+Oddiel 2
---+Článok 3 Riadenie IKT rizika

Oddiel 2

Oddiel 2

1. Prehľad

,
Článok 3 Riadenie IKT rizika

Článok 3

Riadenie IKT rizika

Finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy riadenia IKT rizika, ktoré obsahujú všetky tieto prvky:

a) 

údaj o schválení úrovne tolerancie rizika v prípade IKT rizika stanoveného v súlade s článkom 6 ods. 8 písm. b) nariadenia (EÚ) 2022/2554;

b) 

postup a metodiku na vykonávanie posudzovania IKT rizika, v ktorých sa identifikujú:

i) 

zraniteľné miesta a hrozby, ktoré ovplyvňujú alebo môžu ovplyvniť podporované obchodné funkcie, IKT systémy a IKT aktíva podporujúce uvedené funkcie;

ii) 

kvantitatívne alebo kvalitatívne ukazovatele na meranie vplyvu a pravdepodobnosti zraniteľných miest a hrozieb uvedených v bode i);

c) 

postup identifikácie, vykonávania a dokumentácie opatrení na riešenie IKT rizika v prípade identifikovaných a posudzovaných IKT rizík vrátane určenia opatrení na riešenie IKT rizika, ktoré sú potrebné na to, aby sa IKT riziko dostalo do úrovne tolerancie rizika uvedenej v písmene a);

d) 

v prípade zvyškových IKT rizík, ktoré sú stále prítomné po vykonaní opatrení na riešenie IKT rizika uvedených v písmene c):

i) 

ustanovenia o identifikácii uvedených zvyškových IKT rizík;

ii) 

pridelenie úloh a zodpovedností, pokiaľ ide o:

1. 

akceptovanie zvyškových IKT rizík, ktoré prekračujú úroveň tolerancie voči riziku finančného subjektu uvedenú v písmene a);

2. 

postup preskúmania uvedený v bode iv) tohto písmena d);

iii) 

vypracovanie zoznamu akceptovaných zvyškových IKT rizík vrátane uvedenia dôvodu, prečo boli akceptované;

iv) 

ustanovenia o preskúmaní akceptovaných zvyškových IKT rizík aspoň raz ročne vrátane:

1. 

identifikácie všetkých zmien zvyškových IKT rizík;

2. 

posúdenia dostupných zmierňujúcich opatrení;

3. 

posúdenia toho, či sú dôvody na akceptovanie zvyškových IKT rizík stále platné a uplatniteľné k dátumu preskúmania;

e) 

ustanovenia o monitorovaní:

i) 

všetkých zmien panorámy hrozieb IKT rizika a kybernetických hrozieb;

ii) 

vnútorných a vonkajších zraniteľných miest a hrozieb;

iii) 

IKT rizika finančného subjektu, ktoré umožňuje rýchle odhalenie zmien, ktoré by mohli ovplyvniť jeho profil IKT rizika;

f) 

ustanovenia o postupe na zabezpečenie toho, aby sa zohľadnili všetky zmeny obchodnej stratégie a stratégie digitálnej prevádzkovej odolnosti finančného subjektu.

Na účely prvého odseku písm. c) sa postupom uvedeným v uvedenom písmene zabezpečí:

a) 

monitorovanie účinnosti zavedených opatrení na riešenie IKT rizika;

b) 

posúdenie toho, či sa dosiahli stanovené úrovne tolerancie rizika finančného subjektu;

c) 

posúdenie toho, či finančný subjekt v prípade potreby prijal opatrenia na nápravu alebo zlepšenie týchto opatrení.

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy