+Reliance Third-Party Assurance and Certifications

Reliance Third-Party Assurance and Certifications

Use, where appropriate, third-party certifications, third-party or internal audit reports made available by the ICT third-party service provider, or own audit reports to confirm adherence of contractual requirements on information access, inspection, audit, and ICT testing with the third-party. Rely on third-party certifications and audit reports from ICT third-party service providers only if the following specific conditions are met: the audit plan is aligned with contractual arrangements, the audit scope is comprehensive and covers identified systems and key controls, ongoing assessment of certification/report content are performed and validated, key systems and controls are covered in future versions of the certification or audit report, there is confidence in the certifying/auditing party's capabilities, certifications/audits adhere to recognized professional standards, the right to request scope expansion is covered in the contract, and right to perform discretionary audits is retained.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 6 6

6.   Rámec riadenia IKT rizika finančných subjektov iných ako mikropodnikov podlieha pravidelnému vnútornému auditu vykonávanému audítormi v súlade s plánom auditu finančných subjektov. Títo audítori musia mať dostatočné znalosti, zručnosti a odborné znalosti v oblasti IKT rizika, ako aj primeranú nezávislosť. Frekvencia a zameranie auditov IKT musia zodpovedať IKT riziku daného finančného subjektu.
EULAW Článok 11 3

3.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 vykonávajú súvisiace plány reakcie a obnovy v oblasti IKT, ktoré v prípade finančných subjektov iných než mikropodnikov podliehajú nezávislému vnútornému audítorskému preskúmaniu.
EULAW Článok 13 7

7.   Finančné subjekty iné ako mikropodniky priebežne monitorujú príslušný technologický vývoj, a to aj s cieľom pochopiť možné vplyvy zavádzania takýchto nových technológií na bezpečnostné požiadavky v oblasti IKT a digitálnu prevádzkovú odolnosť. Musia držať krok s najnovšími procesmi riadenia IKT rizika s cieľom účinne bojovať proti súčasným alebo novým formám kybernetických útokov.
EULAW Článok 28 6

6.   Pri vykonávaní práv na prístup, inšpekciu a audit, pokiaľ ide o externého poskytovateľa IKT služieb, finančné subjekty na základe prístupu založeného na riziku vopred určia frekvenciu auditov a inšpekcií, ako aj oblasti, v ktorých sa má audit vykonať dodržiavaním všeobecne akceptovaných audítorských štandardov v súlade s akýmikoľvek pokynmi orgánov dohľadu o používaní a začlenení týchto audítorských štandardov.

V prípade, že zmluvné dojednania o využívaní IKT služieb uzatvorené s externými poskytovateľmi IKT služieb so sebou prinášajú vysokú technickú zložitosť, finančný subjekt overí, či audítori, a to interní alebo externí, alebo združenie audítorov, majú primerané zručnosti a znalosti na účinné vykonávanie príslušných auditov a posúdení.