TYTUŁ I

ZASADA OGÓLNA

Artykuł 1

Ogólny profil ryzyka i stopień złożoności

Przy opracowywaniu i wdrażaniu polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w tytule II, oraz uproszczonych ram zarządzania ryzykiem związanym z ICT, o których mowa w tytule III, uwzględnia się wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i elementy zwiększonego lub zmniejszonego stopnia złożoności realizowanych usług, działań i operacji, w tym elementy związane z:

TYTUŁ II

DALSZA HARMONIZACJA NARZĘDZI, METOD, PROCESÓW I POLITYK ZARZĄDZANIA RYZYKIEM ZWIĄZANYM Z ICT ZGODNIE Z ART. 15 ROZPORZĄDZENIA (UE) 2022/2554

ROZDZIAŁ I

Polityki, procedury, protokoły i narzędzia w zakresie bezpieczeństwa ICT

Artykuł 2

Ogólne elementy polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT

1. Podmioty finansowe zapewniają, aby ich polityki w zakresie bezpieczeństwa ICT, bezpieczeństwo informacji oraz powiązane procedury, protokoły i narzędzia, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, zostały włączone do ich ram zarządzania ryzykiem związanym z ICT. Podmioty finansowe ustanawiają polityki, procedury, protokoły i narzędzia w zakresie bezpieczeństwa ICT określone w niniejszym rozdziale, które:

2. Podmioty finansowe zapewniają, aby polityki bezpieczeństwa ICT, o których mowa w ust. 1:

Artykuł 3

Zarządzanie ryzykiem związanym z ICT

Podmioty finansowe opracowują, dokumentują i wdrażają polityki i procedury zarządzania ryzykiem związanym z ICT, które obejmują wszystkie następujące elementy:

Do celów akapitu pierwszego lit. c) procedura, o której mowa w tej literze, zapewnia:

Artykuł 4

Polityka zarządzania zasobami ICT

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają politykę zarządzania zasobami ICT.

2. W polityce zarządzania zasobami ICT, o której mowa w ust. 1:

Artykuł 5

Procedura zarządzania zasobami ICT

1. Podmioty finansowe opracowują, dokumentują i wdrażają procedurę zarządzania zasobami ICT.

2. Procedura zarządzania zasobami ICT, o której mowa w ust. 1, określa kryteria przeprowadzania oceny krytyczności zasobów informacyjnych i zasobów ICT wspierających funkcje biznesowe. Ocena ta uwzględnia:

Artykuł 6

Mechanizmy kontroli szyfrowania i kryptograficznej

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają politykę dotyczącą mechanizmów kontroli szyfrowania i kryptograficznej.

2. Podmioty finansowe opracowują politykę dotyczącą mechanizmów kontroli szyfrowania i kryptograficznej, o której mowa w ust. 1, na podstawie wyników zatwierdzonej klasyfikacji danych i oceny ryzyka związanego z ICT. Polityka ta zawiera zasady dotyczące wszystkich następujących elementów:

Do celów lit. b), jeżeli szyfrowanie wykorzystywanych danych nie jest możliwe, podmioty finansowe przetwarzają dane wykorzystywane w oddzielonym i chronionym środowisku lub wprowadzają równoważne środki w celu zapewnienia poufności, integralności, autentyczności i dostępności danych.

3. Podmioty finansowe uwzględniają w polityce dotyczącej mechanizmów kontroli szyfrowania i kryptograficznej, o której mowa w ust. 1, kryteria wyboru technik kryptograficznych i praktyk stosowania, z uwzględnieniem wiodących praktyk i norm w rozumieniu art. 2 pkt 1 rozporządzenia (UE) nr 1025/2012 oraz klasyfikacji odpowiednich zasobów ICT ustanowionej zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554. Podmioty finansowe, które nie są w stanie przestrzegać wiodących praktyk lub standardów ani stosować najbardziej wiarygodnych technik, przyjmują środki łagodzące i środki monitorowania zapewniające odporność na cyberzagrożenia.

4. Podmioty finansowe uwzględniają w polityce dotyczącej mechanizmów kontroli szyfrowania i kryptograficznej, o której mowa w ust. 1, przepisy dotyczące aktualizacji lub zmiany, w razie potrzeby, technologii kryptograficznej w oparciu o rozwój kryptoanalizy. Te aktualizacje lub zmiany zapewniają, aby technologia kryptograficzna pozostała odporna na cyberzagrożenia, zgodnie z wymogami art. 10 ust. 2 lit. a). Podmioty finansowe, które nie są w stanie zaktualizować lub zmienić technologii kryptograficznej, przyjmują środki łagodzące i środki monitorowania zapewniające odporność na cyberzagrożenia.

5. Podmioty finansowe uwzględniają w polityce dotyczącej mechanizmów kontroli szyfrowania i kryptograficznej, o której mowa w ust. 1, wymóg rejestrowania przypadków przyjęcia środków łagodzących i środków monitorowania zgodnie z ust. 3 i 4 oraz przedstawienia uzasadnionego wyjaśnienia tego faktu.

Artykuł 7

Zarządzanie kluczami kryptograficznymi

1. Podmioty finansowe uwzględniają w polityce zarządzania kluczami kryptograficznymi, o której mowa w art. 6 ust. 2 lit. d), wymogi dotyczące zarządzania kluczami kryptograficznymi w całym ich cyklu życia, z uwzględnieniem generowania, odnawiania, przechowywania, tworzenia kopii zapasowych, archiwizowania, pobierania, przesyłania, utraty ważności, cofania i niszczenia tych kluczy kryptograficznych.

2. Podmioty finansowe określają i wdrażają kontrole w celu ochrony kluczy kryptograficznych w całym ich cyklu życia przed utratą, nieuprawnionym dostępem, ujawnieniem i modyfikacją. Podmioty finansowe opracowują te kontrole na podstawie wyników zatwierdzonej klasyfikacji danych i oceny ryzyka związanego z ICT.

3. Podmioty finansowe opracowują i wdrażają metody zastępowania kluczy kryptograficznych w przypadku ich utraty lub gdy klucze te zostaną naruszone lub uszkodzone.

4. Podmioty finansowe tworzą i prowadzą rejestr wszystkich certyfikatów i urządzeń do przechowywania certyfikatów w odniesieniu do co najmniej zasobów ICT wspierających krytyczne lub istotne funkcje. Podmioty finansowe aktualizują ten rejestr.

5. Podmioty finansowe zapewniają niezwłoczne odnowienie certyfikatów przed ich wygaśnięciem.

Artykuł 8

Polityki i procedury dotyczące operacji ICT

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają polityki i procedury zarządzania operacjami ICT. Wspomniane polityki i procedury określają sposób, w jaki podmioty finansowe obsługują, monitorują, kontrolują i przywracają swoje zasoby ICT, w tym dokumentację operacji ICT.

2. Polityki i procedury dotyczące operacji ICT, o których mowa w ust. 1, zawierają wszystkie następujące elementy:

Do celów lit. b) pkt (v) oddzielenie uwzględnia wszystkie elementy środowiska, w tym konta, dane lub połączenia, zgodnie z wymogami art. 13 akapit pierwszy lit. a).

Do celów lit. b) pkt (vii) w politykach i procedurach, o których mowa w ust. 1, przewiduje się, że przypadki, w których testy są przeprowadzane w środowisku produkcyjnym, są jasno określone, uzasadnione, trwają przez ograniczony czas i zostają zatwierdzone przez odpowiednią funkcję zgodnie z art. 16 ust. 6. Podmioty finansowe zapewniają dostępność, poufność, integralność i autentyczność systemów ICT i danych dotyczących produkcji podczas działań rozwojowych i testowych w środowisku produkcyjnym.

