú, alebo od iných neprodukčných prostredí;

vi) 

požiadavky na vykonávanie vývoja a testovania v prostrediach, ktoré sú oddelené od produkčného prostredia;

vii) 

požiadavky na vykonávanie vývoja a testovania v produkčných prostrediach;

c) 

riešenie chýb týkajúce sa IKT systémov vrátane všetkých týchto prvkov:

i) 

postupy a protokoly na riešenie chýb;

ii) 

kontaktné osoby na vykonanie podpory a riešenie eskalácie vrátane kontaktných osôb externej podpory v prípade neočakávaných operačných alebo technických problémov;

iii) 

postupy reštartovania, návratu do pôvodného stavu a obnovy IKT systémov, ktoré sa majú použiť v prípade narušenia IKT systémov.

Na účely písmena b) bodu v) sa pri oddelení zohľadňujú všetky zložky daného prostredia vrátane účtov, údajov alebo pripojení, ako sa vyžaduje v článku 13 ods. 1 písm. a).

Na účely písmena b) bodu vii) sa v politikách a postupoch uvedených v odseku 1 stanoví, že prípady, v ktorých sa testovanie vykonáva v produkčnom prostredí, sú jasne identifikované, odôvodnené, majú obmedzené časové trvanie a sú schválené príslušnou funkciou v súlade s článkom 16 ods. 6 Finančné subjekty zabezpečia dostupnosť, dôvernosť, integritu a pravosť IKT systémov a produkčných údajov počas vývojových a testovacích činností v produkčnom prostredí.