+Článok 27 2.

Článok 27 2.

Finančné subjekty zahrnú do správy uvedenej v odseku 1 všetky tieto prvky:

a) 

úvodný oddiel, v ktorom sa:

i) 

jasne identifikuje finančný subjekt, ktorý je predmetom správy, a v prípade potreby opisuje jeho skupinová štruktúra;

ii) 

opisuje kontext správy z hľadiska povahy, rozsahu a zložitosti služieb, činností a operácií finančného subjektu, jeho organizácie, identifikovaných kritických funkcií, stratégie, hlavných prebiehajúcich projektov alebo činností, vzťahov a jeho závislosť od interných a zmluvných IKT služieb a systémov, alebo dôsledkov, ktoré by mala celková strata alebo závažná degradácia takýchto systémov z hľadiska kritických alebo dôležitých funkcií a efektívnosti trhu;

iii) 

sumarizujú významné zmeny v rámci riadenia IKT rizika od predloženia predchádzajúcej správy;

iv) 

poskytuje sumárne zhrnutie súčasného a krátkodobého profilu IKT rizika, panorámy hrozieb, posúdenia účinnosti jeho kontrol a stavu kybernetickej bezpečnosti finančného subjektu;

b) 

dátum schválenia správy riadiacim orgánom finančného subjektu;

c) 

opis dôvodu preskúmania rámca riadenia IKT rizika v súlade s článkom 6 ods. 5 nariadenia (EÚ) 2022/2554;

d) 

dátumy začiatku a konca obdobia preskúmania;

e) 

uvedenie funkcie zodpovednej za preskúmanie;

f) 

opis významných zmien a zlepšení rámca riadenia IKT rizika od predchádzajúceho preskúmania;

g) 

zhrnutie zistení preskúmania a podrobná analýza a posúdenie závažnosti slabých stránok, nedostatkov a medzier v rámci riadenia IKT rizika počas obdobia preskúmania;

h) 

opis opatrení na riešenie zistených slabých stránok, nedostatkov a medzier vrátane všetkých týchto prvkov:

i) 

zhrnutie opatrení prijatých na nápravu zistených slabých stránok, nedostatkov a medzier;

ii) 

očakávaný dátum vykonávania opatrení a dátumy súvisiace s vnútornou kontrolou vykonávania vrátane informácií o stave pokroku pri vykonávaní týchto opatrení k dátumu vypracovania správy, v prípade potreby s vysvetlením, či existuje riziko možného nedodržania lehôt;

iii) 

nástroje, ktoré sa majú použiť, a identifikácia funkcie zodpovednej za vykonávanie opatrení, pričom sa podrobne uvedie, či sú nástroje a funkcie interné alebo externé;

iv) 

opis vplyvu plánovaných zmien v opatreniach na rozpočtové, ľudské a materiálne zdroje finančného subjektu vrátane zdrojov určených na vykonávanie akýchkoľvek nápravných opatrení;

v) 

informácie o postupe informovania príslušného orgánu, ak je to vhodné;

vi) 

ak zistené slabé stránky, nedostatky alebo medzery nepodliehajú nápravným opatreniam, podrobné vysvetlenie kritérií použitých na analýzu vplyvu týchto slabých stránok, nedostatkov alebo medzier v snahe vyhodnotiť súvisiace zvyškové IKT riziko, ako aj kritérií použitých na akceptovanie súvisiaceho zvyškového rizika;

i) 

informácie o plánovanom ďalšom vývoji rámca riadenia IKT rizika;

j) 

závery, ktoré vyplývajú z preskúmania rámca riadenia IKT rizika;

k) 

informácie o predchádzajúcich preskúmaniach vrátane týchto prvkov:

i) 

zoznam doterajších preskúmaní;

ii) 

v prípade potreby stav vykonávania nápravných opatrení identifikovaných v poslednej správe;

iii) 

ak sa navrhované nápravné opatrenia v predchádzajúcich preskúmaniach ukázali ako neúčinné alebo priniesli neočakávané výzvy, opis spôsobu, akým by sa tieto nápravné opatrenia mohli zlepšiť, alebo opis týchto neočakávaných výziev;

l) 

zdroje informácií použité pri príprave správy vrátane všetkých týchto informácií:

i) 

v prípade finančných subjektov iných ako mikropodniky, ako sa uvádza v článku 6 ods. 6 nariadenia (EÚ) 2022/2554, výsledky vnútorných auditov;

ii) 

výsledky posúdení súladu;

iii) 

výsledky testovania digitálnej prevádzkovej odolnosti a prípadne výsledky pokročilého testovania vychádzajúceho z penetračného testovania na základe konkrétnej hrozby (TLPT), IKT nástrojov, systémov a procesov;

iv) 

externé zdroje.

Na účely písmena c), ak sa preskúmanie začalo v nadväznosti na pokyny orgánov dohľadu alebo na závery vyplývajúce z príslušného testovania digitálnej prevádzkovej odolnosti alebo audítorských procesov, správa musí obsahovať výslovné odkazy na takéto pokyny alebo závery, čo umožní identifikovať dôvod na začatie preskúmania. Ak sa preskúmanie začalo v nadväznosti na incidenty súvisiace s IKT, správa musí obsahovať zoznam všetkých incidentov súvisiacich s IKT a analýzu základných príčin jednotlivých incidentov.

Na účely písmena f) opis musí obsahovať analýzu vplyvu zmien na stratégiu digitálnej prevádzkovej odolnosti finančného subjektu, na rámec vnútornej kontroly IKT finančného subjektu a na správu riadenia IKT rizika finančného subjektu.

1. Prehľad

,

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy