+Incident Tracking

Incident Tracking

Develop procedures to identify, track, log, categorize, and classify ICT-related incidents based on priority, severity, and criticality of impacted services. Maintain records of all ICT-related incidents and significant cyber threats. Implement a monitoring process to track incidents and cyber threats.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 13 2

2.   Finančné subjekty zavedú preskúmania realizované po incidentoch súvisiacich s IKT po tom, ako závažný incident súvisiaci s IKT narušil ich hlavné činnosti, pričom analyzujú príčiny narušenia a identifikujú požadované zlepšenia operácií IKT alebo zlepšenia v rámci politiky kontinuity činností v oblasti IKT uvedenej v článku 11.

Finančné subjekty iné ako mikropodniky na požiadanie oznámia príslušným orgánom zmeny, ktoré sa vykonali v nadväznosti na preskúmania realizované po incidentoch súvisiacich s IKT, ako sa uvádza v prvom pododseku.

V preskúmaniach realizovaných po incidentoch súvisiacich s IKT uvedených v prvom pododseku sa určí, či sa dodržali zavedené postupy a či boli prijaté opatrenia účinné, a to aj pokiaľ ide o:

a)

promptnosť reakcie na bezpečnostné varovania a určovania vplyvu incidentov súvisiacich s IKT a ich závažnosť;

b)

kvalitu a rýchlosť vykonania forenznej analýzy, ak sa to považuje za vhodné;

c)

účinnosť eskalácie incidentu v rámci finančného subjektu;

d)

účinnosť vnútornej a vonkajšej komunikácie.
EULAW Článok 14 3

3.   Aspoň jedna osoba vo finančnom subjekte musí byť poverená vykonávaním komunikačnej stratégie pre incidenty súvisiace s IKT a na tento účel plní funkciu styku s verejnosťou a médiami.
EULAW Článok 17 1

1.   Finančné subjekty vymedzia, zavedú a vykonávajú proces riadenia incidentov súvisiacich s IKT s cieľom odhaľovať, riadiť a oznamovať incidenty súvisiace s IKT.
EULAW Článok 17 2

2.   Finančné subjekty zaznamenávajú všetky incidenty súvisiace s IKT a významné kybernetické hrozby. Finančné subjekty stanovia vhodné postupy a procesy na zaistenie konzistentného a integrovaného monitorovania, riešenia a následných opatrení v prípade incidentov súvisiacich s IKT s cieľom zabezpečiť, aby sa hlavné príčiny identifikovali, zdokumentovali a riešili s cieľom zabrániť výskytu takýchto incidentov.
EULAW Článok 17 3

3.   V rámci procesu riadenia incidentov súvisiacich s IKT uvedeným v odseku 1 sa:

a)

zavedú ukazovatele včasného varovania;

b)

v súlade s kritériami stanovenými v článku 18 ods. 1 stanovia postupy na identifikáciu, sledovanie, zaznamenávanie, kategorizáciu a klasifikáciu incidentov súvisiacich s IKT podľa ich priority a závažnosti a podľa kritickosti zasiahnutých služieb;

c)

prideľujú úlohy a povinnosti, ktoré treba aktivovať pre jednotlivé druhy a scenáre incidentov súvisiacich s IKT;

d)

stanovujú plány komunikácie so zamestnancami, externými zainteresovanými stranami a médiami v súlade s článkom 14 a plány oznamovania klientom, plány interných eskalačných postupov vrátane sťažností zákazníkov súvisiacich s IKT, ako aj plány poskytovania informácií finančným subjektom, ktoré konajú ako protistrany, vo vhodných prípadoch;

e)

zabezpečujú, aby sa aspoň závažné incidenty súvisiace s IKT nahlasovali príslušnému vrcholovému manažmentu a informujú riadiaci orgán aspoň o závažných incidentoch súvisiacich s IKT, pričom vysvetlia vplyv, reakciu a dodatočné kontroly, ktoré sa majú zaviesť v dôsledku takýchto incidentov súvisiacich s IKT;

f)

stanovujú postupy reakcie na incidenty súvisiace s IKT s cieľom zmierniť vplyvy a zabezpečiť včasné sfunkčnenie a bezpečnosť služieb.
EULAW Článok 19 1

1.   Finančné subjekty nahlasujú závažné incidenty súvisiace s IKT relevantnému príslušnému orgánu uvedenému v článku 46 v súlade s odsekom 4 tohto článku.

Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu uvedeného v článku 46, členské štáty určia jediný príslušný orgán ako relevantný príslušný orgán zodpovedný za vykonávanie funkcií a povinností stanovených v tomto článku.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 oznamujú závažné incidenty súvisiace s IKT relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý uvedenú správu bezodkladne zašle ECB.

Na účely prvého pododseku finančné subjekty vypracujú po získaní a analýze všetkých relevantných informácií počiatočné oznámenie a správy uvedené v odseku 4 tohto článku s použitím vzorov uvedených v článku 20 a predložia ich príslušnému orgánu. V prípade, že nie je technicky možné predložiť počiatočné oznámenia s použitím vzoru, finančné subjekty o tom informujú príslušný orgán alternatívnymi prostriedkami.

Počiatočné oznámenie a správy uvedené v odseku 4 obsahujú všetky informácie, ktoré príslušný orgán potrebuje na určenie významnosti závažného incidentu súvisiaceho s IKT a posúdenie možných cezhraničných vplyvov.

Bez toho, aby bolo dotknuté nahlasovanie podľa prvého pododseku zo strany finančného subjektu relevantnému príslušnému orgánu môžu členské štáty dodatočne stanoviť, aby niektoré alebo všetky finančné subjekty tiež poskytovali počiatočné oznámenie a každú správu uvedenú v odseku 4 tohto článku s použitím vzorov uvedených v článku 20 príslušným orgánom alebo jednotkami pre riešenie počítačových bezpečnostných incidentov (ďalej len „CSIRT“) určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555.
EULAW Článok 19 2

2.   Finančné subjekty môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov. Relevantný príslušný orgán môže poskytnúť takéto informácie iným relevantným orgánom uvedeným v odseku 6.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý oznámenie bezodkladne zašle ECB.

Členské štáty môžu určiť, že tie finančné subjekty, ktoré dobrovoľne oznamujú v súlade s prvým pododsekom, môžu uvedené oznámenie zaslať aj jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555.
EULAW Článok 19 3

3.   Ak dôjde k závažnému incidentu súvisiacemu s IKT, ktorý má vplyv na finančné záujmy klientov, finančné subjekty bez zbytočného odkladu a čo najskôr po tom, ako o ňom nadobudli vedomosť, informujú svojich klientov o závažnom incidente súvisiacom s IKT a o opatreniach, ktoré boli prijaté na zmiernenie nepriaznivých účinkov takéhoto incidentu.

V prípade významnej kybernetickej hrozby finančné subjekty v náležitých prípadoch informujú svojich klientov, ktorí sú potenciálne dotknutí, o akýchkoľvek vhodných ochranných opatreniach, ktorých prijatie títo klienti môžu zvážiť.
EULAW Článok 19 4

4.   Finančné subjekty v lehotách, ktoré sa stanovia v súlade s článkom 20 prvým odsekom písm. a) bodom ii), predložia relevantnému príslušnému orgánu:

a)

počiatočné oznámenie;

b)

priebežnú správu po počiatočnom oznámení uvedenom v písmene a), hneď ako sa výrazne zmení stav pôvodného incidentu alebo po zmene riešenia závažného incidentu súvisiaceho s IKT na základe nových dostupných informácií, po ktorej v náležitých prípadoch nasledujú aktualizované oznámenia vždy, keď je k dispozícii príslušná aktualizácia stavu, ako aj na základe osobitnej žiadosti príslušného orgánu;

c)

záverečnú správu po dokončení analýzy hlavných príčin, bez ohľadu na to, či už boli vykonané zmierňujúce opatrenia, a keď sú k dispozícii skutočné údaje o vplyve, aby sa nahradili odhady.
EULAW Článok 19 5

