+Člen 10 2.

Člen 10 2.

S postopki upravljanja ranljivosti iz odstavka 1 se:

(a) 

identificirajo in posodabljajo ustrezni in zaupanja vredni informacijski viri za krepitev in ohranjanje ozaveščenosti o ranljivostih;

(b) 

zagotovi izvajanje avtomatiziranega pregledovanja in ocenjevanja ranljivosti sredstev IKT, pri čemer sta pogostost in obseg teh dejavnosti sorazmerna z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in splošnim profilom tveganja sredstva IKT;

(c) 

preveri, ali:

(i) 

tretji ponudniki storitev IKT obravnavajo ranljivosti, povezane s storitvami IKT, ki jih opravljajo za finančni subjekt;

(ii) 

ti ponudniki storitev finančnemu subjektu pravočasno poročajo vsaj o kritičnih ranljivostih ter statističnih podatkih in trendih;

(d) 

spremlja uporaba:

(i) 

knjižnic tretjih oseb, vključno z odprtokodnimi knjižnicami, ki jih uporabljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije;

(ii) 

storitev IKT, ki jih je razvil finančni subjekt sam ali jih je za finančni subjekt posebej prilagodil ali razvil tretji ponudnik storitev IKT;

(e) 

vzpostavijo postopki za odgovorno razkritje ranljivosti strankam, nasprotnim strankam in javnosti;

(f) 

daje prednost uvajanju popravkov in drugih blažilnih ukrepov za odpravo prepoznanih ranljivosti;

(g) 

spremlja in preverja sanacijo ranljivosti;

(h) 

zahteva evidentiranje vseh odkritih ranljivosti, ki vplivajo na sisteme IKT, in spremljanje njihovega razreševanja.

Za namene točke (b) finančni subjekti vsaj enkrat tedensko izvajajo avtomatizirano pregledovanje in ocenjevanje ranljivosti sredstev IKT za sredstva IKT, ki podpirajo kritične ali pomembne funkcije.

Za namene točke (c) finančni subjekti od tretjih ponudnikov storitev IKT zahtevajo, da raziščejo zadevne ranljivosti, določijo temeljne vzroke in izvedejo ustrezne blažilne ukrepe.

Za namene točke (d) finančni subjekti, kadar je primerno v sodelovanju s tretjim ponudnikom storitev IKT, spremljajo različico in morebitne posodobitve knjižnic tretjih oseb. V primeru za uporabo pripravljenih (komercialnih) sredstev IKT ali komponent sredstev IKT, pridobljenih in uporabljenih pri delovanju storitev IKT, ki ne podpirajo kritičnih ali pomembnih funkcij, finančni subjekti v največji možni meri spremljajo uporabo knjižnic tretjih oseb, vključno z odprtokodnimi knjižnicami.

Za namene točke (f) finančni subjekti upoštevajo kritičnost ranljivosti, razvrstitev, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in profil tveganja sredstev IKT, ki jih prizadenejo prepoznane ranljivosti.

1. Pregled

,

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi