+Business Continuity Oversight

Business Continuity Oversight

The Management body reviews and approves periodically (e.g. annually) the ICT business continuity policy and the ICT response and recovery plans.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 5 1

1.   Finančné subjekty musia mať v súlade s článkom 6 ods. 4 zavedený rámec vnútornej správy a riadenia a kontroly, ktorým sa zabezpečí účinné a obozretné riadenie IKT rizika s cieľom dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti.
EULAW Článok 5 2

2.   Riadiaci orgán finančného subjektu vymedzuje a schvaľuje vykonávanie všetkých opatrení súvisiacich s rámcom riadenia IKT rizika uvedeným v článku 6 ods. 1, vykonáva nad ním dozor a zodpovedá zaň.

Na účely prvého pododseku riadiaci orgán:

a)

nesie konečnú zodpovednosť za riadenie IKT rizika finančného subjektu;

b)

zavádza politiky zamerané na zabezpečenie zachovania vysokých noriem dostupnosti, pravosti, integrity a dôvernosti údajov;

c)

stanovuje jasné úlohy a zodpovednosti pre všetky funkcie súvisiace s IKT a zavádza vhodné mechanizmy správy a riadenia s cieľom zabezpečiť účinnú a včasnú komunikáciu, spoluprácu a koordináciu medzi týmito funkciami;

d)

nesie celkovú zodpovednosť za stanovenie a schválenie stratégie digitálnej prevádzkovej odolnosti, ako sa uvádza v článku 6 ods. 8, vrátane určenia primeranej úrovne tolerancie IKT rizika finančného subjektu, ako sa uvádza v článku 6 ods. 8 písm. b);

e)

schvaľuje, vykonáva dozor a pravidelne preskúmava vykonávanie politiky kontinuity činností finančného subjektu v oblasti IKT a plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 1 a 3, ktoré sa môžu prijať ako osobitná politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu a plánu reakcie a obnovy finančného subjektu;

f)

schvaľuje a pravidelne preskúmava plány vnútorných auditov IKT, ktoré vypracúva finančný subjekt, audity IKT a ich podstatné zmeny;

g)

prideľuje a pravidelne preskúmava primeraný rozpočet na splnenie potrieb finančného subjektu v oblasti digitálnej prevádzkovej odolnosti, pokiaľ ide o všetky druhy zdrojov, vrátane relevantných programov zvyšovania informovanosti o bezpečnosti v oblasti IKT a školení o digitálnej prevádzkovej odolnosti uvedených v článku 13 ods. 6 a IKT zručností pre všetkých zamestnancov;

h)

schvaľuje a pravidelne preskúmava politiku finančného subjektu týkajúcu sa opatrení súvisiacich s využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb;

i)

zavádza na podnikovej úrovni kanály nahlasovania, ktoré mu umožnia, aby bol riadne informovaný o:

i)

dojednaniach o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb;

ii)

akýchkoľvek relevantných plánovaných podstatných zmenách týkajúcich sa externých poskytovateľov IKT služieb;

iii)

potenciálnom vplyve takýchto zmien na kritické alebo dôležité funkcie, ktoré podliehajú uvedeným dojednaniam, vrátane zhrnutia analýzy rizík na posúdenie vplyvu uvedených zmien, a aspoň o závažných incidentoch súvisiacich s IKT a ich vplyve, ako aj o opatreniach zameraných na reakciu, obnovu a nápravu.
EULAW Článok 5 3

3.   Finančné subjekty iné než mikropodniky zriadia funkciu, ktorej cieľom je monitorovať dojednania o využívaní IKT služieb uzavreté s externými poskytovateľmi IKT služieb, alebo určia člena vrcholového manažmentu, ktorý bude zodpovedať za vykonávanie dozoru nad príslušnými rizikovými expozíciami a za relevantnú dokumentáciu.
EULAW Článok 5 4

4.   Členovia riadiaceho orgánu finančného subjektu si aktívne udržiavajú dostatočné znalosti a zručnosti potrebné na pochopenie a posúdenie IKT rizika a jeho vplyvu na operácie finančného subjektu, a to aj pravidelným absolvovaním osobitných školení zodpovedajúcich IKT riziku, ktoré je predmetom riadenia.
EULAW Článok 6 8

8.   Rámec riadenia IKT rizika zahŕňa stratégiu digitálnej prevádzkovej odolnosti, v ktorej sa stanoví spôsob vykonávania rámca. Na tento účel stratégia digitálnej prevádzkovej odolnosti zahŕňa metódy na riešenie IKT rizika a dosiahnutie konkrétnych cieľov IKT, a to prostredníctvom týchto prvkov:

a)

vysvetlenie, ako rámec riadenia IKT rizika podporuje obchodnú stratégiu a ciele finančného subjektu;

b)

stanovenie úrovne tolerancie rizika v prípade IKT rizika v súlade s ochotou finančného subjektu podstupovať riziko a analýza tolerancie vplyvu narušení v oblasti IKT;

c)

stanovenie jasných cieľov informačnej bezpečnosti vrátane kľúčových ukazovateľov výkonnosti a kľúčových ukazovateľov rizika;

d)

vysvetlenie referenčnej architektúry IKT a akýchkoľvek zmien potrebných na dosiahnutie konkrétnych obchodných cieľov;

e)

načrtnutie rôznych mechanizmov zavedených na účely odhaľovania incidentov súvisiacich s IKT, prevencie ich vplyvu a poskytnutie ochrany pred ním;

f)

preukázanie súčasnej situácie v oblasti digitálnej prevádzkovej odolnosti na základe počtu nahlásených závažných incidentov súvisiacich s IKT a účinnosti preventívnych opatrení;

g)

vykonávanie testovania digitálnej prevádzkovej odolnosti v súlade s kapitolou IV tohto nariadenia;

h)

stanovenie komunikačnej stratégie v prípade incidentov súvisiacich s IKT, ktorých zverejnenie sa vyžaduje v súlade s článkom 14.
EULAW Článok 13 4

4.   Finančné subjekty monitorujú účinnosť vykonávania svojej stratégie digitálnej prevádzkovej odolnosti stanovenej v článku 6 ods. 8 Mapujú vývoj v oblasti IKT rizika v priebehu času, analyzujú frekvenciu, druhy, rozsah a vývoj incidentov súvisiacich s IKT, najmä kybernetických útokov a ich spôsobov vedenia, s cieľom pochopiť úroveň vystavenia IKT riziku, najmä pokiaľ ide o kritické a dôležité funkcie, a zlepšiť kybernetickú vyspelosť a pripravenosť finančného subjektu.