Delegirana uredba Komisije (EU) 2024/1774 оd 13. ožujka 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju alati, metode, procesi i politike za upravljanje IKT rizicima te pojednostavnjeni okvir za upravljanje IKT rizicima

(1)

Uredba (EU) 2022/2554 obuhvaća širok raspon financijskih subjekata koji se razlikuju po veličini, strukturi, unutarnjem ustrojstvu te prirodi i složenosti aktivnosti, zbog čega imaju veće ili manje elemente složenosti ili rizika. Kako bi se ta raznolikost uzela u obzir, svi zahtjevi povezani s politikama, postupcima, protokolima i alatima za sigurnost IKT-a te s pojednostavnjenim okvirom za upravljanje IKT rizicima trebali bi biti proporcionalni veličini, strukturi, unutarnjem ustrojstvu te prirodi i složenosti aktivnosti tih financijskih subjekata, kao i odgovarajućim rizicima.

(2)

Financijski subjekti na koje se primjenjuje Uredba (EU) 2022/2554 iz istog bi razloga trebali imati određenu fleksibilnost pri usklađivanju sa zahtjevima povezanima s politikama, postupcima, protokolima i alatima za sigurnost IKT-a te s pojednostavnjenim okvirom za upravljanje IKT rizicima. Stoga bi se financijski subjekti trebali moći na temelju dokumentacije koju već imaju uskladiti sa zahtjevima o dokumentaciji koji proizlaze iz tih zahtjeva. Iz toga proizlazi da bi izrada, dokumentacija i provedba posebnih politika za sigurnost IKT-a trebala biti obvezna samo za određene ključne elemente, uzimajući u obzir, među ostalim, vodeće prakse i standarde u industriji. Nadalje, kako bi se obuhvatili posebni aspekti tehničke provedbe, potrebno je izraditi, dokumentirati i provesti postupke za sigurnost IKT-a kojima se obuhvaćaju posebni aspekti tehničke provedbe, među ostalim upravljanje kapacitetom i performansama, upravljanje ranjivostima i zakrpama, sigurnost podataka i sustava te evidencija.

(3)

Kako bi se osigurala kontinuirana ispravna provedba politika, postupaka, protokola i alata za sigurnost IKT-a iz glave II. poglavlja I. ove Uredbe, važno je da financijski subjekti ispravno dodjeljuju i održavaju sve uloge i odgovornosti povezane sa sigurnosti IKT-a te da utvrde posljedice neusklađenosti s politikama ili postupcima sigurnosti IKT-a.

(4)

Kako bi se ograničio rizik od sukoba interesa, financijski subjekti trebali bi razdvojiti dužnosti pri dodjeli uloga i odgovornosti u području IKT-a.

(5)

Kako bi se osigurala fleksibilnost i pojednostavnio okvir za kontrolu financijskih subjekata, financijski subjekti ne bi trebali biti obvezni uvesti posebne odredbe o posljedicama neusklađenosti s politikama, postupcima i protokolima za sigurnost IKT-a iz glave II. poglavlja I. ove Uredbe ako su te odredbe već utvrđene u sklopu druge politike ili postupka.

(6)

U dinamičnom okruženju u kojem se IKT rizici neprestano mijenjaju važno je da financijski subjekti izrade svoj skup politika za sigurnost IKT-a na temelju vodećih praksi i, prema potrebi, standarda utvrđenih u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (2). Tako bi financijski subjekti iz glave II. ove Uredbe trebali ostati informirani i pripravni u promjenjivom okruženju.

(7)

Kako bi se osigurala njihova digitalna operativna otpornost, financijski subjekti iz glave II. ove Uredbe trebali bi u sklopu svojih politika, postupaka, protokola i alata za sigurnost IKT-a izraditi i provesti politiku upravljanja IKT imovinom, postupke upravljanja kapacitetom i performansama te politike i postupke za operacije IKT-a. Te politike i postupci nužni su za praćenje stanja IKT imovine tijekom njezina životnog ciklusa kako bi se ta imovina učinkovito upotrebljavala i održavala (upravljanje IKT imovinom). Tim politikama i postupcima trebalo bi optimizirati rad IKT-a sustava te bi trebalo osigurati da performanse IKT sustava i kapaciteta ispunjavaju utvrđene ciljeve u području poslovanja i informacijske sigurnosti (upravljanje kapacitetom i performansama). Naposljetku, te politike i postupci trebali bi omogućiti djelotvorno i neometano upravljanje i rad IKT sustava (operacije IKT-a), čime se smanjuje rizik od gubitka povjerljivosti, cjelovitosti i dostupnosti podataka. Stoga su te politike i postupci nužni za sigurnost mreža i odgovarajuće mjere zaštite od neovlaštenih upada i zlouporabe podataka te očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka.

(8)

Za potrebe pravilnog upravljanja rizicima zastarjelih IKT sustava, financijski subjekti trebali bi evidentirati i pratiti datume isteka IKT usluga podrške treće strane. S obzirom na potencijalni učinak gubitka povjerljivosti, cjelovitosti i dostupnosti podataka, financijski subjekti trebali bi se pri evidentiranju i praćenju tih datuma isteka usredotočiti na IKT imovinu ili sustave koji su ključni za poslovanje.

(9)

Dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka mogu se osigurati kriptografskim kontrolama. Stoga bi financijski subjekti iz glave II. ove Uredbe trebali utvrditi i provesti te kontrole primjenom pristupa koji se temelji na procjeni rizika. Financijski subjekti u tu bi svrhu trebali enkriptirati te podatke u mirovanju, upotrebi ili, prema potrebi, prijenosu na temelju rezultata dvostranog procesa, odnosno klasifikacije podataka i sveobuhvatne procjene IKT rizika. S obzirom na složenost enkripcije podataka u upotrebi, financijski subjekti iz glave II. ove Uredbe trebali bi enkriptirati datum u upotrebi samo ako je to primjereno na temelju rezultata procjene IKT rizika. Međutim, ako enkripcija podataka u upotrebi nije izvediva ili je presložena, financijski subjekti iz glave II. ove Uredbe trebali bi drugim mjerama za sigurnost IKT-a moći zajamčiti povjerljivost, cjelovitost i dostupnost tih podataka. Zbog brzog tehnološkog razvoja u području kriptografskih tehnika financijski subjekti iz glave II. ove Uredbe trebali bi pratiti relevantna zbivanja u području kriptoanalize te pratiti vodeće prakse i standarde. Stoga bi financijski subjekti iz glave II. ove Uredbe trebali primjenjivati fleksibilan pristup na temelju ublažavanja i praćenja rizika kako bi se nosili s dinamičnom prirodom kriptografskih prijetnji, među ostalim prijetnji koje proizlaze iz napretka u kvantnom računalstvu.

(10)

Sigurnost operacija IKT-a te operativne politike, postupci, protokoli i alati iznimno su važni za povjerljivost, cjelovitost i dostupnost podataka. Iznimno je važno strogo odvajanje produkcijskih okruženja IKT-a od okruženja u kojima se IKT sustavi razvijaju i testiraju ili od drugih neprodukcijskih okruženja. To odvajanje trebalo bi biti važna mjera za sigurnost IKT-a kako bi se spriječio neželjeni i neovlašteni pristup podacima u produkcijskom okruženju, izmjena tih podataka i njihovo brisanje, što bi moglo dovesti do znatnih poremećaja u poslovanju financijskih subjekata iz glave II. ove Uredbe. Međutim, s obzirom na aktualne prakse u razvoju IKT sustava, financijski subjekti u izvanrednim bi okolnostima trebali moći provoditi testiranja u produkcijskim okruženjima, pod uvjetom da opravdaju to testiranje i dobiju potrebno odobrenje.

(11)

Zbog brzog razvoja i ranjivosti u području IKT-a i kiberprijetnji, potreban je proaktivan i sveobuhvatan pristup utvrđivanju, procjeni i uklanjanju ranjivosti u području IKT-a. Financijski subjekti, njihovi klijenti, korisnici ili druge ugovorne strane bez takvog bi pristupa bili uvelike izloženi rizicima, što bi ugrozilo njihovu operativnu otpornost, sigurnost njihovih mreža te dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka koji bi se trebali zaštititi politikama za sigurnost IKT-a. Stoga bi financijski subjekti iz glave II. ove Uredbe trebali utvrditi i ukloniti ranjivosti u svojem okruženju IKT-a te bi se i financijski subjekti i njihove treće strane pružatelji IKT usluga trebali pridržavati usklađenog, transparentnog i odgovornog okvira za upravljanje ranjivostima. Iz istog razloga financijski subjekti trebali bi pratiti ranjivosti u području IKT-a pomoću pouzdanih resursa i automatiziranih alata kako bi potvrdili da treće strane pružatelji IKT usluga brzo djeluju u slučaju ranjivosti u IKT uslugama koje pružaju.

(12)

Upravljanje zakrpama trebalo bi biti vrlo važan dio politika i postupaka za sigurnost IKT-a kojima se na temelju testiranja i uvođenja u kontroliranom okruženju nastoje ukloniti utvrđene ranjivosti i spriječiti poremećaji zbog instalacije zakrpa.

(13)

Za potrebe pravodobnog i transparentnog informiranja o potencijalnim sigurnosnim prijetnjama koje bi mogle imati učinak na financijski subjekt i njegove dionike, financijski subjekti trebali bi uvesti postupke za odgovorno obavješćivanje klijenata, partnerskih financijskih subjekata i javnosti o IKT ranjivostima. Financijski bi subjekti pri uspostavi tih postupaka trebali uzeti u obzir, među ostalim, ozbiljnost ranjivosti, potencijalni učinak ranjivosti na dionike i spremnost popravka ili mjera za ublažavanje.

(14)

Kako bi se korisnicima dodijelila prava pristupa, financijski subjekti iz glave II. ove Uredbe trebali bi uvesti stroge mjere za potvrdu jedinstvene identifikacije pojedinaca i sustava koji će pristupati podacima financijskog subjekta. U suprotnom bi financijski subjekti bili izloženi mogućem neovlaštenom pristupu, povredama podataka i prijevarnim radnjama, što bi ugrozilo povjerljivost, cjelovitost i dostupnost osjetljivih financijskih podataka. Upotrebu generičkih ili dijeljenih računa trebalo bi iznimno dopustiti u okolnostima koje utvrde financijski subjekti, ako se pobrinu da postoji odgovornost za radnje poduzete putem tih računa. Ako ne postoji ta zaštitna mjera, potencijalni zlonamjerni korisnici mogli bi otežati mjere istrage i korektivne mjere, zbog čega bi financijski subjekti bili izloženi neotkrivenim zlonamjernim radnjama ili kaznama zbog neusklađenosti.

(15)

Kako bi upravljali brzim napretkom u okruženjima IKT-a, financijski subjekti iz glave II. ove Uredbe trebali bi provesti pouzdane politike i postupke za upravljanje IKT projektima te očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka. Tim politikama i postupcima za upravljanje IKT projektima trebalo bi utvrditi elemente nužne za uspješno upravljanje IKT projektima, što uključuje promjene, preuzimanja, održavanje i razvoj IKT sustavâ financijskog subjekta, neovisno o metodologiji upravljanja projektima IKT-a koju financijski subjekt odabere. U kontekstu tih politika i postupaka financijski subjekti trebali bi uspostaviti prakse i metode testiranja koje odgovaraju njihovim potrebama, a pritom bi se trebali pridržavati postupka koji se temelji na procjeni rizika i očuvati sigurno, pouzdano i otporno okruženje IKT-a. Da bi provedba IKT projekta bila sigurna, financijski subjekti trebali bi se pobrinuti da osoblje iz određenih poslovnih sektora ili osoblje na radnim mjestima na koje utječe taj IKT projekt može dostaviti potrebne informacije i pružiti potrebno stručno znanje. Kako bi se proveo djelotvoran nadzor, upravljačkom tijelu trebalo bi dostavljati izvješća o IKT projektima, posebice o projektima koji imaju učinak na ključne ili važne funkcije i o rizicima povezanima s njima. Financijska tijela trebala bi učestalost i pojedinosti sustavnih i kontinuiranih preispitivanja i izvješća prilagoditi prema važnosti i opsegu tih IKT projekata.

(16)

Važno je da se softverski paketi koje financijski subjekti iz glave II. ove Uredbe nabavljaju i razvijaju djelotvorno i sigurno integriraju u postojeće okruženje IKT-a, u skladu s utvrđenim ciljevima u području poslovanja i informacijske sigurnosti. Stoga bi financijski subjekti trebali detaljno evaluirati te softverske pakete. U tu svrhu i kako bi utvrdili ranjivosti i potencijalne sigurnosne nedostatke u softverskim paketima i širim IKT sustavima, financijski subjekti trebali bi provoditi testiranja sigurnosti IKT-a. Kako bi procijenili cjelovitost softvera i pobrinuli se da upotreba softvera ne predstavlja rizik za sigurnost IKT-a, financijski subjekti trebali bi preispitati i izvorni kod nabavljenog softvera, među ostalim, ako je izvedivo, zaštićenog softvera koji pružaju treće strane pružatelji IKT usluga, primjenom statičkih i dinamičkih metoda testiranja.

(17)

Promjene, neovisno o njihovu opsegu, podrazumijevaju rizike i mogu predstavljati znatan rizik od gubitka povjerljivosti, cjelovitosti i dostupnosti podataka pa bi mogle dovesti do znatnih poremećaja u poslovanju. Kako bi se financijski subjekti zaštitili od potencijalnih ranjivosti i slabosti u području IKT-a zbog kojih bi mogli biti izloženi znatnim rizicima, nužan je strog postupak provjere kako bi se potvrdilo da sve promjene ispunjavaju potrebne zahtjeve za sigurnost IKT-a. Stoga bi financijski subjekti iz glave II. ove Uredbe trebali uspostaviti pouzdane politike i postupke upravljanja promjenama IKT-a kao ključan element svojih politika i postupaka za sigurnost IKT-a. Kako bi se očuvale objektivnost i djelotvornost procesa upravljanja promjenama IKT-a, spriječili sukobi interesa te osigurala objektivna evaluacija promjena IKT-a, važno je odvojiti funkcije odgovorne za odobrenje tih promjena od funkcija koje zahtijevaju i provode te promjene. Kako bi se postigli djelotvorni prelasci, kontrolirana provedba promjena IKT-a i najmanji mogući poremećaji u radu IKT sustava, financijski subjekti trebali bi dodijeliti jasne uloge i odgovornosti kojima se jamči da su promjene IKT-a planirane, da se primjereno testiraju i da se osigurava kvaliteta. Kako bi se zajamčio kontinuiran djelotvoran rad IKT sustavâ i sigurnosna mreža za financijske subjekte, financijski subjekti trebali bi također izraditi i provesti rezervne postupke. Trebali bi jasno utvrditi te rezervne postupke i dodijeliti odgovornosti radi brzog i djelotvornog odgovora u slučaju neuspješnih promjena IKT-a.

(18)

Financijski subjekti iz glave II. ove Uredbe trebali bi uspostaviti politiku otkrivanja IKT incidenata koja obuhvaća sastavne dijelove procesa upravljanja IKT incidentima radi otkrivanja upravljanja i izvješćivanja o IKT incidentima. Financijski subjekti u tu bi svrhu trebali utvrditi sve relevantne kontakte unutar i izvan organizacije koji mogu olakšati pravilnu koordinaciju i provedbu različitih faza tog procesa. Kako bi se optimiziralo otkrivanje IKT incidenata i odgovor na njih te kako bi se utvrdili trendovi među tim incidentima, koji su vrijedan izvor informacija na temelju kojih financijski subjekti mogu djelotvorno utvrditi i ukloniti temeljne uzroke i probleme, financijski subjekti trebali bi posebno detaljno analizirati IKT incidente koje smatraju najznačajnijima, među ostalim zato što se redovito ponavljaju.

(19)

Kako bi se rano i djelotvorno otkrile neobične aktivnosti, financijski subjekti iz glave II. ove Uredbe trebali bi prikupljati, pratiti i analizirati različite izvore informacije te dodijeliti povezane uloge i odgovornosti. Kad je riječ o unutarnjim izvorima informacija, evidencije su iznimno relevantan izvor, ali financijski subjekti ne bi se trebali oslanjati isključivo na evidencije. Umjesto toga, financijski subjekti trebali bi uzimati u obzir opširnije informacije kako bi obuhvatili izvješća drugih unutarnjih funkcija, koje su često vrijedan izvor relevantnih informacija. Financijski subjekti stoga bi trebali analizirati i pratiti informacije prikupljene iz vanjskih izvora, uključujuću informacije koje dostavljaju treće strane pružatelji IKT usluga o incidentima koji utječu na njihove sustave, kao i druge izvore informacija koje financijski subjekti smatraju relevantnima. Pravo Unije o zaštiti podataka primjenjuje se ako su te informacije osobni podaci Osobne podatke trebalo bi ograničiti na ono što je nužno za otkrivanje incidenata.

(20)

Kako bi se olakšalo otkrivanje IKT incidenata, financijski subjekti trebali bi čuvati dokaze o tim incidentima. Kako bi se, s jedne strane, ti dokazi čuvali dovoljno dugo i, s druge strane, smanjilo regulatorno opterećenje, financijski subjekti trebali bi odrediti razdoblje zadržavanja uzimajući u obzir, među ostalim, ključnost podataka i zahtjeve za zadržavanje koji proizlaze iz prava Unije.

(21)

Kako bi se IKT incidenti otkrili na vrijeme, financijski subjekti iz glave II. ove Uredbe trebali bi smatrati da kriteriji utvrđeni za aktiviranje otkrivanja IKT incidenata i odgovora na njih nisu iscrpni. Nadalje, financijski subjekti trebali bi razmotriti svaki kriterij, ali za potrebe aktiviranja procesa otkrivanja i odgovora na IKT incidente i okolnosti opisane u kriteriju ne moraju se dogoditi istodobno i treba na primjeren način razmotriti važnost pogođenih IKT usluga.

(22)

Financijski subjekti iz glave II. ove Uredbe trebali bi pri izradi politike kontinuiteta poslovanja u području IKT-a uzeti u obzir ključne sastavnice upravljanja IKT rizicima, što uključuje strategije upravljanja i informiranja o IKT incidentima, proces upravljanja promjenama IKT-a i rizike povezane s trećim stranama pružateljima IKT usluga.

(23)

Važno je utvrditi skup scenarija koje bi financijski subjekti iz glave II. ove Uredbe trebali razmotriti pri provedbi planova odgovora i oporavka u području IKT-a te pri testiranju planova kontinuiteta poslovanja u području IKT-a. Ti bi scenariji financijskim subjektima trebali služiti kao početna točka u analizi relevantnosti i vjerojatnosti svakog scenarija te potrebe za izradom alternativnih scenarija. Financijski subjekti trebali bi se usredotočiti na scenarije u kojima bi ulaganje u mjere otpornosti bilo učinkovitije i djelotvornije. Financijske institucije trebale bi testiranjem prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu procijeniti rade li ti kapaciteti, sigurnosne kopije i infrastruktura dovoljno dugo i djelotvorno i uvjeriti se da se uobičajen rad primarne IKT infrastrukture ponovno uspostavi u skladu s ciljevima oporavka.

(24)

Potrebno je utvrditi zahtjeve za operativni rizik, konkretnije zahtjeve za upravljanje IKT projektima, promjenama IKT-a i kontinuitetom poslovanja u području IKT-a na temelju zahtjeva koji se već primjenjuju na središnje druge ugovorne strane, središnje depozitorije vrijednosnih papira i mjesta trgovanja u skladu s uredbama (EU) br. 648/2012 (3), (EU) br. 600/2014 (4) i (EU) br. 909/2014 (5) Europskog parlamenta i Vijeća.

(25)

Člankom 6. stavkom 5. Uredbe (EU) 2022/2554 propisuje se da financijski subjekti preispituju svoj okvir za upravljanje IKT rizicima i izvješće o tom preispitivanju podnose nadležnom tijelu. Kako bi nadležna tijela mogla lako obraditi informacije u tim izvješćima i kako bi se te informacije odgovarajuće prenijele, financijski subjekti trebali bi ta izvješća dostavljati u pretraživom elektroničkom formatu.

(26)

Zahtjevi za financijske subjekte na koje se primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima iz članka 16. Uredbe (EU) 2022/2554 trebali bi se odnositi na ključna područja i elemente koji su na temelju opsega, rizika, veličine i složenosti tih financijskih subjekata minimalno potrebni da bi podaci i usluge tih financijskih subjekata bili povjerljivi, cjeloviti, dostupni i vjerodostojni. Ti bi financijski subjekti u tom kontekstu trebali uspostaviti okvir za unutarnje upravljanje i kontrolu s jasnim odgovornostima kako bi se omogućio djelotvoran i pouzdan okvir za upravljanje rizicima. Nadalje, kako bi se smanjilo administrativno i operativno opterećenje, ti bi financijski subjekti trebali izraditi i dokumentirati samo jednu politiku, odnosno politiku informacijske sigurnosti, u kojoj se pobliže opisuju načela i pravila na visokoj razini koja su potrebna za zaštitu povjerljivosti, cjelovitosti, dostupnosti i vjerodostojnosti podataka i usluga tih financijskih subjekata.

(27)

Odredbe ove Uredbe odnose se na okvir za upravljanje IKT rizicima: u njima se opisuju posebni elementi primjenjivi na financijske subjekte u skladu s člankom 15. Uredbe (EU) 2022/2554 i utvrđuje se pojednostavnjeni okvir za upravljanje rizicima za financijske subjekte iz članka 16. stavka 1. te uredbe. Kako bi se zajamčila usklađenost redovnog i pojednostavnjenog okvira za upravljanje IKT rizicima te s obzirom na to da bi te odredbe trebale početi primjenjivati istodobno, te je odredbe primjereno uključiti u isti zakonodavni akt.

(28)

Ova Uredba temelji se na nacrtu regulatornih tehničkih standarda koji su Komisiji dostavili Europsko nadzorno tijelo za bankarstvo, Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje te Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala (europska nadzorna tijela) uz savjetovanje s Agencijom Europske unije za kibersigurnost (ENISA).

(29)

Zajednički odbor europskih nadzornih tijela iz članka 54. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (6), članka 54. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (7) i članka 54. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (8) proveo je otvorena javna savjetovanja o nacrtu regulatornih tehničkih standarda na kojem se ova Uredba temelji, analizirao je potencijalne troškove i koristi predloženih standarda i zatražio je savjet Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010, Interesne skupine za osiguranje i reosiguranje i Interesne skupine za strukovno mirovinsko osiguranje osnovane u skladu s člankom 37. Uredbe (EU) br. 1094/2010 te Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010.

(30)

U mjeri u kojoj je obradu osobnih podataka potrebno uskladiti s obvezama utvrđenima u ovom aktu u potpunosti bi se trebale primjenjivati uredbe (EU) 2016/679 (9) i (EU) 2018/1725 (10) Europskog parlamenta i Vijeća. Na primjer, ako se radi odgovarajućeg otkrivanja incidenata prikupljaju osobni podaci, trebalo bi poštovati načelo smanjenja količine podataka. O nacrtu ovog akta zatražen je i savjet Europskog nadzornika za zaštitu podataka,

(a)

enkripcijom i kriptografijom;

(b)

sigurnosti operacija IKT-a;

(c)

mrežnom sigurnosti;

(d)

upravljanjem IKT projektima i promjenama IKT-a;

(e)

potencijalnim učinkom IKT rizika na povjerljivost, cjelovitost i dostupnost podataka te potencijalnim učinkom poremećaja na kontinuitet i dostupnost aktivnosti financijskog subjekta.

(a)

osigurava sigurnost mreža;

(b)

uspostavljaju mjere zaštite od neovlaštenih upada i zlouporabe podataka;

(c)

čuvaju dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, među ostalim pomoću kriptografskih tehnika;

(d)

jamči točan i brz prijenos podataka bez znatnih poremećaja i nepotrebnih zastoja.

(a)

budu usklađene s ciljevima financijskog subjekta u području informacijske sigurnosti koji su uključeni u strategiju za digitalnu operativnu otpornost iz članka 6. stavka 8. Uredbe (EU) 2022/2554;

(b)

uključuju datum na koji je upravljačko tijelo službeno odobrilo politike za sigurnost IKT-a;

(c)

sadržavaju pokazatelje i mjere za:

(d)

uključuju opis odgovornosti osoblja na svim razinama za sigurnost IKT-a financijskog subjekta;

(e)

uključuju opis posljedica neusklađenosti osoblja financijskog subjekta s politikama za sigurnost IKT-a ako odredbe o tome nisu uključene u druge politike financijskog subjekta;

(f)

uključuju popis dokumentacije koju je potrebno čuvati;

(g)

uključuju opis aranžmana za razdvajanje dužnosti u kontekstu modela „tri crte obrane” ili drugog internog modela upravljanja rizicima i kontrole nad njima, prema potrebi, kako bi se izbjegli sukobi interesa;

(h)

budu usklađene s vodećim praksama i, prema potrebi, standardima utvrđenima u članku 2. točki 1. Uredbe (EU) br. 1025/2012;

(i)

uključuju opis uloga i odgovornosti za izradu, provedbu i održavanje politika, postupaka, protokola i alata za sigurnost IKT-a;

(j)

budu preispitivane u skladu s člankom 6. stavkom 5. Uredbe (EU) 2022/2554;

(k)

budu prilagođene bitnim promjenama koje se odnose na financijski subjekt, među ostalim bitnim promjenama aktivnosti ili procesa financijskog subjekta, prirode kiberprijetnji ili primjenjivih pravnih obveza.

(a)

navođenje odobrenja razine tolerancije na IKT rizik utvrđene u skladu s člankom 6. stavkom 8. točkom (b) Uredbe (EU) 2022/2554;

(b)

postupak i metodologiju za provedbu procjene IKT rizika kojom se utvrđuju:

(c)

postupak za utvrđivanje, provedbu i dokumentiranje mjera za postupanje s utvrđenim i procijenjenim IKT rizicima, što uključuje određivanje mjera za postupanje s IKT rizicima koje su nužne kako bi se IKT rizik smanjio na razinu tolerancije na rizik iz točke (a);

(d)

za preostale IKT rizike koji i dalje postoje nakon provedbe mjera za postupanje s IKT rizicima iz točke (c):

(e)

odredbe o praćenju:

(f)

odredbe o procesu kojim se osigurava da se uzimaju u obzir sve promjene poslovne strategije i strategije za digitalnu operativnu otpornost financijskog subjekta.

(a)

praćenje djelotvornosti provedenih mjera za postupanje s IKT rizicima;

(b)

procjena toga jesu li postignute utvrđene razine tolerancije financijskog subjekta na rizik;

(c)

procjena toga je li financijski subjekt prema potrebi poduzeo mjere za ispravak ili poboljšanje tih mjera.

(a)

predviđa se praćenje i upravljanje životnim ciklusom IKT imovine utvrđene i klasificirane u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554;

(b)

predviđa se da financijski subjekt vodi evidenciju o svemu sljedećem:

(c)

predviđa se da financijski subjekti koji nisu mikropoduzeća vode evidenciju o informacijama potrebnima za provedbu posebne procjene IKT rizika za sve zastarjele IKT sustave iz članka 8. stavka 7. Uredbe (EU) 2022/2554.

(a)

IKT rizik povezan s tim poslovnim funkcijama i njihova ovisnost o informacijskoj imovini ili IKT imovini;

(b)

utjecaj mogućeg gubitka povjerljivosti, cjelovitosti i dostupnosti te informacijske imovine i IKT imovine na poslovne procese i aktivnosti financijskih subjekata.

(a)

enkripciji podataka u mirovanju i prijenosu;

(b)

enkripciji podataka u upotrebi, prema potrebi;

(c)

enkripciji unutarnjih mrežnih veza i prometa s vanjskim stranama;

(d)

upravljanju kriptografskim ključevima iz članka 7., kojim se utvrđuju pravila o ispravnoj upotrebi, zaštiti i životnom ciklusu kriptografskih ključeva.

(a)

opis IKT imovine, koji uključuje sve sljedeće:

(b)

kontrole i praćenje IKT sustava, što uključuje sve sljedeće:

(c)

postupanje s greškama u IKT sustavima, što uključuje sve sljedeće:

(a)

utvrđivanje zahtjeva za kapacitet svojih IKT sustava;

(b)

primjenu optimizacije resursa;

(c)

postupke praćenja za održavanje i unaprjeđenje:

(a)

utvrđuju se i ažuriraju relevantni i pouzdani izvori informacija za povećanje i održavanje razine informiranosti o ranjivostima;

(b)

osiguravaju se performanse automatiziranog skeniranja i procjena ranjivosti IKT imovine, pri čemu su učestalost i opseg tih aktivnosti razmjerni klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine;

(c)

provjerava se sljedeće:

(d)

prati upotreba sljedećeg:

(e)

utvrđuju se postupci za odgovorno obavješćivanje klijenata, partnerskih financijskih subjekata i javnosti o ranjivostima;

(f)

daje se prioritet uvođenju zakrpi i drugim mjerama za ublažavanje kako bi se uklonile utvrđene ranjivosti;

(g)

prati se i provjerava uklanjanje ranjivosti;

(h)

zahtijeva se evidentiranje svih otkrivenih ranjivosti koje utječu na IKT sustave i praćenje njihova saniranja.

(a)

u najvećoj mogućoj mjeri utvrđuju se i procjenjuju dostupne zakrpe i ažuriranja softvera i hardvera s pomoću automatskih alata;

(b)

utvrđuju se hitni postupci za krpanje i ažuriranje IKT imovine;

(c)

testiraju se i uvode zakrpe i ažuriranja softvera i hardvera iz članka 8. stavka 2. točke (b) podtočaka v., vi. i vii.;

(d)

utvrđuju se rokovi za instalaciju zakrpa i ažuriranja softvera i hardvera te postupci eskalacije ako se ti rokovi ne mogu ispuniti.

(a)

ograničenja pristupa iz članka 21. ove Uredbe, kojima se podupiru zahtjevi za zaštitu za svaku razinu klasifikacije;

(b)

utvrđivanje polazne sigurne konfiguracije za IKT imovinu kojom se izloženost te IKT imovine kiberprijetnjama svodi na najmanju moguću mjeru i mjera za redovitu provjeru toga jesu li te polazne konfiguracije djelotvorno provedene;

(c)

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se u IKT sustave i na krajnje uređaje instalira samo ovlašteni softver;

(d)

utvrđivanje sigurnosnih mjera protiv zlonamjernih kodova;

(e)

utvrđivanje sigurnosnih mjera kako bi se osiguralo da se za prijenos i pohranu podataka financijskog subjekta upotrebljavaju samo ovlašteni mediji za pohranu podataka, sustavi i krajnji uređaji;

(f)

sljedeće zahtjeve za sigurnu upotrebu prijenosnih krajnjih uređaja i privatnih neprijenosnih krajnjih uređaja:

(g)

proces za sigurno brisanje podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koje financijski subjekt više ne treba prikupljati ili pohranjivati;

(h)

proces za sigurno odlaganje ili stavljanje izvan funkcije uređaja za pohranu podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koji sadržavaju povjerljive informacije;

(i)

utvrđivanje i provedbu sigurnosnih mjera za sprječavanje gubitka i curenja podataka za sustave i krajnje uređaje;

(j)

provedbu sigurnosnih mjera kako rad na daljinu i upotreba privatnih krajnjih uređaja ne bi negativno utjecali na sigurnost IKT-a financijskog subjekta;

(k)

za IKT imovinu ili usluge kojima upravlja treća strana pružatelj IKT usluga, utvrđivanje i provedbu zahtjeva za održavanje digitalne operativne otpornosti u skladu s rezultatima klasifikacije podataka i procjene IKT rizika.

(a)

primjenu postavki koje preporučuje dobavljač na elementima kojima upravlja financijski subjekt;

(b)

jasnu raspodjelu uloga i odgovornosti za informacijsku sigurnost između financijskog subjekta i treće strane pružatelja IKT usluga u skladu s načelom potpune odgovornosti financijskog subjekta za treću stranu pružatelja IKT usluga iz članka 28. stavka 1. točke (a) Uredbe (EU) 2022/2554 i za financijske subjekte iz članka 28. stavka 2. te uredbe i u skladu s politikom financijskog subjekta o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije;

(c)

nužnost pružanja i održavanja odgovarajućih kompetencija unutar financijskog subjekta za upravljanje uslugom koja se upotrebljava i njezinu sigurnost;

(d)

tehničke i organizacijske mjere za smanjenje rizika povezanih s infrastrukturom koju treća strana pružatelj IKT usluga upotrebljava za svoje IKT usluge, uzimajući u obzir vodeće prakse i standarde utvrđene u članku 2. točki 1. Uredbe (EU) br. 1025/2012.

(a)

utvrđivanje događaja koji se evidentiraju, razdoblja čuvanja evidencije te mjere za zaštitu i obradu podataka iz evidencije, pri čemu se uzima u obzir svrha za vođenje evidencije;

(b)

usklađivanje razine detaljnosti evidencije s njezinom svrhom i upotrebom za potrebe djelotvornog otkrivanja neobičnih aktivnosti kako je navedeno u članku 24.;

(c)

zahtjeve za evidentiranje događaja koji se odnose na sve sljedeće:

(d)

mjere za zaštitu sustavâ za evidentiranje i podataka u evidenciji od neovlaštenog mijenjanja, brisanja i neovlaštenog pristupa u mirovanju, prijenosu ili, prema potrebi, upotrebi;

(e)

mjere za otkrivanje prekida sustavâ za evidenciju;

(f)

ne dovodeći u obzir primjenjive regulatorne zahtjeve iz prava Unije ili nacionalnog prava, sinkronizaciju satova svakog IKT sustava financijskog subjekta s dokumentiranim pouzdanim referentnim izvorom vremena.

(a)

razdvajanje i segmentaciju IKT sustavâ i mreža, pri čemu se uzimaju u obzir:

(b)

dokumentiranje svih mrežnih veza i tokova podataka financijskog subjekta;

(c)

upotrebu zasebne namjenske mreže za upravljanje IKT imovinom;

(d)

utvrđivanje i provedbu kontrole pristupa mreži kako bi se spriječilo i otkrilo povezivanje neovlaštenih uređaja ili sustava na mrežu financijskog sustava ili krajnje točke koje ne ispunjavaju zahtjeve financijskog subjekta za sigurnost;

(e)

enkripciju mrežnih veza koje prolaze kroz korporativne mreže, javne mreže, domaće mreže, mreže treće strane i bežične mreže u pogledu komunikacijskih protokola koji se upotrebljavaju, pri čemu se uzimaju u obzir rezultati odobrene klasifikacije podataka, rezultati procjene IKT rizika i enkripcija mrežnih veza iz članka 6. stavka 2.;

(f)

oblikovanje mreža u skladu sa zahtjevima za sigurnost IKT-a koje utvrdi financijski subjekt, pri čemu se uzimaju u obzir vodeće prakse kako bi se osigurala povjerljivost, cjelovitost i dostupnost mreže;

(g)

zaštitu mrežnog prometa između unutarnjih mreža i interneta te drugih vanjskih veza;

(h)

utvrđivanje uloga i odgovornosti te koraka za određivanje, provedbu, odobrenje, promjenu i preispitivanje pravila za vatrozid i filtara veza;

(i)

provedbu preispitivanja mrežne strukture i oblikovanja mrežne sigurnosti jedanput godišnje, a periodički za mikropoduzeća, kako bi se utvrdile potencijalne ranjivosti;

(j)

mjere za privremenu izolaciju, prema potrebi, podmreža te mrežnih komponenata i uređaja;

(k)

provedbu polazne sigurne konfiguracije svih mrežnih komponenata te povećanje sigurnosti mreže i mrežnih uređaja u skladu s uputama dobavljača te, prema potrebi, primjenjivim standardima kako su definirani u članku 2. točki 1. Uredbe (EU) br. 1025/2012 i vodećim praksama;

(l)

postupke za ograničavanje, zaključavanje i prekid rada sustava i daljinskih sesija nakon određenog razdoblja neaktivnosti;

(m)

za ugovore o mrežnim uslugama:

(a)

dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka tijekom mrežnog prijenosa te uspostavu postupaka za procjenu usklađenosti s tim zahtjevima;

(b)

sprječavanje i otkrivanje curenja podataka te siguran prijenos podataka između financijskog subjekta i vanjskih strana;

(c)

provedbu, dokumentiranje i redovito preispitivanje zahtjevâ za povjerljivost ili ugovorâ o povjerljivosti podataka koji odražavaju potrebe financijskog subjekta za zaštitu podataka, što obuhvaća i osoblje financijskog subjekta i treće strane.

(a)

ciljeve IKT projekta;

(b)

vođenje IKT projekta, uključujući uloge i odgovornosti;

(c)

planiranje, rokove i korake IKT projekta;

(d)

procjenu rizika IKT projekta;

(e)

relevantne ključne etape;

(f)

zahtjeve za upravljanje promjenama;

(g)

testiranje svih zahtjeva, među ostalim zahtjeva za sigurnost, i odgovarajući proces odobrenja pri uvođenju IKT sustava u produkcijsko okruženje.

(a)

pojedinačno ili skupno, ovisno o važnosti i opsegu IKT projekata;

(b)

periodički i, prema potrebi, u slučaju važnih događaja.

(a)

utvrđuju sigurnosne prakse i metodologije povezane s nabavom, razvojem i održavanjem IKT sustavâ;

(b)

zahtijeva utvrđivanje:

(c)

utvrđuju mjere za smanjenje rizika od nenamjerne izmjene IKT sustavâ ili njihove namjerne manipulacije tijekom razvoja, održavanja i uvođenja tih IKT sustava u produkcijsko okruženje.

(a)

članove sustava poravnanja i klijente;

(b)

interoperabilne središnje druge ugovorne strane;

(c)

druge zainteresirane strane.

(a)

korisnike;

(b)

pružatelje ključnih javnih i drugih usluga;

(c)

druge središnje depozitorije vrijednosnih papira;

(d)

druge tržišne infrastrukture;

(e)

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja.

(a)

utvrđuju i analiziraju ranjivosti i neobične pojave u izvornom kodu;

(b)

donose akcijski plan za otklanjanje tih ranjivosti i neobičnih pojava;

(c)

prate provedbu tog akcijskog plana.

(a)

u neprodukcijskim okruženjima pohranjuju se samo anonimizirani, pseudonimizirani ili randomizirani produkcijski podaci;

(b)

financijski subjekti osiguravaju cjelovitost i povjerljivost podataka u neprodukcijskim okruženjima.

(a)

provjeru ispunjenosti zahtjeva za sigurnost IKT-a;

(b)

mehanizme za neovisnost funkcija koje odobravaju promjene i funkcija odgovornih za zahtijevanje i provedbu tih promjena;

(c)

jasan opis uloga i odgovornosti kako bi se osiguralo:

(d)

dokumentiranje pojedinosti o promjenama i obavješćivanje o njima, među ostalim o:

(e)

utvrđivanje rezervnih postupaka i odgovornosti, što uključuje postupke i odgovornosti za odustajanje od promjena ili oporavak od neuspješno provedenih promjena;

(f)

postupke, protokole i alate za upravljanje hitnim promjenama s odgovarajućim zaštitnim mjerama;

(g)

postupke za dokumentiranje, ponovnu evaluaciju, procjenu i odobrenje hitnih promjena nakon njihove provedbe, što uključuje zaobilazna rješenja i zakrpe;

(h)

utvrđivanje potencijalnog učinka promjene na postojeće mjere za sigurnost IKT-a i procjenu je li zbog te promjene potrebno donijeti dodatne mjere za sigurnost IKT-a.

(a)

članove sustava poravnanja i klijente;

(b)

interoperabilne središnje druge ugovorne strane;

(c)

druge zainteresirane strane.

(a)

korisnike;

(b)

pružatelje ključnih javnih i drugih usluga;

(c)

druge središnje depozitorije vrijednosnih papira;

(d)

druge tržišne infrastrukture;

(e)

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja u području IKT-a.

(a)

upućivanje na odjeljak politike o kontroli pravâ upravljanja pristupom iz članka 21. prvog stavka točke (g);

(b)

mjere za zaštitu prostora i podatkovnih centara financijskog subjekta te područja koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina, od napada, nesreća te okolišnih opasnosti i prijetnji;

(c)

mjere za zaštitu IKT imovine unutar i izvan prostora financijskog subjekta, pri čemu se uzimaju u obzir rezultati procjene IKT rizika za relevantnu IKT imovinu;

(d)

mjere za osiguranje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti IKT imovine, informacijske imovine i uređaja za kontrolu fizičkog pristupa financijskog subjekta na temelju odgovarajućeg održavanja;

(e)

mjere za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka, uključujući:

(a)

utvrđivanje i dodjelu svih posebnih odgovornosti za sigurnost IKT-a;

(b)

sljedeće zahtjeve za osoblje financijskog subjekta i treće strane pružatelje IKT usluga koji upotrebljavaju IKT imovinu financijskog subjekta ili joj pristupaju:

(a)

ne dovodeći u pitanje članak 21. prvi stavak točku (c), svakom članu osoblja financijskog subjekta ili osoblja treće strane pružatelja IKT usluga koji pristupa informacijskoj imovini i IKT imovini financijskog subjekta dodjeljuje se jedinstveni identitet koji odgovara jedinstvenom korisničkom računu;

(b)

proces upravljanja životnim ciklusom za identitete i račune kojim se upravlja izradom, promjenama, preispitivanjem i ažuriranjem, privremenom deaktivacijom i ukidanjem svih računa.

(a)

dodjelu prava pristupa IKT imovini na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

(b)

razdvajanje dužnosti kako bi se spriječio neopravdani pristup ključnim podacima ili kako bi se spriječila dodjela kombiniranih prava pristupa kojima se mogu zaobići kontrole;

(c)

odredbu o odgovornosti korisnika, što uključuje maksimalno ograničavanje upotrebe generičkih i dijeljenih korisničkih računa i omogućivanje u svakom trenutku utvrđivanja identiteta korisnika koji u IKT sustavima izvršavaju pojedine aktivnosti;

(d)

odredbu o ograničenjima pristupa IKT imovini, što uključuje utvrđivanje kontrola i alata za sprečavanje neovlaštenog pristupa;

(e)

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune, što uključuje odredbu o svemu sljedećem:

(f)

metode autentifikacije, što uključuje sve sljedeće:

(g)

mjere za kontrolu fizičkog pristupa, što uključuje:

(a)

dokumentiraju proces upravljanja IKT incidentima iz članka 17. Uredbe (EU) 2022/2554;

(b)

utvrđuju popis relevantnih kontakata s unutarnjim funkcijama i vanjskim dionicima koji su izravno uključeni u sigurnost operacija IKT-a, među ostalim u:

(c)

utvrđuju, provode i upotrebljavaju tehničke, organizacijske i operativne mehanizme kako bi poduprli proces upravljanja IKT incidentima, uključujući mehanizme za brzo otkrivanje neobičnih aktivnosti i ponašanja u skladu s člankom 23. ove Uredbe;

(d)

čuvaju sve dokaze povezane s IKT incidentima tijekom razdoblja koje nije dulje od nužnog za potrebe za koje se podaci prikupljaju, razmjerno ključnosti pogođenih poslovnih funkcija, potpornih procesa te IKT imovine i informacijske imovine u skladu s [člankom 15. Delegirane uredbe Komisije (EU) 2024/1772 (12) i svim primjenjivim zahtjevima za čuvanje iz prava Unije;

(e)

utvrđuju i provode mehanizme za analiziranje znatnih IKT incidenata ili IKT incidenata koji se ponavljaju te uzoraka u broju i pojavi IKT incidenata.

(a)

prikupljanje, praćenje i analizu svega sljedećeg:

(b)

utvrđivanje neobičnih aktivnosti i ponašanja te provedbu alata koji šalju upozorenja na neobične aktivnosti i ponašanja barem za IKT imovinu i informacijsku imovinu kojom se podupiru ključne ili važne funkcije;

(c)

određivanje prioriteta upozorenja iz točke (b) kako bi se omogućilo upravljanje otkrivenim IKT incidentima unutar očekivanog roka saniranja, koji određuju financijski subjekti, tijekom i izvan radnog vremena;

(d)

automatsko ili ručno evidentiranje, analiziranje i evaluaciju svih relevantnih informacija o svim neobičnim aktivnostima i ponašanju.

(a)

utvrđivanje datuma i vremena pojave neobične aktivnosti;

(b)

utvrđivanje datuma i vremena otkrivanja neobične aktivnosti;

(c)

utvrđivanje vrste neobične aktivnosti.

(a)

pokazatelje da je u IKT sustavu ili mreži možda izvršena zlonamjerna aktivnost ili da su IKT sustav ili mreža možda ugroženi;

(b)

otkrivene gubitke podataka u pogledu dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka;

(c)

otkriveni štetan učinak na transakcije i operacije financijskog subjekta;

(d)

nedostupnost IKT sustava i mreže.

(a)

opis:

(b)

odredbe o:

(a)

sadržava najdulje vrijeme oporavka ključnih funkcija koje nije dulje od dva sata;

(b)

uzima u obzir vanjske povezanosti i međuovisnosti unutar financijskih infrastruktura, što uključuje mjesta trgovanja na kojima se poravnanje provodi putem središnje druge ugovorne strane, sustave namire vrijednosnih papira i platne sustave te kreditne institucije kojima se koristi središnja druga ugovorna strana ili povezana središnja druga ugovorna strana;

(c)

zahtijeva uspostavu mehanizama za:

(a)

uzima u obzir vanjske povezanosti i međuovisnosti s korisnicima, ključnim pružateljima službi i usluga, drugim središnjim depozitorijima vrijednosnih papira i drugim tržišnim infrastrukturama;

(b)

zahtijeva da se aranžmanima za kontinuitet poslovanja u području IKT-a omogućuje ciljno vrijeme oporavka ključnih ili važnih funkcija koje nije dulje od dva sata.

(a)

da se trgovanje može nastaviti u roku od dva sata od incidenta koji uzrokuje poremećaj ili malo kasnije;

(b)

da je najveća količina podataka koji se mogu izgubiti iz svake IT usluge mjesta trgovanja nakon incidenta koji uzrokuje poremećaj blizu nuli.

(a)

provodi se na temelju testnih scenarija kojima se simuliraju potencijalni poremećaji, a uključuju odgovarajući niz ozbiljnih, ali vjerojatnih scenarija;

(b)

prema potrebi, uključuje testiranje IKT usluga koje pružaju treće strane pružatelji IKT usluga;

(c)

za financijske subjekte osim mikropoduzeća, kako je navedeno u članku 11. stavku 6. drugom podstavku Uredbe (EU) 2022/2554, uključuje scenarije prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu;

(d)

osmišljeno je radi preispitivanja pretpostavki na kojima se temelje planovi kontinuiteta poslovanja, među ostalim aranžmani za upravljanje i planovi komunikacije u krizi;

(e)

uključuju postupke za provjeru sposobnosti osoblja financijskih subjekata, trećih strana pružatelja IKT usluga, IKT sustava i IKT usluga da primjereno odgovore na scenarije utvrđene u skladu s člankom 26. stavkom 2.

(a)

članove sustava poravnanja;

(b)

vanjske pružatelje usluga;

(c)

relevantne institucije u financijskoj infrastrukturi s kojima središnje druge ugovorne strane imaju međuovisnosti utvrđene u politici kontinuiteta poslovanja.

(a)

korisnike središnjih depozitorija vrijednosnih papira;

(b)

pružatelje ključnih javnih i drugih usluga;

(c)

druge središnje depozitorije vrijednosnih papira;

(d)

druge tržišne infrastrukture;

(e)

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja.

(a)

uključuju opis uvjeta za njihovu aktivaciju ili deaktivaciju te sve iznimke povezane s tom aktivacijom i deaktivacijom;

(b)

uključuju opis mjera koje se poduzimaju za osiguranje dostupnosti, cjelovitosti, kontinuiteta i oporavka barem IKT sustava i usluga kojima se podupiru ključne ili važne funkcije financijskog subjekta;

(c)

osmišljeni su tako da se pomoću njih ostvaruju ciljevi oporavka operacija financijskih subjekata;

(d)

dokumentiraju se i stavljaju na raspolaganje osoblju uključenom u izvršenje planova odgovora i oporavka u području IKT-a te su lako dostupni u hitnim slučajevima;

(e)

uključuju mogućnosti kratkoročnog i dugoročnog oporavka, među ostalim djelomičan oporavak sustava;

(f)

uključuju ciljeve planova odgovora i oporavka u području IKT-a te uvjete za utvrđivanje uspješnog izvršenja tih planova.

(a)

kibernetičke napade i prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu;

(b)

scenarije u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće, pri čemu razmatraju mogući učinak nesolventnosti ili drugih oblika prekida relevantne treće strane pružatelja IKT usluga;

(c)

djelomični ili potpuni prekid prostora, među ostalim ureda i poslovnih prostora te podatkovnih centara;

(d)

znatan prekid IKT imovine ili komunikacijske infrastrukture;

(e)

nedostupnost ključnog broja osoblja ili članova osoblja odgovornih za kontinuitet poslovanja;

(f)

učinak klimatskih promjena i događaja povezanih s degradacijom okoliša, prirodnih katastrofa, pandemija i fizičkih napada, među ostalim neovlaštenih upada i terorističkih napada;

(g)

unutarnje napade;

(h)

političku i društvenu nestabilnost, među ostalim, prema potrebi, u jurisdikciji u kojoj se nalaze treća strana pružatelj IKT usluga te na lokaciji na kojoj se pohranjuju i obrađuju podaci;

(i)

opsežne nestanke struje.

(a)

uvodni odjeljak u kojem se:

(b)

datum na koji je upravljačko tijelo financijskog subjekta odobrilo izvješće;

(c)

opis razloga za preispitivanje okvira za upravljanje IKT rizicima u skladu s člankom 6. stavkom 5. Uredbe (EU) 2022/2554;

(d)

datum početka i završetka razdoblja preispitivanja;

(e)

funkciju odgovornu za preispitivanje;

(f)

opis glavnih promjena i unaprjeđenja okvira za upravljanje IKT rizicima od prethodnog preispitivanja;

(g)

sažetak nalaza preispitivanja te detaljnu analizu i procjenu ozbiljnosti slabosti, nedostataka i odstupanja u okviru za upravljanje IKT rizicima tijekom razdoblja preispitivanja;

(h)

opis mjera za otklanjanje utvrđenih slabosti, nedostataka i odstupanja, što uključuje sve sljedeće:

(i)

informacije o planiranoj daljnjoj razradi okvira za upravljanje IKT rizicima;

(j)

zaključke iz preispitivanja okvira za upravljanje IKT rizicima;

(k)

informacije o prošlim preispitivanjima, među ostalim:

(l)

izvore informacija upotrijebljenih za pripremu izvješća, među ostalim:

(a)

snosi opću odgovornost za to da se pojednostavnjenim okvirom za upravljanje IKT rizicima provodi poslovna strategija financijskog subjekta u skladu s njegovom sklonošću preuzimanju rizika i da se u tom kontekstu uzima u obzir IKT rizik;

(b)

utvrđuje jasne uloge i odgovornosti za sve zadaće povezane s IKT-om;

(c)

utvrđuje jasne ciljeve u području informacijske sigurnosti i zahtjeve u području IKT-a;

(d)

odobrava, nadzire i periodički preispituje:

(e)

izrađuje i barem jednom godišnje preispituje proračun nužan za ispunjavanje potreba financijskog subjekta u pogledu digitalne operativne otpornosti, i to za sve vrste resursa, što uključuje relevantne programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti te stjecanje vještina u području IKT-a za sve članove osoblja;

(f)

utvrđuje i provodi politike i mjere iz poglavlja I., II. i III. ove glave kako bi utvrdilo i procijenilo IKT rizik kojem je financijski subjekt izložen te upravljalo tim rizikom;

(g)

utvrđuje i provodi postupke, IKT protokole i alate koji su potrebni za zaštitu sve informacijske imovine te IKT imovine;

(h)

osigurava da osoblje financijskog subjekta osvježava znanje i vještine koji su im dostatni kako bi mogli razumjeti i procijeniti IKT rizik i njegov učinak na poslovanje financijskog subjekta, razmjerno IKT riziku kojim se upravlja;

(i)

uspostavlja aranžmane za izvješćivanje, među ostalim učestalost, oblik i sadržaj izvješća o informacijskoj sigurnosti i digitalnoj operativnoj otpornosti za upravljačko tijelo.

(a)

određivanje razina tolerancije na rizik za IKT rizik u skladu sa sklonošću financijskog subjekta preuzimanju rizika;

(b)

utvrđivanje i procjenu IKT rizika kojima je izložen financijski subjekt;

(c)

utvrđivanje strategija ublažavanja barem za IKT rizike koji nisu unutar razina tolerancije na rizik financijskog subjekta;

(d)

praćenje djelotvornosti strategija ublažavanja iz točke (c);

(e)

utvrđivanje i procjenu svih IKT rizika i rizika za informacijsku sigurnost koji proizlaze iz svake velike promjene IKT sustava ili IKT usluga, procesa ili postupaka, iz rezultata testiranja IKT sigurnosti i nakon svakog znatnog IKT incidenta.

(a)

pravima pristupa informacijskoj imovini, IKT imovini i funkcijama koje one podupiru te pravima pristupa ključnim lokacijama poslovanja financijskog subjekta upravlja se na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

(b)

odgovornost korisnika, kojom se omogućuje utvrđivanje identiteta korisnika koji izvršavaju pojedine radnje u IKT sustavima;

(c)

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune;

(d)

metode autentifikacije razmjerne klasifikaciji iz članka 30. stavka 1. i ukupnom profilu rizičnosti IKT imovine, koje se temelje na vodećim praksama;

(e)

prava pristupa periodički se preispituju i povlače kad više nisu potrebna.

(a)

prate i upravljaju životnim ciklusom sve IKT imovine;

(b)

prate podupiru li IKT imovinu treće strane pružatelji IKT usluga financijskih subjekata, prema potrebi;

(c)

utvrđuju zahtjeve za kapacitet svoje IKT imovine te mjere za održavanje i povećanje dostupnosti i učinkovitosti IKT sustavâ te sprečavaju manjak kapaciteta IKT-a prije nego što do njega dođe;

(d)

provode automatizirano skeniranje i procjenu ranjivosti IKT imovine razmjerne njihovoj klasifikaciji u skladu s člankom 30. stavkom 1. i ukupnom profilu rizičnosti IKT imovine te uvode zakrpe kako bi otklonili utvrđene ranjivosti;

(e)

upravljaju rizicima povezanima sa zastarjelom ili nepodržanom IKT imovinom;

(f)

evidentiraju događaje povezane s kontrolom logičkog i fizičkog pristupa, operacijama IKT-a, među ostalim aktivnostima sustava i mrežnog prometa, i upravljanjem promjenama IKT-a;

(g)

utvrđuju i provode mjere za praćenje i analiziranje informacija o neobičnim aktivnostima i ponašanju za ključne ili važne operacije IKT-a;

(h)

provode mjere za praćenje relevantnih i aktualnih informacija o kiberprijetnjama;

(i)

provode mjere za utvrđivanje mogućih curenja informacija, zlonamjernog koda i drugih sigurnosnih prijetnji, kao i javno poznatih ranjivosti softvera i hardvera te provjeravaju postoje li odgovarajuća nova sigurnosna ažuriranja.

(a)

utvrđivanje i provedbu mjera za zaštitu podataka u upotrebi, prijenosu i mirovanju;

(b)

utvrđivanje i provedbu sigurnosnih mjera povezanih s upotrebom softvera, medija za pohranu podataka, sustava i krajnjih uređaja za prijenos i pohranu podataka financijskog subjekta;

(c)

utvrđivanje i provedbu mjera za sprečavanje i otkrivanje neovlaštenih povezivanja na mrežu financijskog subjekta, kao i za zaštitu mrežnog prometa između unutarnjih mreža financijskog subjekta i interneta te drugih vanjskih veza;

(d)

utvrđivanje i provedbu mjera kojima se osigurava dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka tijekom mrežnog prijenosa;

(e)

proces za sigurno brisanje podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koje financijski subjekt više ne treba prikupljati ili pohranjivati;

(f)

proces za sigurno odlaganje ili stavljanje izvan funkcije uređaja za pohranu podataka koji se nalaze u prostorima ili su vanjski pohranjeni, a koji sadržavaju povjerljive informacije;

(g)

utvrđivanje i provedbu mjera kako rad na daljinu i upotreba privatnih krajnjih uređaja ne bi negativno utjecali na sposobnost financijskog subjekta da obavlja ključne aktivnosti na odgovarajući, pravodoban i siguran način.

(a)

osigurava da se prije svake nabave ili razvoja IKT sustava jasno odrede funkcionalni i nefunkcionalni zahtjevi, među ostalim zahtjevi za informacijsku sigurnost, te da relevantna poslovna funkcija odobri te zahtjeve;

(b)

osigurava testiranje i odobrenje IKT sustava prije njihove prve upotrebe i prije mijenjanja produkcijskog okruženja;

(c)

određuju mjere za smanjenje rizika od nenamjerne izmjene IKT sustava ili njihove namjerne manipulacije tijekom razvoja i uvođenja u produkcijsko okruženje.

(a)

odobrava ih upravljačko tijelo financijskog subjekta;

(b)

dokumentiraju se i lako su dostupni u hitnim ili kriznim slučajevima;

(c)

u njima se dodjeljuju dostatni resursi za njihovo izvršenje;

(d)

u njima se utvrđuju planirane razine oporavka i vremenski okviri za oporavak i nastavak rada funkcija te ključnih unutarnjih i vanjskih ovisnosti, što uključuje treće strane pružatelje IKT usluga;

(e)

u njima se utvrđuju uvjeti na temelju kojih se mogu aktivirati planovi kontinuiteta poslovanja u području IKT-a te mjere koje se poduzimaju kako bi se osigurali dostupnost, kontinuitet i oporavak IKT imovine financijskih subjekata kojom se podupiru ključne ili važne funkcije;

(f)

u njima se utvrđuju mjere ponovne uspostave i oporavka za ključne ili važne poslovne funkcije, potporne procese, informacijsku imovinu i njihove međuovisnosti kako bi se izbjegli štetni učinci na funkcioniranje financijskih subjekata;

(g)

u njima se utvrđuju postupci i mjere za sigurnosno kopiranje kojima se određuju opseg podataka koji su podložni sigurnosnom kopiranju i minimalna učestalost sigurnosnog kopiranja na temelju ključnosti funkcije za koju se ti podaci upotrebljavaju;

(h)

u njima se razmatraju alternativne mogućnosti ako primarne mjere oporavka nisu kratkoročno izvedive zbog troškova, rizika, logistike ili nepredviđenih okolnosti;

(i)

u njima se utvrđuju aranžmani za unutarnju i vanjsku komunikaciju, među ostalim planovi za eskalaciju;

(j)

ažuriraju se u skladu s iskustvom stečenim na temelju incidenata, testiranja, novih rizika, utvrđenih prijetnji, promijenjenih ciljeva oporavka, znatnih promjena organizacije financijskog subjekata te IKT imovine kojom se podupiru ključne ili poslovne funkcije.

(a)

uvodni odjeljak koji uključuje:

(b)

prema potrebi, datum na koji je upravljačko tijelo financijskog subjekta odobrilo izvješće;

(c)

opis razloga za preispitivanje, što uključuje:

(d)

datum početka i završetka razdoblja preispitivanja;

(e)

osobu odgovornu za preispitivanje;

(f)

sažetak nalaza i samoprocjenu ozbiljnosti slabosti, nedostataka i odstupanja utvrđenih u okviru za upravljanje IKT rizicima tijekom razdoblja preispitivanja, uključujući njihovu detaljnu analizu;

(g)

utvrđene korektivne mjere za otklanjanje slabosti, nedostataka i odstupanja pojednostavnjenog okvira za upravljanje IKT rizicima te očekivani datum provedbe tih mjera, među ostalim daljnjih mjera povezanih sa slabostima, nedostacima i odstupanjima utvrđenima u prethodnim izvješćima ako te slabosti, nedostaci i odstupanja još nisu otklonjeni;

(h)

opće zaključke preispitivanja pojednostavnjenog okvira za upravljanje IKT rizicima, uključujući sve daljnje planirane razvoje događaja.