+Oddelek 2
---+Člen 3 Obvladovanje tveganj na področju IKT

Oddelek 2

Oddelek 2

1. Pregled

,
Člen 3 Obvladovanje tveganj na področju IKT

Člen 3

Obvladovanje tveganj na področju IKT

Finančni subjekti razvijejo, dokumentirajo in izvajajo politike in postopke za obvladovanje tveganj na področju IKT, ki vsebujejo vse naslednje:

(a) 

navedbo odobritve tolerančne ravni tveganja za tveganje na področju IKT, določene v skladu s členom 6(8), točka (b), Uredbe (EU) 2022/2554;

(b) 

postopek in metodologijo za izvedbo ocene tveganja na področju IKT, v katerih so opredeljeni:

(i) 

ranljivosti in grožnje, ki vplivajo ali bi lahko vplivale na podprte poslovne funkcije, sisteme IKT in sredstva IKT, ki podpirajo te funkcije;

(ii) 

kvantitativni ali kvalitativni kazalniki za merjenje učinka in verjetnosti ranljivosti in groženj iz točke (i);

(c) 

postopek za opredelitev, izvajanje in dokumentiranje ukrepov za obravnavo tveganj na področju IKT za identificirana in ocenjena tveganja na področju IKT, vključno z določitvijo ukrepov za obravnavo tveganj na področju IKT, potrebnih za uskladitev tveganja na področju IKT s tolerančno ravnjo tveganja iz točke (a);

(d) 

za preostala tveganja na področju IKT, ki so še vedno prisotna po izvajanju ukrepov za obravnavo tveganj na področju IKT iz točke (c):

(i) 

določbe o identifikaciji teh preostalih tveganj na področju IKT;

(ii) 

dodelitev vlog in odgovornosti v zvezi s:

(1) 

sprejetjem preostalih tveganj na področju IKT, ki presegajo tolerančno raven tveganja finančnega subjekta iz točke (a);

(2) 

postopkom pregleda iz točke (iv) te točke (d);

(iii) 

pripravo popisa sprejetih preostalih tveganj na področju IKT, vključno z utemeljitvijo njihovega sprejetja;

(iv) 

določbe o pregledu sprejetih preostalih tveganj na področju IKT vsaj enkrat letno, vključno z:

(1) 

identifikacijo vseh sprememb preostalih tveganj na področju IKT;

(2) 

oceno razpoložljivih blažilnih ukrepov;

(3) 

oceno, ali so razlogi, ki upravičujejo sprejetje preostalih tveganj na področju IKT, še vedno veljavni in se uporabljajo na datum pregleda;

(e) 

določbe o spremljanju:

(i) 

vseh sprememb tveganja na področju IKT in okolja kibernetskih groženj;

(ii) 

notranjih in zunanjih ranljivosti in groženj;

(iii) 

tveganja finančnega subjekta na področju IKT, ki omogoča hitro odkrivanje sprememb, ki bi lahko vplivale na njegov profil tveganja na področju IKT;

(f) 

določbe o postopku za zagotovitev, da se upoštevajo vse spremembe poslovne strategije in strategije za digitalno operativno odpornost finančnega subjekta.

Za namene prvega odstavka, točka (c), postopek iz navedene točke zagotavlja:

(a) 

spremljanje učinkovitosti izvedenih ukrepov za obravnavo tveganj na področju IKT;

(b) 

oceno, ali so bile dosežene določene tolerančne ravni tveganja finančnega subjekta;

(c) 

oceno, ali je finančni subjekt sprejel ukrepe za popravek ali izboljšanje navedenih ukrepov, kadar je potrebno.

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi