+Člen 11 2.

Člen 11 2.

Postopek za varnost podatkov in sistemov iz odstavka 1 vsebuje vse naslednje elemente v zvezi z varnostjo podatkov in sistemov IKT v skladu z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554:

(a) 

omejitve dostopa iz člena 21 te uredbe, ki podpirajo zahteve glede zaščite za vsako stopnjo razvrstitve;

(b) 

opredelitev osnove varne konfiguracije za sredstva IKT, ki čim bolj zmanjšuje izpostavljenost teh sredstev IKT kibernetskim grožnjam, in ukrepe za redno preverjanje, ali se te osnove učinkovito uporabljajo;

(c) 

opredelitev varnostnih ukrepov za zagotovitev, da se v sisteme IKT in končne naprave namesti samo odobrena programska oprema;

(d) 

opredelitev varnostnih ukrepov proti zlonamernim kodam;

(e) 

opredelitev varnostnih ukrepov za zagotovitev, da se za prenos in shranjevanje podatkov finančnega subjekta uporabljajo samo odobrene naprave za shranjevanje podatkov, sistemi in končne naprave;

(f) 

naslednje zahteve za varno uporabo prenosnih končnih naprav in zasebnih neprenosnih končnih naprav:

(i) 

zahtevo po uporabi rešitve za upravljanje, ki omogoča upravljanje končnih naprav na daljavo in brisanje podatkov finančnega subjekta na daljavo;

(ii) 

zahtevo po uporabi varnostnih mehanizmov, ki jih zaposleni ali tretji ponudniki storitev IKT ne morejo nepooblaščeno spremeniti, odstraniti ali obiti;

(iii) 

zahtevo, da se odstranljive naprave za shranjevanje podatkov uporabljajo le, kadar je preostalo tveganje na področju IKT v mejah tolerančne ravni tveganja finančnega subjekta iz člena 3, prvi pododstavek, točka (a);

(g) 

postopek za varno brisanje podatkov, prisotnih v prostorih finančnega subjekta ali hranjenih zunaj njih, ki jih finančnemu subjektu ni več treba zbirati ali hraniti;

(h) 

postopek za varno odstranitev ali razgradnjo naprav za shranjevanje podatkov, prisotnih v prostorih finančnega subjekta ali hranjenih zunaj njih, ki vsebujejo zaupne informacije;

(i) 

opredelitev in izvajanje varnostnih ukrepov za preprečevanje izgube in uhajanja podatkov za sisteme in končne naprave;

(j) 

izvajanje varnostnih ukrepov za zagotavljanje, da delo na daljavo in uporaba zasebnih končnih naprav ne vplivata negativno na varnost IKT finančnega subjekta;

(k) 

za sredstva ali storitve IKT, ki jih upravlja tretji ponudnik storitev IKT, opredelitev in izvajanje zahtev za ohranjanje digitalne operativne odpornosti v skladu z rezultati razvrstitve podatkov in ocene tveganja na področju IKT.

Za namene točke (b) se pri osnovi varne konfiguracije iz navedene točke upoštevajo vodilne prakse in ustrezne tehnike, določene v standardih, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012.

Za namene točke (k) finančni subjekti upoštevajo naslednje:

(a) 

izvedbo nastavitev za elemente, ki jih upravlja finančni subjekt, kot jih priporoča prodajalec;

(b) 

jasno razdelitev vlog in odgovornosti na področju informacijske varnosti med finančnim subjektom in tretjim ponudnikom storitev IKT v skladu z načelom, da je finančni subjekt v celoti odgovoren za svojega tretjega ponudnika storitev IKT, iz člena 28(1), točka (a), Uredbe (EU) 2022/2554, in v skladu s politiko finančnega subjekta o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, za finančne subjekte iz člena 28(2) navedene uredbe;

(c) 

potrebo po zagotavljanju in ohranjanju ustreznih kompetenc znotraj finančnega subjekta na področju upravljanja in varnosti uporabljene storitve;

(d) 

tehnične in organizacijske ukrepe za zmanjšanje tveganj, povezanih z infrastrukturo, ki jo tretji ponudnik storitev IKT uporablja za svoje storitve IKT, na najnižjo možno raven ob upoštevanju vodilnih praks in standardov, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012.

1. Pregled

,

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi