+Crisis Management

Crisis Management

Formulate and maintain a crisis management team tasked with overseeing and coordinating actions during a crisis or major disruption. Regularly review recovery/response plans. Make necessary adjustments to enhance effectiveness.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 11 1

1.   Som en del av den IKT-riskhanteringsram som avses i artikel 6.1 och baserat på identifieringskraven i artikel 8 ska finansiella entiteter införa en heltäckande IKT-kontinuitetspolicy, vilken kan antas som en särskild specifik plan och utgöra en integrerad del av den finansiella entitetens övergripande kontinuitetsplan.
EULAW Artikel 11 6

6.   Som en del av sin övergripande IKT-riskhantering ska finansiella entiteter

a)

testa IKT-kontinuitetsplanerna och åtgärds- och återställningsplanerna avseende IKT för de IKT-system som stöder alla funktioner minst en gång per år samt i samband med omfattande ändringar av de IKT-system som stöder kritiska eller viktiga funktioner,

b)

testa de kriskommunikationsplaner som har upprättats i enlighet med artikel 14.

Vid tillämpning av första stycket led a ska andra finansiella entiteter än mikroföretag i testplanerna inkludera scenarier för cyberangrepp och byten mellan den primära IKT-infrastrukturen och den reservkapacitet, de säkerhetskopior och reservanläggningar som krävs för att uppfylla de skyldigheter som anges i artikel 12.

Finansiella entiteter ska regelbundet se över sin IKT-kontinuitetspolicy och sina åtgärds- och återställningsplaner avseende IKT med hänsyn till resultatet av tester som har utförts i enlighet med första stycket och rekommendationer från revisionskontroller eller tillsynsgranskningar.
EULAW Artikel 11 2

2.   Finansiella entiteter ska genomföra IKT-kontinuitetspolicyn genom särskilda, lämpliga och dokumenterade arrangemang, planer, förfaranden och mekanismer som syftar till att

a)

säkerställa kontinuiteten i den finansiella entitetens kritiska eller viktiga funktioner,

b)

snabbt, lämpligt och effektivt reagera på och lösa alla IKT-relaterade incidenter på ett sätt som begränsar skador och prioriterar återupptagandet av verksamhet och återställningsåtgärder,

c)

utan dröjsmål aktivera särskilda planer som möjliggör begränsningsåtgärder, processer och teknik som är anpassade till varje typ av IKT-relaterad incident och som förhindrar ytterligare skador, samt skräddarsydda åtgärds- och återställningsförfaranden som har fastställts i enlighet med artikel 12,

d)

beräkna preliminära effekter, skador och förluster,

e)

fastställa kommunikations- och krishanteringsinsatser som säkerställer att uppdaterad information överförs till all berörd intern personal och alla externa berörda parter i enlighet med artikel 14 och rapportera till behöriga myndigheter i enlighet med artikel 19.
EULAW Artikel 11 4

4.   Finansiella entiteter ska införa, upprätthålla och regelbundet testa lämpliga IKT-kontinuitetsplaner, särskilt när det gäller kritiska eller viktiga funktioner som har utkontrakterats eller kontrakterats genom arrangemang med tredjepartsleverantörer av IKT-tjänster.
EULAW Artikel 11 5

5.   Finansiella entiteter ska som en del av sin övergripande IKT-kontinuitetspolicy genomföra en verksamhetskonsekvensanalys av hur exponerade de är mot allvarliga störningar i verksamheten. I verksamhetskonsekvensanalysen ska finansiella entiteter bedöma vilka potentiella följder som allvarliga störningar i verksamheten kan få genom kvantitativa och kvalitativa kriterier och med hjälp av interna och externa data och scenarioanalys, beroende på vad som är lämpligt. I verksamhetskonsekvensanalysen ska hänsyn tas till kritikaliteten i de identifierade och kartlagda affärsfunktionerna, stödprocesserna, tredjepartsberoendena och informationstillgångarna, samt deras ömsesidiga beroende. Finansiella entiteter ska säkerställa att IKT-tillgångarna och IKT-tjänsterna är utformade och används i full samstämmighet med verksamhetskonsekvensanalysen, särskilt vad gäller att i tillräcklig utsträckning säkerställa reservkapaciteten för alla kritiska komponenter.
EULAW Artikel 11 7

7.   Andra finansiella entiteter än mikroföretag ska ha en krishanteringsfunktion som, om deras IKT-kontinuitetsplaner eller åtgärds- och återställningsplaner avseende IKT aktiveras, bland annat ska innehålla tydliga förfaranden för hantering av intern och extern kriskommunikation i enlighet med artikel 14.
EULAW Artikel 11 8

8.   Finansiella entiteter ska ha lättillgänglig dokumentation om den verksamhet som pågår före och under avbrott när deras IKT-kontinuitetsplaner och åtgärds- och återställningsplaner avseende IKT aktiveras.
EULAW Artikel 11 9

9.   Värdepapperscentraler ska förse de behöriga myndigheterna med kopior av resultatet av IKT-kontinuitetstesterna eller liknande övningar.
EULAW Artikel 11 10

10.   Andra finansiella entiteter än mikroföretag ska på begäran till de behöriga myndigheterna lämna en uppskattning av de totala årliga kostnader och förluster som orsakas av allvarliga IKT-relaterade incidenter.
EULAW Artikel 14 1

1.   Som en del av den IKT-riskhanteringsram som avses i artikel 6.1 ska finansiella entiteter ha kriskommunikationsplaner som gör det möjligt att på ett ansvarsfullt sätt informera kunder och motparter samt allmänheten om åtminstone allvarliga IKT-relaterade incidenter eller sårbarheter, beroende på vad som är lämpligt.
EULAW Artikel 24 1.

Finansiella entiteter ska i sin IKT-kontinuitetspolicy som avses i artikel 11.1 i förordning (EU) 2022/2554 inkludera allt av följande:

a) 

En beskrivning av

i) 

målen för IKT-kontinuitetspolicyn, inbegripet sambandet mellan IKT och övergripande kontinuitet, och med beaktande av resultaten av den verksamhetskonsekvensanalys som avses i artikel 11.5 i förordning (EU) 2022/2554,

ii) 

omfattningen av arrangemang, planer, förfaranden och mekanismer för IKT-kontinuitet, inklusive begränsningar och uteslutningar,

iii) 

den tidsram som ska täckas av arrangemangen, planerna, förfarandena och mekanismerna för IKT-kontinuitet,

iv) 

kriterierna för att aktivera och inaktivera IKT-kontinuitetsplaner, åtgärds- och återställningsplaner avseende IKT samt kriskommunikationsplaner.

b) 

Bestämmelser om

i) 

styrning och organisation för att genomföra IKT-kontinuitetspolicyn, inklusive roller, ansvarsområden och eskaleringsförfaranden, som säkerställer att tillräckliga resurser finns tillgängliga,

ii) 

anpassning mellan IKT-kontinuitetsplanerna och de övergripande kontinuitetsplanerna, med avseende på åtminstone

1) 

scenarier för potentiella fel, inbegripet de scenarier som avses i artikel 26.2 i denna förordning,

2) 

återställningsmål, som anger att den finansiella entiteten ska kunna återställa driften av sina kritiska eller viktiga funktioner efter avbrott inom ett fastställt mål för återställningstid och ett fastställt mål för återställningspunkt,

iii) 

utarbetande av IKT-kontinuitetsplaner med allvarliga störningar i verksamheten som en del av dessa planer, och prioritering av IKT-kontinuitetsåtgärder med hjälp av en riskbaserad metod,

iv) 

utarbetande, testning och översyn av åtgärds- och återställningsplaner avseende IKT, i enlighet med artiklarna 25 och 26 i denna förordning,

v) 

granskning av ändamålsenligheten hos de genomförda arrangemangen, planerna, förfarandena och mekanismerna för IKT-kontinuitet, i enlighet med artikel 26 i denna förordning,

vi) 

anpassning av IKT-kontinuitetspolicyn till

1) 

den kommunikationsstrategi som avses i artikel 14.2 i förordning (EU) 2022/2554,

2) 

de kommunikations- och krishanteringsinsatser som avses i artikel 11.2 e i förordning (EU) 2022/2554.
EULAW Artikel 24 2.

Utöver de krav som avses i punkt 1 ska centrala motparter säkerställa att deras IKT-kontinuitetspolicy

a) 

innehåller en maximal återställningstid för deras kritiska funktioner som inte är längre än två timmar,

b) 

tar hänsyn till externa kopplingar och ömsesidiga beroenden inom de finansiella infrastrukturerna, inklusive handelsplatser som clearas av den centrala motparten, avvecklings- och betalningssystem för värdepapper samt kreditinstitut som används av den centrala motparten eller en anknuten central motpart,

c) 

kräver att det finns arrangemang för att

i) 

säkerställa kontinuiteten för kritiska eller viktiga funktioner hos den centrala motparten baserat på katastrofscenarier,

ii) 

upprätthålla ett sekundärt driftställe som kan säkerställa kontinuiteten i kritiska eller viktiga funktioner hos den centrala motparten, vilket är identiskt med det primära driftstället,

iii) 

upprätthålla eller ha omedelbar tillgång till en reservplats för verksamheten, så att personalen kan säkerställa tjänstens kontinuitet om den primära verksamhetsplatsen inte är tillgänglig,

iv) 

överväga behovet av ytterligare driftställen, särskilt om de primära och sekundära driftställenas olika riskprofiler inte ger tillräckligt förtroende för att den centrala motpartens kontinuitetsmål kommer att uppfyllas i alla scenarier.

Vid tillämpning av led a ska centrala motparter under alla omständigheter slutföra förfaranden och betalningar vid dagens slut på utsatt tid och dag.

Vid tillämpning av led c i ska de arrangemang som avses i det ledet omfatta tillgång till tillräcklig personal, maximal längd för avbrott i kritiska funktioner, omkoppling och återställning till ett sekundärt driftställe.

Vid tillämpning av led c ii ska det sekundära driftställe som avses i det ledet ha en annan geografisk riskprofil än det primära driftstället.
EULAW Artikel 24 3.

Utöver de krav som avses i punkt 1 ska värdepapperscentraler säkerställa att deras IKT-kontinuitetspolicy

a) 

tar hänsyn till eventuella kopplingar till och ömsesidiga beroenden med användare, kritiska försörjningstjänster och kritiska tjänsteleverantörer, andra värdepapperscentraler och andra marknadsinfrastrukturer,

b) 

kräver att deras arrangemang för IKT-kontinuitet säkerställer att målet för återställningstiden för deras kritiska eller viktiga funktioner inte ska vara längre än två timmar.
EULAW Artikel 24 4.

Utöver de krav som avses i punkt 1 ska handelsplatser säkerställa att deras IKT-kontinuitetspolicy säkerställer att

a) 

handeln kan återupptas inom eller strax efter två timmar efter en incident som orsakar störningar,

b) 

den maximala mängden uppgifter som kan förloras från någon av handelsplatsens it-tjänster efter en incident som orsakar störningar är nära noll.
EULAW Artikel 25 1.
När finansiella entiteter testar IKT-kontinuitetsplanerna i enlighet med artikel 11.6 i förordning (EU) 2022/2554 ska de ta hänsyn till den finansiella entitetens verksamhetskonsekvensanalys och den IKT-riskbedömning som avses i artikel 3 första stycket b i den här förordningen.
EULAW Artikel 25 2.

Finansiella entiteter ska genom testning av sina IKT-kontinuitetsplaner enligt punkt 1 bedöma om de kan säkerställa kontinuiteten i sina kritiska eller viktiga funktioner. Denna testning ska

a) 

utföras på grundval av testscenarier som simulerar potentiella avbrott, inklusive en lämplig uppsättning allvarliga men troliga scenarier,

b) 

innefatta IKT-tjänster som tillhandahålls av tredjepartsleverantörer av IKT-tjänster, i tillämpliga fall,

c) 

för andra finansiella entiteter än mikroföretag enligt artikel 11.6 andra stycket i förordning (EU) 2022/2554, innehålla scenarier för byten från primär IKT-infrastruktur till reservkapacitet, säkerhetskopior och reservanläggningar,

d) 

vara utformad för att pröva de antaganden som kontinuitetsplanerna bygger på, inbegripet styrningsarrangemang och kriskommunikationsplaner,

e) 

innehålla förfaranden för att kontrollera förmågan hos de finansiella entiteternas personal, tredjepartsleverantörer av IKT-tjänster, IKT-system och IKT-tjänster att reagera på ett adekvat sätt på de scenarier som vederbörligen beaktas i enlighet med artikel 26.2.

Vid tillämpning av led a ska finansiella entiteter alltid inkludera de scenarier som beaktats vid utarbetandet av kontinuitetsplanerna i testerna.

Vid tillämpning av led b ska finansiella entiteter vederbörligen beakta scenarier kopplade till insolvens eller misslyckanden hos tredjepartsleverantörer av IKT-tjänster eller kopplade till politiska risker i tredjepartsleverantörernas jurisdiktioner, i relevanta fall.

Vid tillämpning av led c ska testningen verifiera om åtminstone kritiska eller viktiga funktioner kan drivas på lämpligt sätt under en tillräckligt lång tidsperiod och om den normala funktionen kan återställas.
EULAW Artikel 25 3.

Utöver de krav som avses i punkt 2 ska centrala motparter vid testningen av sina IKT-kontinuitetsplaner enligt punkt 1 involvera

a) 

clearingmedlemmar,

b) 

externa leverantörer,

c) 

relevanta institut i den finansiella infrastrukturen med vilka de centrala motparterna har identifierat ömsesidiga beroenden i sina kontinuitetspolicyer.
EULAW Artikel 25 4.

Utöver de krav som avses i punkt 2 ska värdepapperscentraler vid testningen av sina IKT-kontinuitetsplaner enligt punkt 1 i tillämpliga fall involvera

a) 

användare av värdepapperscentralerna,

b) 

kritiska försörjningstjänster och kritiska tjänsteleverantörer,

c) 

andra värdepapperscentraler,

d) 

andra marknadsinfrastrukturer,

e) 

alla andra institut med vilka värdepapperscentralerna har identifierat ömsesidiga beroenden i sin kontinuitetspolicy.
EULAW Artikel 25 5.
Finansiella entiteter ska dokumentera resultaten av den testning som avses i punkt 1. Alla brister som identifieras till följd av denna testning ska analyseras, åtgärdas och rapporteras till ledningsorganet.
EULAW Artikel 26 1.

Vid utarbetandet av de åtgärds- och återställningsplaner avseende IKT som avses i artikel 11.3 i förordning (EU) 2022/2554 ska finansiella entiteter ta hänsyn till resultaten av den finansiella entitetens verksamhetskonsekvensanalys. Dessa åtgärds- och återställningsplaner avseende IKT ska

a) 

ange de villkor som föranleder deras aktivering eller inaktivering, och eventuella undantag från sådan aktivering eller inaktivering,

b) 

beskriva vilka åtgärder som ska vidtas för att säkerställa tillgänglighet, integritet och kontinuitet för och återställning av åtminstone IKT-system och IKT-tjänster som stöder kritiska eller viktiga funktioner hos den finansiella entiteten,

c) 

vara utformade för att uppfylla återställningsmålen för de finansiella entiteternas verksamhet,

d) 

dokumenteras och göras tillgängliga för den personal som är involverad i genomförandet av åtgärds- och återställningsplaner avseende IKT och vara lättillgängliga i nödsituationer,

e) 

innehålla alternativ för återställning på både kort och lång sikt, inbegripet partiell systemåterställning,

f) 

fastställa målen för åtgärds- och återställningsplaner avseende IKT och villkoren för att konstatera att dessa planer har genomförts på ett framgångsrikt sätt.

Vid tillämpning av led d ska finansiella entiteter tydligt ange roller och ansvarsområden.
EULAW Artikel 26 2.

De åtgärds- och återställningsplaner avseende IKT som avses i punkt 1 ska identifiera relevanta scenarier, inbegripet scenarier med allvarliga störningar i verksamheten och ökad sannolikhet för att störningar inträffar. Dessa planer ska utveckla scenarier baserade på aktuell information om hot och på lärdomar från tidigare störningar i verksamheten. Finansiella entiteter ska vederbörligen beakta samtliga följande scenarier:

a) 

Cyberangrepp och byten mellan primär IKT-infrastruktur och reservkapacitet, säkerhetskopior och reservanläggningar.

b) 

Scenarier där kvaliteten på tillhandahållandet av en kritisk eller viktig funktion försämras till en oacceptabel nivå eller uteblir, och den potentiella effekten av insolvens, eller andra misslyckanden, hos någon relevant tredjepartsleverantör av IKT-tjänster.

c) 

Partiellt eller totalt bortfall av lokaler, inklusive kontors- och affärslokaler samt datacentraler.

d) 

Betydande fel på IKT-tillgångar eller på kommunikationsinfrastrukturen.

e) 

Avsaknad av ett kritiskt antal anställda eller anställda som ansvarar för att garantera verksamhetens kontinuitet.

f) 

Effekter av händelser relaterade till klimatförändringar och miljöförstöring, naturkatastrofer, pandemier och fysiska angrepp, inklusive intrång och terrorattentat.

g) 

Angrepp inifrån.

h) 

Politisk och social instabilitet, inklusive i relevanta fall inom tredjepartsleverantörens av IKT-tjänster jurisdiktion och på den plats där uppgifter lagras och behandlas.

i) 

Omfattande strömavbrott.
EULAW Artikel 26 3.
Om de primära återställningsåtgärderna kanske inte är genomförbara på kort sikt på grund av kostnader, risker, logistik eller oförutsedda omständigheter, ska de åtgärds- och återställningsplaner avseende IKT som avses i punkt 1 överväga alternativa möjligheter.
EULAW Artikel 26 4.
Som en del av de åtgärds- och återställningsplaner avseende IKT som avses i punkt 1 ska finansiella entiteter överväga och genomföra kontinuitetsåtgärder för att begränsa misslyckanden hos tredjepartsleverantörer av IKT-tjänster att tillhandahålla IKT-tjänster som stöder kritiska eller viktiga funktioner hos den finansiella entiteten.