+Record Keeping

Record Keeping

Keep detailed records of activities conducted before, during, and after disruptions, including actions taken and outcomes. Maintain an estimation of aggregated annual costs and losses resulting from major disruptions. This information shall be reported to the regulator upon their request.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 11 1

1.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 a na základe požiadaviek na identifikáciu stanovených v článku 8 zavedú komplexnú politiku kontinuity činností v oblasti IKT, ktorá môže byť prijatá ako osobitná, špecifická politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu.
EULAW Článok 11 6

6.   Finančné subjekty v rámci svojho komplexného riadenia IKT rizika:

a)

testujú plány kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT vo vzťahu k IKT systémom podporujúcim všetky funkcie aspoň raz ročne, ako aj v prípade akýchkoľvek podstatných zmien IKT systémov podporujúcich kritické alebo dôležité funkcie;

b)

testujú plány krízovej komunikácie vypracované v súlade s článkom 14.

Na účely prvého pododseku písm. a) finančné subjekty iné než mikropodniky zahrnú do testovacích plánov scenáre kybernetických útokov a prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami potrebnými na splnenie povinností stanovených v článku 12.

Finančné subjekty pravidelne preskúmavajú svoju politiku kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT, pričom zohľadňujú výsledky testov vykonaných v súlade s prvým pododsekom a odporúčania vyplývajúce z audítorských kontrol alebo preskúmaní orgánmi dohľadu.
EULAW Článok 11 2

2.   Finančné subjekty vykonávajú politiku kontinuity činností v oblasti IKT prostredníctvom špecializovaných, primeraných a zdokumentovaných opatrení, plánov, postupov a mechanizmov zameraných na:

a)

zabezpečenie kontinuity kritických alebo dôležitých funkcií finančného subjektu;

b)

rýchlu, primeranú a účinnú reakciu na všetky incidenty súvisiace s IKT a ich riešenie,, a to spôsobom, ktorý obmedzuje škody a uprednostňuje obnovenie činností a opatrenia zamerané na obnovu;

c)

bezodkladnú aktiváciu špecializovaných plánov, ktoré umožňujú uplatniť opatrenia, procesy a technológie na zamedzenie šírenia vhodné pre každý typ incidentu súvisiaceho s IKT, a predchádzanie ďalším škodám, ako aj prispôsobené postupy reakcie a obnovy stanovené v súlade s článkom 12;

d)

odhad predbežných vplyvov, škôd a strát;

e)

stanovenie opatrení v oblasti komunikácie a krízového riadenia, ktorými sa zabezpečí, aby sa aktualizované informácie zasielali všetkým príslušným interným zamestnancom a externým zainteresovaným stranám v súlade s článkom 14 a aby sa o nich podávali správy príslušným orgánom v súlade s článkom 19.
EULAW Článok 11 4

4.   Finančné subjekty zavedú, udržiavajú a pravidelne testujú príslušné plány kontinuity činností v oblasti IKT, najmä pokiaľ ide o kritické alebo dôležité funkcie zabezpečované formou outsourcingu alebo zmluvne dohodnuté v rámci dojednaní s externými poskytovateľmi IKT služieb.
EULAW Článok 11 5

5.   V rámci celkovej politiky kontinuity činností finančné subjekty vykonávajú analýzu vplyvu na svoje činnosti (ďalej len „BIA“) zameranú na svoje expozície voči závažným narušeniam činnosti. V rámci BIA finančné subjekty posudzujú potenciálny vplyv závažných narušení činnosti prostredníctvom kvantitatívnych a kvalitatívnych kritérií, pričom náležite využívajú interné a externé údaje a analýzu scenárov. V BIA sa zohľadňuje kritickosť identifikovaných a zmapovaných obchodných funkcií, podporných procesov, závislostí od tretích strán a informačných aktív a ich vzájomná závislosť. Finančné subjekty zabezpečia, aby sa IKT aktíva a IKT služby koncipovali a používali v plnom súlade s BIA, najmä pokiaľ ide o primerané zabezpečenie redundancie všetkých kritických komponentov.
EULAW Článok 11 7

7.   Finančné subjekty iné než mikropodniky musia mať funkciu krízového riadenia, ktorá v prípade aktivácie ich plánov kontinuity činností v oblasti IKT alebo plánov reakcie a obnovy v oblasti IKT stanoví okrem iného jasné postupy riadenia vnútornej a vonkajšej krízovej komunikácie v súlade s článkom 14.
EULAW Článok 11 8

8.   Finančné subjekty vedú ľahko prístupné záznamy o činnostiach pred udalosťami narušenia a počas nich, keď sa aktivujú ich plány kontinuity činností v oblasti IKT alebo plány reakcie a obnovy v oblasti IKT.
EULAW Článok 11 9

9.   Centrálni depozitári cenných papierov poskytnú príslušným orgánom kópie výsledkov testov kontinuity činností v oblasti IKT alebo podobných cvičení.
EULAW Článok 11 10

10.   Finančné subjekty iné ako mikropodniky oznamujú príslušným orgánom na ich žiadosť odhad súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT.
EULAW Článok 14 1

1.   Finančné subjekty majú ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 zavedené krízové komunikačné plány, ktoré umožňujú zodpovedné zverejňovanie aspoň závažných incidentov súvisiacich s IKT alebo zraniteľných miest pre klientov a protistrany, ako aj pre verejnosť, podľa konkrétneho prípadu.
EULAW Článok 24 1.

Finančné subjekty zahrnú do svojej politiky kontinuity činností v oblasti IKT uvedenej v článku 11 ods. 1 nariadenia (EÚ) 2022/2554 všetky tieto prvky:

a) 

opis týchto prvkov:

i) 

ciele politiky kontinuity činností v oblasti IKT vrátane vzájomného vzťahu medzi IKT a celkovou kontinuitou činností a s prihliadnutím na výsledky analýzy vplyvu na svoje činnosti (BIA) uvedenej v článku 11 ods. 5 nariadenia (EÚ) 2022/2554;

ii) 

rozsah opatrení, plánov, postupov a mechanizmov na zabezpečenie kontinuity činností v oblasti IKT vrátane obmedzení a vylúčení;

iii) 

časový rámec, na ktorý sa majú vzťahovať opatrenia, plány, postupy a mechanizmy na zabezpečenie kontinuity činností v oblasti IKT;

iv) 

kritériá na aktiváciu a deaktiváciu plánov na zabezpečenie kontinuity činností v oblasti IKT, plánov reakcie a obnovy v oblasti IKT a plánov krízovej komunikácie;

b) 

ustanovenia týkajúce sa týchto činností:

i) 

správa a riadenie a organizácia na vykonávanie politiky kontinuity činností v oblasti IKT vrátane úloh, zodpovedností a eskalačných postupov, ktorými sa zabezpečí dostupnosť dostatočných zdrojov;

ii) 

zosúladenie medzi plánmi na zabezpečenie kontinuity činností v oblasti IKT a celkovými plánmi na zabezpečenie kontinuity činností, pokiaľ ide aspoň o všetky tieto aspekty:

(1) 

potenciálne scenáre zlyhania vrátane scenárov uvedených v článku 26 ods. 2 tohto nariadenia;

(2) 

ciele obnovy, v ktorých sa bližšie spresňuje, že finančný subjekt musí byť schopný obnoviť operácie svojich kritických alebo dôležitých funkcií po narušeniach v rámci časového cieľa obnovy a cieľa bodu obnovy;

iii) 

vypracovanie plánov na zabezpečenie kontinuity činností v oblasti IKT v prípade závažných narušení činnosti ako súčasť uvedených plánov a prioritizácia opatrení na zabezpečenie kontinuity činností v oblasti IKT s využitím prístupu založeného na riziku;

iv) 

vypracovanie, testovanie a preskúmanie plánov reakcie a obnovy v oblasti IKT v súlade s článkami 25 a 26 tohto nariadenia;

v) 

preskúmanie účinnosti zavedených opatrení, plánov, postupov a mechanizmov na zabezpečenie kontinuity činností v oblasti IKT v súlade s článkom 26 tohto nariadenia;

vi) 

zosúladenie politiky kontinuity činností v oblasti IKT s týmito prvkami:

(1) 

komunikačná politika uvedená v článku 14 ods. 2 nariadenia (EÚ) 2022/2554;

(2) 

opatrenia v oblasti komunikácie a krízového riadenia uvedené v článku 11 ods. 2 písm. e) nariadenia (EÚ) 2022/2554.
EULAW Článok 24 2.

Popri požiadavkách uvedených v odseku 1 centrálne protistrany zabezpečia, aby ich politika kontinuity činností v oblasti IKT:

a) 

obsahovala maximálny čas obnovy v prípade ich kritických funkcií, ktorý nie je dlhší ako 2 hodiny;

b) 

zohľadňovala externé prepojenia a vzájomné závislosti v rámci finančných infraštruktúr vrátane obchodných miest zúčtovávaných centrálnou protistranou, zúčtovacích systémov cenných papierov a platobných systémov, ako aj úverových inštitúcií používaných centrálnou protistranou alebo prepojenou centrálnou protistranou;

c) 

vyžadovala zavedenie týchto opatrení:

i) 

zabezpečenie kontinuity kritických alebo dôležitých funkcií centrálnej protistrany na základe scenárov katastrof;

ii) 

udržiavanie sekundárneho miesta spracúvania, ktoré má kapacitu zabezpečiť kontinuitu kritických alebo dôležitých funkcií centrálnej protistrany identických s primárnym miestom;

iii) 

udržiavanie alebo poskytovanie okamžitého prístupu k sekundárnemu obchodnému miestu s cieľom umožniť zamestnancom zabezpečiť kontinuitu služby, ak primárne miesto podnikania nie je k dispozícii;

iv) 

zohľadnenie potreby ďalších miest spracovania, najmä ak rozmanitosť rizikových profilov primárneho a sekundárneho miesta neposkytuje dostatočnú istotu, že ciele kontinuity podnikateľskej činnosti centrálnej protistrany budú splnené v prípade všetkých scenárov.

Na účely písmena a) centrálne protistrany za každých okolností dokončia postupy a platby vykonávané na konci dňa v požadovaný čas a deň.

Na účely písmena c) bodu i) sa opatreniami uvedenými v uvedenom písmene rieši dostupnosť primeraných ľudských zdrojov, maximálny výpadok kritických funkcií a prechod na sekundárne miesto a jeho obnova.

Na účely písmena c) bodu ii) musí mať sekundárne miesto spracúvania uvedené v tomto písmene geografický rizikový profil, ktorý sa odlišuje od profilu primárneho miesta.
EULAW Článok 24 3.

Popri požiadavkách uvedených v odseku 1 centrálne protistrany zabezpečia, aby ich politika kontinuity činností v oblasti IKT:

a) 

zohľadňovala všetky prepojenia a vzájomné závislosti s používateľmi, poskytovateľmi kritických sieťových odvetví a kritických služieb, inými centrálnymi depozitármi cenných papierov a inými trhovými infraštruktúrami;

b) 

vyžadovala, aby sa opatreniami na zabezpečenie kontinuity činností v oblasti IKT zaistilo, že časový cieľ obnovy kritických alebo dôležitých funkcií nebude dlhší ako 2 hodiny.
EULAW Článok 24 4.

Popri požiadavkách uvedených v odseku 1 obchodné miesta zaistia, aby ich politika kontinuity činností v oblasti IKT zabezpečila tieto aspekty:

a) 

obchodovanie sa môže obnoviť do dvoch hodín alebo takmer do dvoch hodín po rušivom incidente;

b) 

maximálne množstvo údajov, ktoré možno stratiť z akejkoľvek IT služby obchodného miesta po rušivom incidente, sa blíži k nule.
EULAW Článok 25 1.
Pri testovaní plánov kontinuity činností v oblasti IKT v súlade s článkom 11 ods. 6 nariadenia (EÚ) 2022/2554 finančné subjekty zohľadňujú analýzu vplyvu na svoje činnosti (BIA) a posudzovanie IKT rizika uvedené v článku 3 ods. 1 písm. b) tohto nariadenia.
EULAW Článok 25 2.

Finančné subjekty testovaním svojich plánov kontinuity činností v oblasti IKT uvedených v odseku 1 posúdia, či dokážu zabezpečiť kontinuitu svojich kritických alebo dôležitých funkcií. Toto testovanie musí:

a) 

byť vykonávané na základe testovacích scenárov, ktoré simulujú potenciálne narušenia vrátane primeraného súboru závažných, ale realistických scenárov;

b) 

v prípade potreby obsahovať testovanie IKT služieb poskytovaných externými poskytovateľmi IKT služieb;

c) 

v prípade finančných subjektov iných než mikropodniky, ako sa uvádza v článku 11 ods. 6 druhom pododseku nariadenia (EÚ) 2022/2554, obsahovať scenáre prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami;

d) 

byť navrhnuté tak, aby sa spochybnili predpoklady, na ktorých sú založené plány na zabezpečenie kontinuity činností vrátane mechanizmov správy a riadenia a plánov krízovej komunikácie;

e) 

obsahovať postupy na overovanie schopnosti zamestnancov finančných subjektov, externých poskytovateľov IKT služieb, IKT systémov a IKT služieb primerane reagovať na scenáre náležite zohľadnené v súlade s článkom 26 ods. 2

Na účely písmena a) finančné subjekty do testovania vždy zahrnú scenáre zvažované pri vypracúvaní plánov kontinuity činností.

Na účely písmena b) finančné subjekty náležite zvážia scenáre spojené s platobnou neschopnosťou alebo zlyhaniami externých poskytovateľov IKT služieb alebo súvisiace s politickými rizikami v jurisdikciách externých poskytovateľov IKT služieb, ak je to relevantné.

Na účely písmena c) sa testovaním overí, či je možné primerane vykonávať aspoň kritické alebo dôležité funkcie počas dostatočne dlhého časového obdobia a či je možné obnoviť normálne fungovanie.
EULAW Článok 25 3.

Popri požiadavkách uvedených v odseku 2 centrálne protistrany zapoja do testovania svojich plánov kontinuity činností v oblasti IKT uvedených v odseku 1 tieto subjekty:

a) 

zúčtovacích členov;

b) 

externých poskytovateľov;

c) 

príslušné inštitúcie vo finančnej infraštruktúre, v súvislosti s ktorými centrálne protistrany identifikovali vo svojich politikách kontinuity činností vzájomné závislosti.
EULAW Článok 25 4.

Popri požiadavkách uvedených v odseku 2 centrálne depozitáre cenných papierov zapoja do testovania svojich plánov kontinuity činností v oblasti IKT uvedených v odseku 1 prípadne tieto subjekty:

a) 

používateľov centrálnych depozitárov cenných papierov;

b) 

poskytovateľov kritických sieťových odvetví a kritických služieb;

c) 

iné centrálne depozitáre cenných papierov;

d) 

iné trhové infraštruktúry;

e) 

akékoľvek iné inštitúcie, v súvislosti s ktorými centrálne depozitáre cenných papierov identifikovali vo svojej politike kontinuity činností vzájomné závislosti.
EULAW Článok 25 5.
Finančné subjekty zdokumentujú výsledky testovania uvedeného v odseku 1. Všetky zistené nedostatky vyplývajúce z tohto testovania sa analyzujú, riešia a oznamujú riadiacemu orgánu.
EULAW Článok 26 1.

Pri vypracúvaní plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 3 nariadenia (EÚ) 2022/2554 finančné subjekty zohľadňujú výsledky analýzy vplyvu na svoje činnosti (BIA). Uvedené plány reakcie a obnovy v oblasti IKT:

a) 

musia obsahovať podmienky, ktoré vedú k ich aktivácii alebo deaktivácii, a všetky výnimky pre takúto aktiváciu alebo deaktiváciu;

b) 

musia obsahovať opis toho, aké opatrenia sa majú prijať na zabezpečenie dostupnosti, integrity, kontinuity a obnovy aspoň IKT systémov a služieb podporujúcich kritické alebo dôležité funkcie finančného subjektu;

c) 

musia byť navrhnuté tak, aby spĺňali ciele obnovenia činností finančných subjektov;

d) 

musia byť zdokumentované a sprístupnené zamestnancom zapojeným do realizácie plánov reakcie a obnovy v oblasti IKT a v prípade núdze ľahko dostupné;

e) 

musia zabezpečovať krátkodobé aj dlhodobé možnosti obnovy vrátane čiastočného obnovenia systémov;

f) 

musia obsahovať ciele plánov reakcie a obnovy v oblasti IKT a podmienky vyhlásenia toho, že došlo k úspešnému vykonaniu týchto plánov.

Na účely písmena d) finančné subjekty jasne stanovia príslušné úlohy a zodpovednosti.
EULAW Článok 26 2.

V plánoch reakcie a obnovy v oblasti IKT uvedených v odseku 1 sa určia príslušné scenáre vrátane scenárov závažných narušení činnosti a zvýšenej pravdepodobnosti výskytu narušenia. V týchto plánoch sa vypracujú scenáre na základe aktuálnych informácií o hrozbách a na základe poznatkov získaných z predchádzajúcich výskytov narušení činnosti. Finančné subjekty náležite zohľadňujú všetky tieto scenáre:

a) 

kybernetické útoky a prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami;

b) 

zhoršenie kvality poskytovania kritickej alebo dôležitej funkcie na neprijateľnú úroveň alebo jej zlyhanie, pričom sa náležite zváži potenciálny vplyv platobnej neschopnosti alebo iných zlyhaní každého príslušného externého poskytovateľa IKT služieb;

c) 

čiastočné alebo úplné zlyhanie priestorov vrátane kancelárskych a obchodných priestorov a dátových centier;

d) 

závažné zlyhanie IKT aktív alebo komunikačnej infraštruktúry;

e) 

nedostupnosť kritického počtu zamestnancov alebo pracovníkov zodpovedných za zaručenie kontinuity operácií;

f) 

vplyv udalostí súvisiacich so zmenou klímy a zhoršovaním životného prostredia, prírodných katastrof, pandémií a fyzických útokov vrátane vniknutí a teroristických útokov;

g) 

útoky zvnútra subjektu;

h) 

politická a sociálna nestabilita, v relevantných prípadoch aj v jurisdikcii externého poskytovateľa IKT služieb, ako aj miesto, kde sa údaje uchovávajú a spracúvajú;

i) 

rozsiahle výpadky elektrickej energie.
EULAW Článok 26 3.
Ak primárne opatrenia obnovy nemusia byť v krátkodobom horizonte uskutočniteľné z dôvodu nákladov, rizík, logistiky alebo neočakávaných okolností, v plánoch reakcie a obnovy v oblasti IKT uvedených v odseku 1 sa zvážia alternatívne možnosti.
EULAW Článok 26 4.
V rámci plánov reakcie a obnovy v oblasti IKT uvedených v odseku 1 finančné subjekty zvážia a vykonajú opatrenia na zabezpečenie kontinuity s cieľom zmierniť zlyhania externých poskytovateľov IKT služieb podporujúcich kritické alebo dôležité funkcie finančného subjektu.