+Avsnitt 2
---+Artikel 3 IKT-riskhantering

Avsnitt 2

Avsnitt 2

1. Översikt

,
Artikel 3 IKT-riskhantering

Artikel 3

IKT-riskhantering

Finansiella entiteter ska utarbeta, dokumentera och genomföra strategier och förfaranden för IKT-riskhantering som ska innehålla allt av följande:

a) 

En indikation på godkännandet av risktoleransnivån för IKT-risk enligt artikel 6.8 b i förordning (EU) 2022/2554.

b) 

Ett förfarande och en metod för att genomföra IKT-riskbedömningen, som identifierar

i) 

sårbarheter och hot som berör eller kan beröra de affärsfunktioner som stöds och de IKT-system och IKT-tillgångar som stöder dessa funktioner,

ii) 

kvantitativa eller kvalitativa indikatorer för att mäta effekten av och sannolikheten för de sårbarheter och hot som avses i led i.

c) 

Förfarandet för att identifiera, genomföra och dokumentera IKT-riskhanteringsåtgärder för de IKT-risker som identifierats och bedömts, inbegripet fastställandet av IKT-riskhanteringsåtgärder som är nödvändiga för att IKT-risken ska ligga inom den risktoleransnivå som avses i led a.

d) 

När det gäller de kvarstående IKT-risker som fortfarande föreligger efter genomförandet av de IKT-riskhanteringsåtgärder som avses i led c:

i) 

Bestämmelser om identifiering av dessa kvarstående IKT-risker.

ii) 

Fördelning av roller och ansvarsområden avseende

1) 

accepterandet av de kvarstående IKT-risker som överskrider den finansiella entitetens risktoleransnivå enligt led a,

2) 

den översynsprocess som avses i led iv i detta led d.

iii) 

Utarbetandet av en förteckning av de accepterade kvarstående IKT-riskerna, inklusive en motivering till varför de accepteras.

iv) 

Bestämmelser om översyn av de accepterade kvarstående IKT-riskerna minst en gång per år, inbegripet

1) 

identifiering av eventuella förändringar av de kvarstående IKT-riskerna,

2) 

bedömning av tillgängliga begränsningsåtgärder,

3) 

bedömning av huruvida de skäl som motiverar accepterandet av kvarstående IKT-risker fortfarande är giltiga och tillämpliga vid tidpunkten för översynen.

e) 

Bestämmelser om övervakning av

i) 

eventuella förändringar i IKT-riskbilden och cyberhotbilden,

ii) 

interna och externa sårbarheter och hot,

iii) 

den finansiella entitetens IKT-risk, vilket möjliggör snabb upptäckt av förändringar som kan beröra dess IKT-riskprofil.

f) 

Bestämmelser om en process för att säkerställa att förändringar av den finansiella entitetens affärsstrategi och strategi för digital operativ motståndskraft beaktas.

Vid tillämpning av första stycket c ska det förfarande som avses i det ledet säkerställa

a) 

övervakning av ändamålsenligheten hos de IKT-riskhanteringsåtgärder som genomförts,

b) 

bedömning av huruvida den finansiella entitetens fastställda risktoleransnivåer har uppnåtts,

c) 

bedömning av huruvida den finansiella entiteten har vidtagit åtgärder för att vid behov korrigera eller förbättra dessa åtgärder.

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

Krav

3. Relaterade standarder

Standarder
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.