+Člen 27 2.

Člen 27 2.

Finančni subjekti v poročilo iz odstavka 1 vključijo vse naslednje informacije:

(a) 

uvodni del, v katerem:

(i) 

je jasno opredeljen finančni subjekt, ki je predmet poročila, in po potrebi opisana struktura njegove skupine;

(ii) 

je opisan kontekst poročila v smislu narave, obsega in kompleksnosti storitev, dejavnosti in poslovanja finančnega subjekta, njegove organizacije, identificiranih kritičnih funkcij, strategije, velikih tekočih projektov ali dejavnosti, odnosov in njegove odvisnosti od notranjih in pogodbenih storitev in sistemov IKT ali posledic, ki bi jih imela popolna izguba ali resna degradacija takih sistemov v smislu kritičnih ali pomembnih funkcij in učinkovitosti trga;

(iii) 

so povzete večje spremembe okvira za obvladovanje tveganj na področju IKT od prejšnjega predloženega poročila;

(iv) 

je predstavljen povzetek trenutnega in kratkoročnega profila tveganja na področju IKT, okolja groženj, ocenjene učinkovitosti njegovih kontrol in varnostnega stanja finančnega subjekta;

(b) 

datum, ko je upravljalni organ finančnega subjekta odobril poročilo;

(c) 

opis razloga za pregled okvira za obvladovanje tveganj na področju IKT v skladu s členom 6(5) Uredbe (EU) 2022/2554;

(d) 

začetni in končni datum obdobja pregleda;

(e) 

navedbo funkcije, odgovorne za pregled;

(f) 

opis večjih sprememb in izboljšav okvira za obvladovanje tveganj na področju IKT od prejšnjega pregleda;

(g) 

povzetek ugotovitev pregleda ter podrobno analizo in oceno resnosti slabosti, pomanjkljivosti in vrzeli v okviru za obvladovanje tveganj na področju IKT v obdobju pregleda;

(h) 

opis ukrepov za odpravo identificiranih slabosti, pomanjkljivosti in vrzeli, vključno z vsem naslednjim:

(i) 

povzetkom ukrepov, sprejetih za sanacijo identificiranih slabosti, pomanjkljivosti in vrzeli;

(ii) 

pričakovanim datumom za izvedbo ukrepov in datumi, povezanimi z notranjo kontrolo izvajanja, vključno z informacijami o napredku pri izvajanju teh ukrepov na datum priprave poročila, pri čemer se pojasni, kadar je ustrezno, ali obstaja tveganje, da roki ne bodo upoštevani;

(iii) 

orodji, ki se bodo uporabila, in opredelitvijo funkcije, odgovorne za izvajanje ukrepov, z navedbo, ali so orodja in funkcije notranji ali zunanji;

(iv) 

opisom učinka sprememb, predvidenih v ukrepih, na proračunske, človeške in materialne vire finančnega subjekta, vključno z viri, namenjenimi izvajanju morebitnih popravnih ukrepov;

(v) 

informacijami o postopku obveščanja pristojnega organa, kadar je primerno;

(vi) 

če identificirane slabosti, pomanjkljivosti ali vrzeli niso predmet popravnih ukrepov, podrobno razlago meril, uporabljenih za analizo učinka teh slabosti, pomanjkljivosti ali vrzeli za oceno povezanega preostalega tveganja na področju IKT, in meril, uporabljenih za sprejetje povezanega preostalega tveganja;

(i) 

informacije o načrtovanem nadaljnjem razvoju okvira za obvladovanje tveganj na področju IKT;

(j) 

sklepe, dosežene na podlagi pregleda okvira za obvladovanje tveganj na področju IKT;

(k) 

informacije o preteklih pregledih, vključno s:

(i) 

seznamom dosedanjih preteklih pregledov;

(ii) 

kadar je ustrezno, stanjem izvajanja popravnih ukrepov, določenih v zadnjem poročilu;

(iii) 

če so se v preteklih pregledih predlagani popravni ukrepi izkazali za neučinkovite ali so povzročili nepričakovane izzive, opisom, kako bi bilo te popravne ukrepe mogoče izboljšati, ali opisom teh nepričakovanih izzivov;

(l) 

vire informacij, uporabljene pri pripravi poročila, vključno z vsem naslednjim:

(i) 

za finančne subjekte, ki niso mikropodjetja, iz člena 6(6) Uredbe (EU) 2022/2554 rezultati notranjih revizij;

(ii) 

rezultati ocen skladnosti;

(iii) 

rezultati testiranja digitalne operativne odpornosti in, kadar je ustrezno, rezultati naprednega testiranja orodij, sistemov in postopkov IKT, ki temelji na penetracijskem testiranju, na podlagi analize groženj;

(iv) 

zunanjimi viri.

Za namene točke (c), kadar se je pregled začel po nadzorniških navodilih ali sklepih, ki izhajajo iz ustreznih postopkov testiranja ali revizije digitalne operativne odpornosti, poročilo vsebuje izrecne sklice na taka navodila ali sklepe, kar omogoča opredelitev razloga za začetek pregleda. Kadar se je pregled začel po incidentih, povezanih z IKT, poročilo vsebuje seznam vseh incidentov, povezanih z IKT, skupaj z analizo temeljnih vzrokov incidentov.

Za namene točke (f) opis vsebuje analizo učinka sprememb na strategijo finančnega subjekta za digitalno operativno odpornost, na okvir notranjega nadzora finančnega subjekta na področju IKT in na upravljanje finančnega subjekta z obvladovanjem tveganj na področju IKT.

1. Pregled

,

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi