+Testing and Assessment

Testing and Assessment

Regularly test ICT business continuity, response, and recovery plans, particularly in collaboration with third-party service providers supporting critical or important functions. Testing should take into account the financial entity’s BIA and the ICT risk assessment and occur on a yearly basis and whenever there are significant changes to systems supporting critical or important functions.
Tests must be based on realistic scenarios and encompass scenarios like cyber attacks, insolvency or failure of the third-party, backup restores, and switchover between primary and redundant processing sites.
The testing shall verify whether at least critical or important functions can be operated appropriately, for a sufficient period of time and whether the normal functioning (of the business process) may be restored. Conduct testing of crisis communication plans to ensure effective communication strategies during a crisis or major disruption. Document test results and report any identified deficiencies resulting from the tests to the management body.

Refer to Articles 24.2-3 of the RTS RM for the specific requirements for Central counterparties and Central security depositories.

1. Pregled

Naslov	Standard

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve
Vir	Zahteva

3. Povezani predpisi

Predpisi

EULAW

Article 11 1

1. As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.

EULAW

Article 11 6

6. As part of their comprehensive ICT risk management, financial entities shall:

(a)	test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;

(b)	test the crisis communication plans established in accordance with Article 14.

For the purposes of the first subparagraph, point (a), financial entities, other than microenterprises, shall include in the testing plans scenarios of cyber-attacks and switchovers between the primary ICT infrastructure and the redundant capacity, backups and redundant facilities necessary to meet the obligations set out in Article 12.

Financial entities shall regularly review their ICT business continuity policy and ICT response and recovery plans, taking into account the results of tests carried out in accordance with the first subparagraph and recommendations stemming from audit checks or supervisory reviews.

EULAW

Article 11 2

2. Financial entities shall implement the ICT business continuity policy through dedicated, appropriate and documented arrangements, plans, procedures and mechanisms aiming to:

(a)	ensure the continuity of the financial entity’s critical or important functions;

(b)	quickly, appropriately and effectively respond to, and resolve, all ICT-related incidents in a way that limits damage and prioritises the resumption of activities and recovery actions;

(c)	activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;

(d)	estimate preliminary impacts, damages and losses;

(e)	set out communication and crisis management actions that ensure that updated information is transmitted to all relevant internal staff and external stakeholders in accordance with Article 14, and report to the competent authorities in accordance with Article 19.

EULAW

Article 11 4

4. Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.

EULAW

Article 11 5

5. As part of the overall business continuity policy, financial entities shall conduct a business impact analysis (BIA) of their exposures to severe business disruptions. Under the BIA, financial entities shall assess the potential impact of severe business disruptions by means of quantitative and qualitative criteria, using internal and external data and scenario analysis, as appropriate. The BIA shall consider the criticality of identified and mapped business functions, support processes, third-party dependencies and information assets, and their interdependencies. Financial entities shall ensure that ICT assets and ICT services are designed and used in full alignment with the BIA, in particular with regard to adequately ensuring the redundancy of all critical components.

EULAW

Article 11 7

7. Financial entities, other than microenterprises, shall have a crisis management function, which, in the event of activation of their ICT business continuity plans or ICT response and recovery plans, shall, inter alia, set out clear procedures to manage internal and external crisis communications in accordance with Article 14.

EULAW

Article 11 8

8. Financial entities shall keep readily accessible records of activities before and during disruption events when their ICT business continuity plans and ICT response and recovery plans are activated.

EULAW

Article 11 9

9. Central securities depositories shall provide the competent authorities with copies of the results of the ICT business continuity tests, or of similar exercises.

EULAW

Article 11 10

10. Financial entities, other than microenterprises, shall report to the competent authorities, upon their request, an estimation of aggregated annual costs and losses caused by major ICT-related incidents.

EULAW

Article 14 1

1. As part of the ICT risk management framework referred to in Article 6(1), financial entities shall have in place crisis communication plans enabling a responsible disclosure of, at least, major ICT-related incidents or vulnerabilities to clients and counterparts as well as to the public, as appropriate.

EULAW

Člen 24 1.

Finančni subjekti v svojo politiko neprekinjenega poslovanja na področju IKT iz člena 11(1) Uredbe (EU) 2022/2554 vključijo vse naslednje:

(a)

opis:

(i)

ciljev politike neprekinjenega poslovanja na področju IKT, vključno z medsebojnim razmerjem med neprekinjenim poslovanjem na področju IKT in splošnim neprekinjenim poslovanjem ter ob upoštevanju rezultatov analize vpliva na poslovanje iz člena 11(5) Uredbe (EU) 2022/2554;

(ii)

obsega ureditev, načrtov, postopkov in mehanizmov neprekinjenega poslovanja na področju IKT, vključno z omejitvami in izključitvami;

(iii)

časovnega okvira, ki ga zajemajo ureditve, načrti, postopki in mehanizmi neprekinjenega poslovanja na področju IKT;

(iv)

meril za aktivacijo in deaktivacijo načrtov neprekinjenega poslovanja na področju IKT, načrtov odzivanja in okrevanja IKT ter načrtov obveščanja o kriznih razmerah;

(b)

določbe o:

(i)

upravljanju in organizaciji izvajanja politike neprekinjenega poslovanja na področju IKT, vključno z vlogami, odgovornostmi in postopki prenosa na višjo raven, ki zagotavljajo, da so na voljo zadostni viri;

(ii)

usklajenosti načrtov neprekinjenega poslovanja na področju IKT in splošnih načrtov neprekinjenega poslovanja vsaj v zvezi z vsem naslednjim:

(1)

potencialnimi scenariji odpovedi, vključno s scenariji iz člena 26(2) te uredbe;

(2)

cilji obnovitve, ki določajo, da mora biti finančni subjekt sposoben po motnjah obnoviti delovanje svojih kritičnih ali pomembnih funkcij v okviru ciljev glede časa okrevanja in točke obnovitve;

(iii)

razvoju načrtov neprekinjenega poslovanja na področju IKT za resne motnje poslovanja v okviru teh načrtov in prednostnem razvrščanju ukrepov za neprekinjeno poslovanje na področju IKT z uporabo pristopa, ki temelji na tveganju;

(iv)

razvoju, testiranju in pregledu načrtov odzivanja in okrevanja IKT v skladu s členoma 25 in 26 te uredbe;

(v)

pregledu učinkovitosti izvedenih ureditev, načrtov, postopkov in mehanizmov neprekinjenega poslovanja na področju IKT v skladu s členom 26 te uredbe;

(vi)

usklajenosti politike neprekinjenega poslovanja na področju IKT s:

(1)

politiko obveščanja iz člena 14(2) Uredbe (EU) 2022/2554;

(2)

komunikacijskimi ukrepi in ukrepi za obvladovanje kriz iz člena 11(2), točka (e), Uredbe (EU) 2022/2554.

EULAW

Člen 24 2.

Poleg zahtev iz odstavka 1 centralne nasprotne stranke zagotovijo, da njihova politika neprekinjenega poslovanja na področju IKT:

(a)

vsebuje najdaljši čas okrevanja za njihove kritične funkcije, ki ni daljši od dveh ur;

(b)

upošteva zunanje povezave in soodvisnosti znotraj finančnih infrastruktur, vključno z mesti trgovanja, za katere kliring opravlja centralna nasprotna stranka, sistemi poravnave vrednostnih papirjev in plačilnimi sistemi ter kreditnimi institucijami, ki jih uporablja centralna nasprotna stranka ali povezana centralna nasprotna stranka;

(c)

zahteva, da so vzpostavljene ureditve, da se:

(i)

zagotovi neprekinjenost kritičnih ali pomembnih funkcij centralne nasprotne stranke na podlagi scenarijev nesreč;

(ii)

vzdržuje sekundarna lokacija za obdelavo, ki lahko zagotovi neprekinjenost kritičnih ali pomembnih funkcij centralne nasprotne stranke, enako kot primarna lokacija;

(iii)

vzdržuje sekundarna lokacija poslovanja ali je možen takojšen dostop do nje, da lahko zaposleni zagotovijo neprekinjenost storitve, če primarna lokacija poslovanja ni na voljo;

(iv)

upošteva potreba po dodatnih lokacijah za obdelavo, zlasti če razlika med profiloma tveganja primarne in sekundarne lokacije ne zagotavlja zadostne gotovosti, da bodo cilji neprekinjenega poslovanja centralne nasprotne stranke doseženi v vseh scenarijih.

Za namene točke (a) centralne nasprotne stranke zaključijo postopke in plačila ob koncu dneva ob zahtevanem času in na zahtevani dan v vseh okoliščinah.

Za namene točke (c)(i) ureditve iz navedene točke obravnavajo razpoložljivost ustreznih človeških virov, najdaljši čas izpada kritičnih funkcij ter samodejni preklop in obnovitev na sekundarni lokaciji.

