+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 7 Systémy, protokoly a nástroje IKT

S cieľom riešiť a riadiť IKT riziko finančné subjekty používajú a udržiavajú aktualizované systémy, protokoly a nástroje IKT, ktoré sú:
EULAW Článok 8 1

1.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty identifikujú, klasifikujú a primerane dokumentujú všetky obchodné funkcie, úlohy a povinnosti podporované IKT, informačné aktíva a IKT aktíva podporujúce uvedené funkcie a ich úlohy a závislosti vo vzťahu k IKT riziku. Finančné subjekty podľa potreby, najmenej však raz ročne, preskúmavajú primeranosť tejto klasifikácie a akejkoľvek relevantnej dokumentácie.
EULAW Článok 8 5

5.   Finančné subjekty identifikujú a zdokumentujú všetky procesy, ktoré sú závislé od externých poskytovateľov IKT služieb, a identifikujú vzájomné prepojenia s externými poskytovateľmi IKT služieb, ktorí poskytujú služby podporujúce kritické alebo dôležité funkcie.
EULAW Článok 8 6

6.   Na účely odsekov 1, 4 a 5 finančné subjekty vedú relevantné inventáre a aktualizujú ich pravidelne a vždy, keď dôjde k akejkoľvek významnej zmene uvedenej v odseku 3.
EULAW Článok 4 1.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiku riadenia IKT aktív.
EULAW Článok 4 2.

Politikou riadenia IKT aktív uvedenou v odseku 1 sa:

a) 

stanoví monitorovanie a riadenie životného cyklu IKT aktív identifikovaných a klasifikovaných v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554;

b) 

stanoví, aby finančný subjekt viedol záznamy o všetkých týchto prvkoch:

i) 

jedinečný identifikátor každého IKT aktíva;

ii) 

informácie o umiestnení – či už fyzickom alebo logickom – všetkých IKT aktív;

iii) 

klasifikácia všetkých IKT aktív uvedená v článku 8 ods. 1 nariadenia (EÚ) 2022/2254;

iv) 

totožnosť vlastníkov IKT aktív;

v) 

obchodné funkcie alebo služby podporované IKT aktívom;

vi) 

požiadavky na kontinuitu činností v oblasti IKT vrátane časových cieľov obnovy a cieľov bodu obnovy;

vii) 

či IKT aktívum môže byť alebo je vystavené externým sieťam vrátane internetu;

viii) 

prepojenia a vzájomné závislosti medzi IKT aktívami a obchodnými funkciami využívajúcimi každé IKT aktívum;

ix) 

v náležitých prípadoch v prípade všetkých IKT aktív dátumy ukončenia pravidelných, rozšírených a špecifických podporných služieb externého poskytovateľa IKT služieb, po ktorých ukončení už tieto IKT aktíva nie sú podporované ich dodávateľom alebo externým poskytovateľom IKT služieb;

c) 

stanoví v prípade finančných subjektov iných ako mikropodniky, že uvedené finančné subjekty musia viesť záznamy o informáciách potrebných na vykonávanie osobitného posudzovania IKT rizika všetkých pôvodných IKT systémov uvedených v článku 8 ods. 7 nariadenia (EÚ) 2022/2554.
EULAW Článok 5 1.
Finančné subjekty vypracujú, zdokumentujú a vykonávajú postup v prípade riadenia IKT aktív.
EULAW Článok 5 2.

V postupe riadenia IKT aktív uvedenom v odseku 1 sa stanovia kritériá na vykonávanie posudzovania kritickosti informačných aktív a IKT aktív podporujúcich obchodné funkcie. V uvedenom posúdení sa zohľadnia tieto aspekty:

a) 

IKT riziko súvisiace s uvedenými obchodnými funkciami a ich závislosti od informačných aktív alebo IKT aktív;

b) 

ako by strata dôvernosti, integrity a dostupnosti takýchto informačných aktív a IKT aktív ovplyvnila obchodné procesy a činnosti finančných subjektov.