Artykuł 9

Zarządzanie pojemnością i wydajnością

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają procedury zarządzania pojemnością i wydajnością dotyczące:

2. Procedury zarządzania pojemnością i wydajnością, o których mowa w ust. 1, zapewniają, aby podmioty finansowe wdrażały środki, które należycie odpowiadają specyfice systemów ICT, w przypadku których procesy udzielania zamówień lub zatwierdzania są długie lub złożone, lub systemów ICT, które wymagają wielu zasobów.

Artykuł 10

Zarządzanie podatnościami i poprawkami

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają procedury zarządzania podatnościami.

2. Procedury zarządzania podatnościami, o których mowa w ust. 1, obejmują:

Do celów lit. b) podmioty finansowe co najmniej raz w tygodniu przeprowadzają zautomatyzowane skanowanie pod kątem podatności oraz oceny podatności zasobów ICT w odniesieniu do zasobów ICT wspierających krytyczne lub istotne funkcje.

Do celów lit. c) podmioty finansowe zwracają się do zewnętrznych dostawców usług ICT o zbadanie odpowiednich podatności, określenie ich podstawowych przyczyn oraz wdrożenie odpowiednich działań łagodzących.

Do celów lit. d) podmioty finansowe, w stosownych przypadkach we współpracy z zewnętrznym dostawcą usług ICT, monitorują wersję i ewentualne aktualizacje bibliotek zewnętrznych. W przypadku gotowych do użytku zasobów ICT lub komponentów zasobów ICT pozyskanych i wykorzystywanych do świadczenia usług ICT, które nie wspierają krytycznych lub istotnych funkcji, podmioty finansowe monitorują korzystanie w miarę możliwości z bibliotek zewnętrznych, w tym bibliotek open source.

Do celów lit. f) podmioty finansowe uwzględniają krytyczność podatności, klasyfikację ustanowioną zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554, a także profil ryzyka zasobów ICT, w przypadku których stwierdzono podatności.

3. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają procedury zarządzania poprawkami.

4. Procedury zarządzania poprawkami, o których mowa w ust. 3, obejmują:

Artykuł 11

Bezpieczeństwo danych i systemów

1. W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają procedurę bezpieczeństwa danych i systemów.

2. Procedura bezpieczeństwa danych i systemów, o której mowa w ust. 1, obejmuje wszystkie następujące elementy związane z bezpieczeństwem danych i systemów ICT, zgodnie z klasyfikacją ustanowioną zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554:

Do celów lit. b) przy określaniu bezpiecznego poziomu bazowego konfiguracji, o którym mowa w tej literze, uwzględnia się wiodące praktyki i odpowiednie techniki określone w normach w rozumieniu art. 2 pkt 1 rozporządzenia (UE) nr 1025/2012.

Do celów lit. k) podmioty finansowe uwzględniają następujące elementy:

Artykuł 12

Rejestrowanie

1. Przy wprowadzaniu zabezpieczeń przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem podmioty finansowe opracowują, dokumentują i wdrażają procedury, protokoły i narzędzia rejestrowania.

2. Procedury, protokoły i narzędzia rejestrowania, o których mowa w ust. 1, obejmują wszystkie następujące elementy:

Do celów lit. a) podmioty finansowe określają okres zatrzymywania, uwzględniając cele biznesowe i cele w zakresie bezpieczeństwa informacji, powód zarejestrowania zdarzenia w rejestrach oraz wyniki oceny ryzyka związanego z ICT.

Artykuł 13

Zarządzanie bezpieczeństwem sieci

Przy wprowadzaniu zabezpieczeń zapewniających ochronę sieci przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem podmioty finansowe opracowują, dokumentują i wdrażają polityki, procedury, protokoły i narzędzia w zakresie zarządzania bezpieczeństwem sieci obejmujące wszystkie następujące elementy:

Do celów lit. h) podmioty finansowe regularnie przeprowadzają przegląd reguł zapory sieciowej i filtrów połączeń zgodnie z klasyfikacją ustanowioną zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554 oraz ogólnym profilem ryzyka odpowiednich systemów ICT. W przypadku systemów ICT, które wspierają krytyczne lub istotne funkcje, podmioty finansowe weryfikują adekwatność obowiązujących reguł zapory sieciowej i filtrów połączeń co najmniej raz na sześć miesięcy.