Za namene točke (c)(ii) ima sekundarna lokacija za obdelavo iz navedene točke geografski profil tveganja, ki se razlikuje od profila primarne lokacije.

EULAW

Člen 24 3.

Poleg zahtev iz odstavka 1 centralne depotne družbe zagotovijo, da njihova politika neprekinjenega poslovanja na področju IKT:

(a)

upošteva vse povezave in soodvisnosti z uporabniki, izvajalci ključnih javnih in drugih storitev, drugimi centralnimi depotnimi družbami in drugimi tržnimi infrastrukturami;

(b)

zahteva, da njene ureditve neprekinjenega poslovanja na področju IKT zagotovijo, da cilj glede časa okrevanja za njihove kritične ali pomembne funkcije ni daljši od dveh ur.

EULAW

Člen 24 4.

Poleg zahtev iz odstavka 1 mesta trgovanja zagotovijo, da njihova politika neprekinjenega poslovanja na področju IKT zagotavlja, da:

(a)

se lahko trgovanje ponovno vzpostavi v dveh urah ali približno dveh urah od incidenta, ki povzroči motnjo;

(b)

je največja količina podatkov, ki se lahko izgubijo iz katere koli storitve IT mesta trgovanja po incidentu, ki povzroči motnjo, blizu nič.

EULAW

Člen 25 1.

Finančni subjekti pri testiranju načrtov neprekinjenega poslovanja na področju IKT v skladu s členom 11(6) Uredbe (EU) 2022/2554 upoštevajo svojo analizo vpliva na poslovanje in oceno tveganja na področju IKT iz člena 3(1), točka (b), te uredbe.

EULAW

Člen 25 2.

Finančni subjekti s testiranjem svojih načrtov neprekinjenega poslovanja na področju IKT iz odstavka 1 ocenijo, ali so sposobni zagotoviti neprekinjenost kritičnih ali pomembnih funkcij finančnega subjekta. To testiranje:

(a)

se izvede na podlagi testnih scenarijev, ki simulirajo morebitne motnje, vključno z ustreznim nizom resnih, vendar verjetnih scenarijev;

(b)

vključuje testiranje storitev IKT, ki jih opravljajo tretji ponudniki storitev IKT, kadar je ustrezno;

(c)

za finančne subjekte, ki niso mikropodjetja, kot je navedeno v členu 11(6), drugi pododstavek, Uredbe (EU) 2022/2554, vključuje scenarije preklopa s primarne infrastrukture IKT na redundantno zmogljivost, rezervne sisteme in redundantne obrate;

(d)

je zasnovano tako, da izpodbija predpostavke, na katerih temeljijo načrti neprekinjenega poslovanja, vključno z ureditvami upravljanja in načrti obveščanja o kriznih razmerah;

(e)

vsebuje postopke za preverjanje sposobnosti zaposlenih v finančnih subjektih, tretjih ponudnikov storitev IKT, sistemov IKT in storitev IKT, da se ustrezno odzovejo na scenarije, ki se ustrezno upoštevajo v skladu s členom 26(2).

Za namene točke (a) finančni subjekti v testiranje vedno vključijo scenarije, ki se upoštevajo pri pripravi načrtov neprekinjenega poslovanja.

Za namene točke (b) finančni subjekti ustrezno upoštevajo scenarije, povezane z insolventnostjo ali prenehanjem delovanja tretjih ponudnikov storitev IKT ali povezane s političnimi tveganji v jurisdikcijah tretjih ponudnikov storitev IKT, kadar je to ustrezno.

Za namene točke (c) se s testiranjem preveri, ali lahko vsaj kritične ali pomembne funkcije ustrezno delujejo dovolj dolgo in ali je mogoče obnoviti normalno delovanje.

EULAW

Člen 25 3.

Poleg zahtev iz odstavka 2 centralne nasprotne stranke v testiranje svojih načrtov neprekinjenega poslovanja na področju IKT iz odstavka 1 vključijo:

(a)

klirinške člane;

(b)

zunanje ponudnike;

(c)

ustrezne institucije v finančni infrastrukturi, s katerimi so centralne nasprotne stranke ugotovile soodvisnosti v svojih politikah neprekinjenega poslovanja.

EULAW

Člen 25 4.

Poleg zahtev iz odstavka 2 centralne depotne družbe v testiranje svojih načrtov neprekinjenega poslovanja na področju IKT iz odstavka 1 vključijo, kot je ustrezno:

(a)

uporabnike centralnih depotnih družb;

(b)

izvajalce ključnih javnih in drugih storitev;

(c)

druge centralne depotne družbe;

(d)

druge tržne infrastrukture;

(e)

vse druge institucije, s katerimi so centralne depotne družbe ugotovile soodvisnosti v svoji politiki neprekinjenega poslovanja.

EULAW

Člen 25 5.

Finančni subjekti dokumentirajo rezultate testiranja iz odstavka 1. Vse prepoznane pomanjkljivosti na podlagi tega testiranja se analizirajo, odpravijo in sporočijo upravljalnemu organu.

EULAW

Člen 26 1.

Finančni subjekti pri pripravi načrtov odzivanja in okrevanja IKT iz člena 11(3) Uredbe (EU) 2022/2554 upoštevajo rezultate svoje analize vpliva na poslovanje. Načrti odzivanja in okrevanja IKT:

(a)

določajo pogoje za njihovo aktivacijo ali deaktivacijo in vse izjeme za tako aktivacijo ali deaktivacijo;

(b)

opisujejo, katere ukrepe je treba sprejeti za zagotovitev razpoložljivosti, celovitosti, neprekinjenosti in okrevanja vsaj sistemov in storitev IKT, ki podpirajo kritične ali pomembne funkcije finančnega subjekta;

(c)

so oblikovani tako, da izpolnjujejo cilje obnovitve poslovanja finančnih subjektov;

(d)

so dokumentirani in dani na voljo zaposlenim, vključenim v izvajanje načrtov odzivanja in okrevanja IKT, ter so zlahka dostopni v izrednih razmerah;

(e)

določajo kratkoročne in dolgoročne možnosti okrevanja, vključno z delnim okrevanjem sistemov;

(f)

določajo cilje načrtov odzivanja in okrevanja IKT ter pogoje, da se izvedba teh načrtov razglasi za uspešno.

Za namene točke (d) finančni subjekti jasno opredelijo vloge in odgovornosti.

EULAW

Člen 26 2.

V načrtih odzivanja in okrevanja IKT iz odstavka 1 se opredelijo ustrezni scenariji, vključno s scenariji resnih motenj poslovanja in povečane verjetnosti pojava motnje. V teh načrtih se razvijejo scenariji, ki temeljijo na trenutnih informacijah o grožnjah in izkušnjah, pridobljenih pri preteklih pojavov motenj poslovanja. Finančni subjekti ustrezno upoštevajo vse naslednje scenarije:

(a)

kibernetske napade in preklope med primarno infrastrukturo IKT in redundantno zmogljivostjo, rezervnimi sistemi in redundantnimi obrati;

(b)

scenarije, v katerih se kakovost zagotavljanja kritične ali pomembne funkcije poslabša na nesprejemljivo raven ali odpove in se ustrezno upošteva morebitni vpliv insolventnosti ali drugih vrst prenehanja delovanja katerega koli zadevnega tretjega ponudnika storitev IKT;

(c)

delno ali popolno neuporabnost prostorov, vključno s pisarniškimi in poslovnimi prostori, ter podatkovnih centrov;

(d)

znatno odpoved sredstev IKT ali komunikacijske infrastrukture;

(e)

nerazpoložljivost kritičnega števila zaposlenih ali zaposlenih, odgovornih za zagotavljanje neprekinjenega delovanja;

(f)

vpliv dogodkov, povezanih s podnebnimi spremembami in degradacijo okolja, naravnih nesreč, pandemij in fizičnih napadov, vključno z vdori in terorističnimi napadi;

(g)

notranje napade;

(h)

politično in socialno nestabilnost, tudi, kjer je ustrezno, v jurisdikciji tretjega ponudnika storitev IKT in na lokaciji, kjer se podatki shranjujejo in obdelujejo;

(i)

razširjene izpade električne energije.

EULAW

Člen 26 3.

Kadar primarni ukrepi okrevanja kratkoročno morda niso izvedljivi zaradi stroškov, tveganj, logistike ali nepredvidenih okoliščin, se v načrtih odzivanja in okrevanja IKT iz odstavka 1 preučijo alternativne možnosti.

EULAW

Člen 26 4.

Finančni subjekti v okviru načrtov odzivanja in okrevanja IKT iz odstavka 1 preučijo in izvajajo ukrepe za neprekinjenost, da bi ublažili prenehanje delovanja tretjih ponudnikov storitev IKT, ki podpirajo kritične ali pomembne funkcije finančnega subjekta.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.