Protection Measures

1.   Finančné subjekty musia mať ako súčasť svojho celkového systému riadenia rizika zavedený spoľahlivý, komplexný a dobre zdokumentovaný rámec riadenia IKT rizika, ktorý im umožňuje riešiť IKT riziko rýchlo, efektívne a komplexne a zabezpečiť vysokú úroveň digitálnej prevádzkovej odolnosti.

2.   Rámec riadenia IKT rizika zahŕňa aspoň stratégie, politiky, postupy, IKT protokoly a nástroje, ktoré sú potrebné na riadnu a primeranú ochranu všetkých informačných aktív a IKT aktív vrátane počítačového softvéru, hardvéru, serverov, ako aj ochranu všetkých relevantných fyzických zložiek a infraštruktúr, ako sú priestory, dátové centrá a citlivé určené oblasti s cieľom zabezpečiť, aby boli všetky informačné aktíva a IKT aktíva primerane chránené pred rizikami vrátane poškodenia a neoprávneného prístupu či používania.

3.   Finančné subjekty v súlade so svojím rámcom riadenia IKT rizika minimalizujú vplyv IKT rizika zavedením vhodných stratégií, politík, postupov, IKT protokolov a nástrojov. Príslušným orgánom poskytujú na ich žiadosť úplné a aktualizované informácie o IKT riziku a o svojom rámci riadenia IKT rizika.

4.   Finančné subjekty iné než mikropodniky priradia zodpovednosť za riadenie IKT rizika a dozor nad ním kontrolnej funkcii a zabezpečia primeranú úroveň nezávislosti tejto kontrolnej funkcie, aby sa zabránilo konfliktom záujmov. Finančné subjekty zabezpečia primeranú segregáciu a nezávislosť riadiacich funkcií v oblasti IKT rizika, kontrolných funkcií a funkcií vnútorného auditu, a to na základe modelu troch línií obrany alebo na základe interného modelu riadenia rizík a kontroly.

5.   Rámec riadenia IKT rizika sa zdokumentuje a preskúma aspoň raz ročne, alebo pravidelne v prípade mikropodnikov, ako aj pri výskyte závažných incidentov súvisiacich s IKT, pričom sa riadi pokynmi alebo závermi dohľadu vyplývajúcimi z príslušných procesov testovania alebo auditu digitálnej prevádzkovej odolnosti. Na základe skúseností získaných pri vykonávaní a monitorovaní sa rámec neustále vylepšuje. Správa o preskúmaní rámca riadenia IKT rizika sa predkladá príslušnému orgánu na jeho žiadosť.

7.   Na základe záverov vnútorného audítorského preskúmania finančné subjekty zavedú formálny postup prijímania následných opatrení vrátane pravidiel včasného overovania a nápravy kritických zistení auditu IKT.

9.   Finančné subjekty môžu v súvislosti so stratégiou digitálnej prevádzkovej odolnosti uvedenou v odseku 8 vymedziť holistickú stratégiu viacerých dodávateľov IKT, a to na úrovni skupiny alebo subjekt, ktorá preukazuje kľúčové závislosti od externých poskytovateľov IKT služieb a vysvetľuje dôvody, na ktorých je založený príslušný obstarávací mix externých poskytovateľov služieb.

10.   Finančné subjekty môžu v súlade s právom Únie a vnútroštátnym odvetvovým právom zadať úlohy overovania súladu s požiadavkami na riadenie IKT rizika vnútroskupinovým alebo externým podnikom formou outsourcingu. V prípade takéhoto outsourcingu zostáva finančný subjekt plne zodpovedný za overovanie súladu s požiadavkami na riadenie IKT rizika.

1.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty identifikujú, klasifikujú a primerane dokumentujú všetky obchodné funkcie, úlohy a povinnosti podporované IKT, informačné aktíva a IKT aktíva podporujúce uvedené funkcie a ich úlohy a závislosti vo vzťahu k IKT riziku. Finančné subjekty podľa potreby, najmenej však raz ročne, preskúmavajú primeranosť tejto klasifikácie a akejkoľvek relevantnej dokumentácie.

1.   Na účely primeranej ochrany IKT systémov a s cieľom organizovať opatrenia v oblasti reakcie finančné subjekty nepretržite monitorujú a kontrolujú bezpečnosť a fungovanie IKT systémov a nástrojov a minimalizujú vplyv IKT rizika na IKT systémy tak, že zavedú vhodné nástroje, politiky a postupy v oblasti bezpečnosti IKT.

4.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty:

Na účely prvého pododseku písm. b) finančné subjekty navrhnú infraštruktúru sieťového pripojenia tak, aby umožňovala jej okamžité odpojenie alebo segmentáciu s cieľom minimalizovať šírenie nákazy a predchádzať mu, a to najmä v prípade vzájomne prepojených finančných procesov.

Proces riadenia zmien IKT na účely prvého pododseku písm. e) schvaľujú príslušné riadiace línie, ktoré majú zavedené osobitné protokoly.

1.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 a na základe požiadaviek na identifikáciu stanovených v článku 8 zavedú komplexnú politiku kontinuity činností v oblasti IKT, ktorá môže byť prijatá ako osobitná, špecifická politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu.

3.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 vykonávajú súvisiace plány reakcie a obnovy v oblasti IKT, ktoré v prípade finančných subjektov iných než mikropodnikov podliehajú nezávislému vnútornému audítorskému preskúmaniu.

6.   Finančné subjekty v rámci svojho komplexného riadenia IKT rizika:

Na účely prvého pododseku písm. a) finančné subjekty iné než mikropodniky zahrnú do testovacích plánov scenáre kybernetických útokov a prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami potrebnými na splnenie povinností stanovených v článku 12.

Finančné subjekty pravidelne preskúmavajú svoju politiku kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT, pričom zohľadňujú výsledky testov vykonaných v súlade s prvým pododsekom a odporúčania vyplývajúce z audítorských kontrol alebo preskúmaní orgánmi dohľadu.

1.   Na účely zabezpečenia reštaurovania IKT systémov a údajov s minimálnym výpadkom, obmedzeným narušením a stratami finančné subjekty v rámci ich riadenia IKT rizika vypracujú a zdokumentujú:

2.   Finančné subjekty zriadia záložné systémy, ktoré možno aktivovať v súlade s politikami a postupmi zálohovania, ako aj postupmi a metódami reštaurovania a obnovy. Aktivácia záložných systémov nesmie ohroziť bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov. Pravidelne sa vykonáva testovanie postupov zálohovania a postupov a metód reštaurovania a obnovy.

3.   Pri reštaurovaní záložných údajov pomocou vlastných systémov finančné subjekty používajú IKT systémy, ktoré sú fyzicky a logicky oddelené od zdrojového IKT systému. IKT systémy musia byť bezpečne chránené pred akýmkoľvek neoprávneným prístupom alebo poškodením IKT a podľa potreby umožňujú včasné reštaurovanie služieb využívajúcich údaje a zálohy systému.

V prípade centrálnych protistrán musia plány obnovy umožňovať obnovu všetkých transakcií v čase narušenia, aby centrálna protistrana mohla naďalej fungovať s istotou a aby vyrovnanie dokončila k plánovanému dátumu.

Poskytovatelia služieb vykazovania údajov okrem toho udržiavajú primerané zdroje a majú zavedené záložné zariadenia a zariadenia na reštaurovanie s cieľom neustále ponúkať a udržiavať svoje služby.

3.   Poznatky získané z testovania digitálnej prevádzkovej odolnosti, ktoré sa vykonalo v súlade s článkami 26 a 27, a z reálnych incidentov súvisiacich s IKT, najmä kybernetických útokov, spolu s výzvami, ktorým sa čelilo po aktivácii plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT spolu s príslušnými informáciami vymieňanými s protistranami a posudzovanými počas preskúmaní orgánmi dohľadu, sa náležite a nepretržite začleňujú do procesu posudzovania IKT rizika. Uvedené zistenia sa premietnu do vhodných preskúmaní príslušných zložiek rámca riadenia IKT rizika uvedeného v článku 6 ods. 1.

5.   Vedúci pracovníci v oblasti IKT podávajú aspoň raz ročne riadiacemu orgánu správu o zisteniach uvedených v odseku 3 a predkladajú odporúčania.

7.   Finančné subjekty iné ako mikropodniky priebežne monitorujú príslušný technologický vývoj, a to aj s cieľom pochopiť možné vplyvy zavádzania takýchto nových technológií na bezpečnostné požiadavky v oblasti IKT a digitálnu prevádzkovú odolnosť. Musia držať krok s najnovšími procesmi riadenia IKT rizika s cieľom účinne bojovať proti súčasným alebo novým formám kybernetických útokov.

2.   Finančné subjekty vykonávajú ako súčasť rámca riadenia IKT rizika komunikačné politiky pre interných zamestnancov a externé zainteresované strany. V komunikačných politikách pre zamestnancov sa zohľadňuje potreba rozlišovať medzi zamestnancami, ktorí sú zapojení do riadenia IKT rizika, najmä pokiaľ ide o zamestnancov zodpovedných za reakciu a obnovu, a zamestnancami, ktorí musia byť informovaní.

1.   Na účely posúdenia pripravenosti riešiť incidenty súvisiace s IKT, identifikácie slabých miest, nedostatkov a medzier v digitálnej prevádzkovej odolnosti a urýchleného vykonania nápravných opatrení finančné subjekty iné ako mikropodniky zriadia, udržiavajú a preskúmavajú spoľahlivý a komplexný program testovania digitálnej prevádzkovej odolnosti ako integrálnu súčasť rámca riadenia IKT rizika uvedeného v článku 6, pričom zohľadňujú kritériá stanovené v článku 4 ods. 2.

2.   Finančné subjekty iné ako subjekty uvedené v článku 16 ods. 1 prvom pododseku a iné ako mikropodniky prijmú a pravidelne preskúmavajú stratégiu týkajúcu sa externého IKT rizika ako súčasť svojho rámca riadenia IKT rizika, pričom v náležitých prípadoch zohľadnia stratégiu viacerých dodávateľov uvedenú v článku 6 ods. 9 Stratégia týkajúca sa externého IKT rizika zahŕňa politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie poskytované externými poskytovateľmi IKT služieb a uplatňuje sa na individuálnom, a v relevantných prípadoch na subkonsolidovanom a konsolidovanom základe. Riadiaci orgán na základe posúdenia celkového rizikového profilu finančného subjektu a rozsahu a zložitosti obchodných služieb pravidelne preskúmava riziká identifikované v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie.

3.   Finančné subjekty ako súčasť svojho rámca riadenia IKT rizika vedú a aktualizujú na úrovni subjektu, ako aj na subkonsolidovanej a konsolidovanej úrovni register informácií v súvislosti so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb.

Zmluvné dojednania uvedené v prvom pododseku musia byť náležite zdokumentované, pričom sa rozlišuje medzi tými, ktoré sa vzťahujú na IKT služby podporujúce kritické alebo dôležité funkcie, a tými, ktoré sa na ne nevzťahujú.

Finančné subjekty aspoň raz ročne nahlasujú príslušným orgánom počet nových dojednaní o využívaní IKT služieb, kategórie externých poskytovateľov IKT služieb, druh zmluvných dojednaní a poskytované IKT služby a funkcie.

Finančné subjekty sprístupnia príslušnému orgánu na jeho žiadosť úplný register informácií alebo na požiadanie jeho konkrétne oddiely spolu so všetkými informáciami, ktoré sa považujú za potrebné na umožnenie účinného dohľadu nad finančným subjektom.

Finančné subjekty včas informujú príslušný orgán o každom plánovanom zmluvnom dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj o tom, kedy sa funkcia stala kritickou alebo dôležitou.