+Člen 11 2.

Člen 11 2.

Postopek za varnost podatkov in sistemov iz odstavka 1 vsebuje vse naslednje elemente v zvezi z varnostjo podatkov in sistemov IKT v skladu z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554:

(a)

omejitve dostopa iz člena 21 te uredbe, ki podpirajo zahteve glede zaščite za vsako stopnjo razvrstitve;

(b)

opredelitev osnove varne konfiguracije za sredstva IKT, ki čim bolj zmanjšuje izpostavljenost teh sredstev IKT kibernetskim grožnjam, in ukrepe za redno preverjanje, ali se te osnove učinkovito uporabljajo;

(c)

opredelitev varnostnih ukrepov za zagotovitev, da se v sisteme IKT in končne naprave namesti samo odobrena programska oprema;

(d)

opredelitev varnostnih ukrepov proti zlonamernim kodam;

(e)

opredelitev varnostnih ukrepov za zagotovitev, da se za prenos in shranjevanje podatkov finančnega subjekta uporabljajo samo odobrene naprave za shranjevanje podatkov, sistemi in končne naprave;

(f)

naslednje zahteve za varno uporabo prenosnih končnih naprav in zasebnih neprenosnih končnih naprav:

(i)

zahtevo po uporabi rešitve za upravljanje, ki omogoča upravljanje končnih naprav na daljavo in brisanje podatkov finančnega subjekta na daljavo;

(ii)

zahtevo po uporabi varnostnih mehanizmov, ki jih zaposleni ali tretji ponudniki storitev IKT ne morejo nepooblaščeno spremeniti, odstraniti ali obiti;

(iii)

zahtevo, da se odstranljive naprave za shranjevanje podatkov uporabljajo le, kadar je preostalo tveganje na področju IKT v mejah tolerančne ravni tveganja finančnega subjekta iz člena 3, prvi pododstavek, točka (a);

(g)

postopek za varno brisanje podatkov, prisotnih v prostorih finančnega subjekta ali hranjenih zunaj njih, ki jih finančnemu subjektu ni več treba zbirati ali hraniti;

(h)

postopek za varno odstranitev ali razgradnjo naprav za shranjevanje podatkov, prisotnih v prostorih finančnega subjekta ali hranjenih zunaj njih, ki vsebujejo zaupne informacije;

(i)

opredelitev in izvajanje varnostnih ukrepov za preprečevanje izgube in uhajanja podatkov za sisteme in končne naprave;

(j)

izvajanje varnostnih ukrepov za zagotavljanje, da delo na daljavo in uporaba zasebnih končnih naprav ne vplivata negativno na varnost IKT finančnega subjekta;

(k)

za sredstva ali storitve IKT, ki jih upravlja tretji ponudnik storitev IKT, opredelitev in izvajanje zahtev za ohranjanje digitalne operativne odpornosti v skladu z rezultati razvrstitve podatkov in ocene tveganja na področju IKT.

Za namene točke (b) se pri osnovi varne konfiguracije iz navedene točke upoštevajo vodilne prakse in ustrezne tehnike, določene v standardih, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012.

Za namene točke (k) finančni subjekti upoštevajo naslednje:

(a)

izvedbo nastavitev za elemente, ki jih upravlja finančni subjekt, kot jih priporoča prodajalec;

(b)

jasno razdelitev vlog in odgovornosti na področju informacijske varnosti med finančnim subjektom in tretjim ponudnikom storitev IKT v skladu z načelom, da je finančni subjekt v celoti odgovoren za svojega tretjega ponudnika storitev IKT, iz člena 28(1), točka (a), Uredbe (EU) 2022/2554, in v skladu s politiko finančnega subjekta o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, za finančne subjekte iz člena 28(2) navedene uredbe;

(c)

potrebo po zagotavljanju in ohranjanju ustreznih kompetenc znotraj finančnega subjekta na področju upravljanja in varnosti uporabljene storitve;

(d)

tehnične in organizacijske ukrepe za zmanjšanje tveganj, povezanih z infrastrukturo, ki jo tretji ponudnik storitev IKT uporablja za svoje storitve IKT, na najnižjo možno raven ob upoštevanju vodilnih praks in standardov, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012.

1. Pregled

Naslov	Regulativa

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve
Vir	Zahteva

3. Povezani standardi

Standardi
Vir	Zahteva
NOREA	ICT (Security) Systems, tools, and solutions Design, procure, and implement security solutions and tooling with the goal to ensure resilience, continuity, and CIA of ICT systems, particularly those supporting critical or important functions.
NOREA	Data Protection Practices Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.
NOREA	Vendor Recommended Security Settings Consider the security measures and settings recommended by the third-party service provider delivering the ICT service. Implement technical and organisational measures to minimise the risks related to the infrastructure used and managed by the ICT third-party service provider.
NOREA	Endpoint Devices Enforce usage requirements for portable and nonportable endpoint devices. Ensure that only authorized data storage media, systems, and endpoint devices are used to transfer and store data. Implement security measures to ensure that teleworking and the use of private endpoint devices do not adversely impact the overall security of the entity. This includes having a centralized management solution to remotely manage and wipe endpoint devices, security mechanisms that cannot be modified, removed, or bypassed, and the use of removable data storage devices only when the residual ICT risk remains within predefined risk tolerance levels. Enforce security measures to allow only authorized software installation on systems and endpoint devices.
NOREA	Secure Data Deletion and Disposal Establish a process to securely delete data on and offpremises. Establish a process to securely dispose or decommission data storage devices on and offpremises that contain confidential information.

Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
EULAW -
EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.