Artykuł 14

Zabezpieczenie przesyłanych informacji

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe opracowują, dokumentują i wdrażają polityki, procedury, protokoły i narzędzia w zakresie ochrony przesyłanych informacji. W szczególności podmioty finansowe zapewniają wszystkie następujące elementy:

2. Podmioty finansowe opracowują polityki, procedury, protokoły i narzędzia służące ochronie przesyłanych informacji, o których mowa w ust. 1, na podstawie wyników zatwierdzonej klasyfikacji danych i oceny ryzyka związanego z ICT.

Artykuł 15

Zarządzanie projektami ICT

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe opracowują, dokumentują i wdrażają politykę zarządzania projektami ICT.

2. W polityce zarządzania projektami ICT, o której mowa w ust. 1, określa się elementy, które zapewniają skuteczne zarządzanie projektami ICT związanymi z pozyskiwaniem, utrzymaniem i, w stosownych przypadkach, rozwojem systemów ICT podmiotu finansowego.

3. W polityce zarządzania projektami ICT, o której mowa w ust. 1, określa się wszystkie następujące elementy:

4. Polityka zarządzania projektami ICT, o której mowa w ust. 1, zapewnia bezpieczną realizację projektu ICT dzięki dostarczeniu niezbędnych informacji i wiedzy fachowej z obszaru działalności lub funkcji, na które dany projekt ICT ma wpływ.

5. Zgodnie z oceną ryzyka projektu ICT, o której mowa w ust. 3 lit. d), w polityce zarządzania projektami ICT, o której mowa w ust. 1, przewiduje się konieczność informowania organu zarządzającego o ustanowieniu i postępach w realizacji projektów ICT mających wpływ na krytyczne lub istotne funkcje podmiotu finansowego oraz o związanym z nimi ryzyku w następujący sposób:

Artykuł 16

Pozyskiwanie, rozwój i utrzymanie systemów ICT

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe opracowują, dokumentują i wdrażają politykę regulującą pozyskiwanie, rozwój i utrzymanie systemów ICT. W polityce tej:

2. Podmioty finansowe opracowują, dokumentują i wdrażają procedurę pozyskiwania, rozwoju i utrzymania systemów ICT na potrzeby testowania i zatwierdzania wszystkich systemów ICT przed ich wykorzystaniem i po zakończeniu ich utrzymywania, zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii). Poziom testów musi być proporcjonalny do krytyczności odnośnych procedur biznesowych i zasobów ICT. Testy projektuje się w taki sposób, aby można było zweryfikować, czy nowe systemy ICT są odpowiednie do działania zgodnie z przeznaczeniem, z uwzględnieniem jakości wewnętrznie opracowywanego oprogramowania.

W stosownych przypadkach, oprócz wymogów określonych w akapicie pierwszym, kontrahenci centralni angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

W stosownych przypadkach, oprócz wymogów określonych w akapicie pierwszym, centralne depozyty papierów wartościowych angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

3. Procedura, o której mowa w ust. 2, obejmuje przeprowadzanie przeglądów kodu źródłowego, w tym zarówno testy statyczne, jak i dynamiczne. Testy te obejmują testowanie bezpieczeństwa systemów i aplikacji internetowych zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii). Podmioty finansowe:

4. Procedura, o której mowa w ust. 2, zakłada przeprowadzenie testów bezpieczeństwa pakietów oprogramowania nie później niż na etapie integracji, zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii).

5. W procedurze, o której mowa w ust. 2, przewiduje się, że:

6. Na zasadzie odstępstwa od ust. 5 procedura, o której mowa w ust. 2, może stanowić, że dane dotyczące produkcji przechowuje się wyłącznie na potrzeby konkretnych testów, przez ograniczony czas oraz po zatwierdzeniu przez odpowiednią funkcję i zgłoszeniu takich przypadków funkcji zarządzania ryzykiem związanym z ICT.

7. Procedura, o której mowa w ust. 2, obejmuje wdrożenie kontroli mających na celu ochronę integralności kodu źródłowego systemów ICT, które są opracowywane wewnętrznie lub przez zewnętrznego dostawcę usług ICT i dostarczane podmiotowi finansowemu przez zewnętrznego dostawcę usług ICT.

8. W procedurze, o której mowa w ust. 2, przewiduje się, że oprogramowanie zamknięte oraz, w miarę możliwości, kod źródłowy dostarczony przez zewnętrznych dostawców usług ICT lub pozyskany w ramach projektów open source, muszą być analizowane i testowane zgodnie z ust. 3 przed ich wdrożeniem w środowisku produkcyjnym.

9. Ust. 1-8 niniejszego artykułu mają również zastosowanie do systemów ICT opracowywanych lub zarządzanych przez użytkowników niezwiązanych z funkcją ICT, z zastosowaniem podejścia opartego na analizie ryzyka.

Artykuł 17

Zarządzanie zmianą w systemach ICT

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe uwzględniają w procedurach zarządzania zmianą w systemach ICT, o których mowa w art. 9 ust. 4 lit. e) rozporządzenia (UE) 2022/2554, w odniesieniu do wszystkich zmian w oprogramowaniu, sprzęcie komputerowym, komponentach oprogramowania sprzętowego, parametrach systemowych lub parametrach bezpieczeństwa, wszystkie następujące elementy:

2. Po wprowadzeniu znaczących zmian w swoich systemach ICT kontrahenci centralni i centralne depozyty papierów wartościowych poddają te systemy rygorystycznym testom, symulując warunki skrajne.

W stosownych przypadkach kontrahenci centralni angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

W stosownych przypadkach centralne depozyty papierów wartościowych angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o którym mowa w akapicie pierwszym:

Artykuł 18

Bezpieczeństwo fizyczne i środowiskowe

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe określają, dokumentują i wdrażają politykę bezpieczeństwa fizycznego i środowiskowego. Podmioty finansowe opracowują tę politykę, biorąc pod uwagę aktualny krajobraz cyberzagrożeń i opierając się na klasyfikacji ustanowionej zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554, a także uwzględniając ogólny profil ryzyka zasobów ICT i dostępnych zasobów informacyjnych.

2. Polityka bezpieczeństwa fizycznego i środowiskowego, o której mowa w ust. 1, musi zawierać wszystkie następujące elementy:

Do celów lit. b) środki służące zapewnieniu ochrony przed zagrożeniami środowiskowymi muszą być współmierne do znaczenia obiektów, ośrodków przetwarzania danych i wyznaczonych obszarów wrażliwych oraz do krytyczności prowadzonych w nich operacji lub znajdujących się w nich systemów ICT.

Do celów lit. c) polityka bezpieczeństwa fizycznego i środowiskowego, o której mowa w ust. 1, musi zawierać środki gwarantujące odpowiednią ochronę zasobów ICT pozostawionych bez dozoru.

ROZDZIAŁ II

Polityka kadrowa i kontrola dostępu

Artykuł 19

Polityka kadrowa

Podmioty finansowe uwzględniają w swojej polityce kadrowej lub innych odpowiednich politykach wszystkie następujące elementy związane z bezpieczeństwem ICT:

Artykuł 20

Zarządzanie tożsamością

1. W ramach kontroli praw zarządzania dostępem podmioty finansowe opracowują, dokumentują i wdrażają polityki i procedury zarządzania tożsamością zapewniające możliwość jednoznacznego zidentyfikowania i uwierzytelnienia osób fizycznych i systemów uzyskujących dostęp do informacji podmiotów finansowych w celu przyznania im praw dostępu użytkowników zgodnie z art. 21.