5.   Finančné subjekty môžu v súlade s odvetvovým právom Únie a vnútroštátnym odvetvovým právom zveriť nahlasovacie povinnosti podľa tohto článku externému poskytovateľovi služieb formou outsourcing. V prípade takéhoto outsourcingu je finančný subjekt naďalej plne zodpovedný za plnenie požiadaviek na nahlasovanie incidentov.
EULAW Článok 22 Politika riadenia incidentov súvisiacich s IKT

Článok 22

Politika riadenia incidentov súvisiacich s IKT

Ako súčasť mechanizmov na odhaľovanie anomálnych činností vrátane problémov s výkonnosťou siete IKT a incidentov súvisiacich s IKT finančné subjekty vypracujú, zdokumentujú a vykonávajú politiku v oblasti incidentov súvisiacich s IKT, prostredníctvom ktorej vykonávajú tieto činnosti:

a) 

dokumentácia procesu riadenia incidentov súvisiacich s IKT uvedeného v článku 17 nariadenia (EÚ) 2022/2554;

b) 

zostavenie zoznamu príslušných kontaktných osôb s internými funkciami a externými zainteresovanými stranami, ktoré sú priamo zapojené do bezpečnosti operácií IKT, a to aj pokiaľ ide o tieto prvky:

i) 

odhaľovanie a monitorovanie kybernetických hrozieb;

ii) 

odhaľovanie anomálnych činností;

iii) 

riadenie zraniteľnosti;

c) 

vytvorenie, vykonávanie a prevádzka technických, organizačných a prevádzkových mechanizmov na podporu procesu riadenia incidentov súvisiacich s IKT vrátane mechanizmov umožňujúcich urýchlené odhalenie anomálnych činností a správania v súlade s článkom 23 tohto nariadenia;

▼C1

d) 

uchovávanie všetkých dôkazov týkajúcich sa incidentov súvisiacich s IKT počas obdobia, ktoré nie je dlhšie, ako je potrebné na účely, na ktoré sa údaje zhromažďujú, zodpovedá kritickosti ovplyvnených obchodných funkcií, podporných procesov, IKT aktív a informačných aktív v súlade s článkom 8 ods. 2 delegovaného nariadenia Komisie (EÚ) 2024/1772 ( 2 ) a s akoukoľvek uplatniteľnou požiadavkou na uchovávanie podľa právnych predpisov Únie;

▼B

e) 

vytvorenie a zavedenie mechanizmov na analýzu významných alebo opakujúcich sa incidentov a modelov súvisiacich s IKT, pokiaľ ide o počet a výskyt incidentov súvisiacich s IKT.

Na účely písmena d) finančné subjekty uchovávajú dôkazy uvedené v uvedenom písmene bezpečne.
EULAW Článok 23 1.
Finančné subjekty stanovia jasné úlohy a povinnosti na účinné odhaľovanie incidentov a anomálnych činnosti súvisiacich s IKT a reakciu na ne.
EULAW Článok 23 5.

Finančné subjekty pri spustení procesov odhaľovania incidentov súvisiacich s IKT a reakciách na ne uvedených v článku 10 ods. 2 nariadenia (EÚ) 2022/2554 zohľadňujú všetky tieto kritériá:

a) 

indície, že v IKT systéme alebo sieti sa mohla vykonávať nekalá činnosť alebo že takýto IKT systém alebo sieť mohli byť napadnuté;

b) 

straty údajov zistené v súvislosti s dostupnosťou, pravosťou, integritou a dôvernosťou údajov;

c) 

zistený nepriaznivý vplyv na transakcie a operácie finančného subjektu;

d) 

nedostupnosť IKT systémov a siete.