+Change Procedures

Change Procedures

Ensure that all changes to software, hardware, firmware components, and systems, along with security parameters, are appropriately placed and scoped. Document and communicate change details, including the purpose and scope of the change, the implementation timeline, and expected outcomes. Define clear roles and responsibilities to ensure that changes are defined, planned, transitioned, tested, and finalized in a controlled manner. Additionally, establish effective quality assurance procedures. Implement mechanisms to maintain independence between the functions that approve changes and those responsible for requesting and implementing them.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 8 1.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy s cieľom riadiť operácie IKT. V týchto politikách a postupoch sa stanoví, ako finančné subjekty prevádzkujú, monitorujú, kontrolujú a obnovujú svoje IKT aktíva vrátane dokumentácie operácií IKT.
EULAW Článok 8 2.

Politiky a postupy v prípade operácií IKT uvedené v odseku 1 obsahujú všetky tieto prvky:

a) 

opis IKT aktív vrátane všetkých týchto prvkov:

i) 

požiadavky týkajúce sa bezpečnej inštalácie, údržby, konfigurácie a deinštalácie IKT systému;

ii) 

požiadavky týkajúce sa riadenia informačných aktív používaných IKT aktívami vrátane ich automatizovaného aj manuálneho spracovania a riešenia;

iii) 

požiadavky týkajúce sa identifikácie a kontroly pôvodných IKT systémov;

b) 

kontrola a monitorovanie IKT systémov vrátane všetkých týchto prvkov:

i) 

zálohovanie a obnova požiadaviek na IKT systémy;

ii) 

požiadavky na plánovanie, pričom sa zohľadňujú vzájomné závislosti medzi IKT systémami;

iii) 

protokoly v prípade informácií o audítorskom zázname a systéme vedenia záznamov;

iv) 

požiadavky na zabezpečenie toho, aby sa vykonávaním vnútorného auditu a iného testovania minimalizovalo narušenie obchodných operácií;

v) 

požiadavky na oddelenie produkčných prostredí IKT od prostredí, v ktorých sa systémy IKT vyvíjajú a testujú, alebo od iných neprodukčných prostredí;

vi) 

požiadavky na vykonávanie vývoja a testovania v prostrediach, ktoré sú oddelené od produkčného prostredia;

vii) 

požiadavky na vykonávanie vývoja a testovania v produkčných prostrediach;

c) 

riešenie chýb týkajúce sa IKT systémov vrátane všetkých týchto prvkov:

i) 

postupy a protokoly na riešenie chýb;

ii) 

kontaktné osoby na vykonanie podpory a riešenie eskalácie vrátane kontaktných osôb externej podpory v prípade neočakávaných operačných alebo technických problémov;

iii) 

postupy reštartovania, návratu do pôvodného stavu a obnovy IKT systémov, ktoré sa majú použiť v prípade narušenia IKT systémov.

Na účely písmena b) bodu v) sa pri oddelení zohľadňujú všetky zložky daného prostredia vrátane účtov, údajov alebo pripojení, ako sa vyžaduje v článku 13 ods. 1 písm. a).

Na účely písmena b) bodu vii) sa v politikách a postupoch uvedených v odseku 1 stanoví, že prípady, v ktorých sa testovanie vykonáva v produkčnom prostredí, sú jasne identifikované, odôvodnené, majú obmedzené časové trvanie a sú schválené príslušnou funkciou v súlade s článkom 16 ods. 6 Finančné subjekty zabezpečia dostupnosť, dôvernosť, integritu a pravosť IKT systémov a produkčných údajov počas vývojových a testovacích činností v produkčnom prostredí.
EULAW Článok 17 1.

Ako súčasť záruk na zachovanie dostupnosti, pravosti, integrity a dôvernosti údajov finančné subjekty zahrnú do postupov riadenia zmien IKT uvedených v článku 9 ods. 4 písm. e) nariadenia (EÚ) 2022/2554, pokiaľ ide o všetky zmeny komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, všetky tieto prvky:

a) 

overenie toho, či boli splnené bezpečnostné požiadavky v oblasti IKT;

b) 

mechanizmy na zabezpečenie nezávislosti funkcií, ktoré schvaľujú zmeny, ako aj funkcií, ktoré sú zodpovedné za podávanie žiadostí o uvedené zmeny a ich vykonávanie;

c) 

jasný opis úloh a povinností s cieľom zabezpečiť, aby:

i) 

zmeny boli bližšie stanovené a plánované;

ii) 

bolo navrhnuté primerané prechodné obdobie;

iii) 

zmeny boli otestované a sfinalizované kontrolovane;

iv) 

existovalo účinné zabezpečenie kvality;

d) 

dokumentácia a nahlasovanie podrobností o zmene vrátane:

i) 

účelu a rozsahu zmeny;

ii) 

časového rámca vykonávania zmeny;

iii) 

očakávaného výsledku;

e) 

identifikácia núdzových postupov a zodpovedností vrátane postupov a zodpovedností za zrušenie zmien alebo obnovenie stavu pred zmenami, ktoré neboli úspešne vykonané;

f) 

postupy, protokoly a nástroje na riadenie núdzových zmien, ktoré poskytujú primerané záruky;

g) 

postupy na dokumentovanie, prehodnotenie, posudzovanie a schvaľovanie núdzových zmien po ich vykonaní vrátane dočasných riešení a bezpečnostných záplat;

h) 

identifikácia potenciálneho vplyvu zmeny na existujúce bezpečnostné opatrenia v oblasti IKT a posúdenie toho, či si takáto zmena vyžaduje prijatie dodatočných bezpečnostných opatrení v oblasti IKT.
EULAW Článok 17 2.
Po významných zmenách vo svojich IKT systémoch centrálne protistrany a centrálne depozitáre cenných papierov podrobia svoje IKT systémy prísnemu testovaniu formou simulácie stresových podmienok.

Centrálne protistrany v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

zúčtovacích členov a klientov;

b) 

interoperabilné centrálne protistrany;

c) 

iné zainteresované strany.

Centrálne depozitáre cenných papierov v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

užívateľov;

b) 

poskytovateľov kritických sieťových odvetví a kritických služieb;

c) 

iné centrálne depozitáre cenných papierov;

d) 

iné trhové infraštruktúry;

e) 

akékoľvek iné inštitúcie, v súvislosti s ktorými centrálne depozitáre cenných papierov identifikovali vo svojej politike kontinuity činností v oblasti IKT vzájomné závislosti.