54. Vid denna bedömning ska de behöriga myndigheterna särskilt beakta huruvida ramverket a. …

Vid denna bedömning ska de behöriga myndigheterna särskilt beakta huruvida ramverket

• a. identifierar de kritiska IKT-processer och de relevanta stödjande IKT-system som ska vara del av resiliens- och kontinuitetsplanerna med följande:
• i. En omfattande analys av beroenden mellan de kritiska affärsprocesserna och stödsystemen.
• ii. Fastställande av återställningsmål för de stödjande IKT-systemen (t.ex. typiskt fastställda genom verksamheten och/eller bestämmelser vad gäller RTO och RPO).
• iii. Lämplig beredskapsplanering för att möjliggöra tillgänglighet, kontinuitet och återställning av kritiska IKT-system och tjänster för att minimera avbrott i institutets verksamhet inom acceptabla gränser.
• b. Huruvida ramverket har policyer och standarder för resiliens, kontinuitet och operativa kontroller som omfattar följande:
• i. Åtgärder för att undvika att ett enskilt scenario eller en enskild incident eller katastrof påverkar både IKT-produktionssystem och reservsystem.
• ii. IKT-backup- och återställningsprocesser för kritisk programvara och data som säkerställer att dessa säkerhetskopior lagras på en säker och tillräckligt avlägsen plats, så att en incident eller katastrof inte kan förstöra eller förvanska dessa kritiska data.
• iii. Övervakningssystem så att incidenter som rör tillgänglighet eller kontinuitet kan upptäckas i tid.
• iv. En dokumenterad process för hantering och eskalering av incidenter som också tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation.
• v. Fysiska åtgärder såväl för att skydda institutets kritiska IKT-infrastruktur (t.ex. datacentraler) från miljörisker (t.ex. översvämning och andra naturkatastrofer) och säkerställa en lämplig operativ miljö för IKT-systemen (t.ex. luftkonditionering).
• vi. Processer, roller och ansvarsområden för att säkerställa att även utkontrakterade IKT-system och IKT-tjänster omfattas av tillräcklig resiliens och kontinuitetslösningar och planer.
• vii. Planering av IKT-prestanda och kapacitet samt övervakningslösningar för kritiska IKT-system och IKT-tjänster med fastställda krav på tillgänglighet, för att upptäcka viktiga begränsningar i prestanda och kapacitet i rätt tid.
• viii. Lösningar för att skydda kritisk internetverksamhet eller kritiska tjänster (t.ex. e-banktjänster), när det är nödvändigt och lämpligt, mot överbelastnings- och andra cyber-attacker från internet i syfte att förhindra eller störa åtkomst till denna verksamhet och dessa tjänster.
• c. Huruvida ramverket testar lösningar för tillgänglighet och kontinuitet mot en rad realistiska scenarier, inbegripet cyber-attacker, omställningstester (fail-over) och tester av backup för kritisk programvara och data, som
• i. är planerade, formaliserade och dokumenterade, och testresultaten används för att öka effektiviteten i lösningar som avser tillgänglighet och kontinuitet,
• ii. innefattar berörda parter och funktioner inom organisationen, såsom hantering av affärsområden, inbegripet arbetsgrupper som är ansvariga för kontinuitets-, incident- och krishantering, samt relevanta externa intressenter i ekosystemet,
• iii. ledningsorgan och verkställande ledning är delaktiga i på ett lämpligt sätt (t.ex. som en del av en krishanteringsgrupp), vilka också får information om testresultat.
• (b) Kontroller för att hantera väsentliga IKT-säkerhetsrisker

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/