2. Polityki i procedury zarządzania tożsamością, o których mowa w ust. 1, obejmują wszystkie następujące elementy:

Do celów lit. a) podmioty finansowe prowadzą rejestr wszystkich przydzielonych tożsamości. Rejestr ten przechowuje się po dokonaniu reorganizacji podmiotu finansowego lub po rozwiązaniu stosunku umownego, bez uszczerbku dla wymogów dotyczących zatrzymywania danych przewidzianych w obowiązujących przepisach unijnych i krajowych.

Do celów lit. b) podmioty finansowe wprowadzają - w miarę możliwości i w stosownych przypadkach - zautomatyzowane rozwiązania na potrzeby procesu zarządzania cyklem życia tożsamości.

Artykuł 21

Kontrola dostępu

W ramach przeprowadzanej przez siebie kontroli praw zarządzania dostępem podmioty finansowe opracowują, dokumentują i wdrażają politykę obejmującą wszystkie poniższe elementy:

Do celów lit. e) pkt (i) podmioty finansowe określają okres zatrzymywania, uwzględniając cele biznesowe i cele w zakresie bezpieczeństwa informacji, powody zarejestrowania zdarzenia w rejestrach oraz wyniki oceny ryzyka związanego z ICT.

Do celów lit. e) pkt (ii) podmioty finansowe korzystają w miarę możliwości ze specjalnych kont do wykonywania zadań administracyjnych w ramach systemów ICT. W miarę możliwości i w stosownych przypadkach podmioty finansowe wprowadzają zautomatyzowane rozwiązania na potrzeby procesu zarządzania dostępem uprzywilejowanym.

Do celów lit. g) pkt (i) działania w zakresie identyfikowania i rejestrowania muszą być współmierne do znaczenia obiektów, ośrodków przetwarzania danych i wyznaczonych obszarów wrażliwych oraz do krytyczności prowadzonych w nich operacji lub znajdujących się w nich systemów ICT.

Do celów lit. g) pkt (iii) monitorowanie musi być współmierne do klasyfikacji ustanowionej zgodnie z art. 8 ust. 1 rozporządzenia (UE) 2022/2554 i krytyczności obszaru, do którego uzyskuje się dostęp.

ROZDZIAŁ III

Wykrywanie incydentów związanych z ICT i reagowanie na nie

Artykuł 22

Polityka zarządzania incydentami związanymi z ICT

W ramach mechanizmów służących do wykrywania nietypowych działań, w tym problemów związanych z wydajnością sieci ICT i incydentów związanych z ICT, podmioty finansowe opracowują, dokumentują i wdrażają politykę dotyczącą incydentów związanych z ICT, za pośrednictwem której:

Do celów lit. d) podmioty finansowe przechowują dowody, o których mowa w tej literze, w bezpieczny sposób.

Artykuł 23

Wykrywanie nietypowych działań i kryteria wykrywania incydentów związanych z ICT oraz reagowania na nie

1. Podmioty finansowe jasno określają role i obowiązki w celu skutecznego wykrywania incydentów związanych z ICT i nietypowych działań oraz reagowania na nie.

2. Mechanizm pozwalający na szybkie wykrywanie nietypowych działań, w tym problemów związanych z wydajnością sieci ICT i incydentów związanych z ICT, o którym mowa w art. 10 ust. 1 rozporządzenia (UE) 2022/2554, umożliwia podmiotom finansowym:

Do celów lit. b) narzędzia, o których mowa w tej literze, obejmują narzędzia zapewniające automatyczne ostrzeżenia oparte na wcześniej określonych zasadach w celu identyfikacji nieprawidłowości mających wpływ na kompletność i integralność źródeł danych lub gromadzenia rejestrów.

3. Podmioty finansowe chronią wszelkie zapisy dotyczące nietypowych działań przed manipulacją i nieuprawnionym dostępem, gdy są one przechowywane, przesyłane oraz, w stosownych przypadkach, wykorzystywane.

4. Podmioty finansowe rejestrują wszystkie istotne informacje dotyczące każdego wykrytego nietypowego działania, umożliwiające:

5. Aby uruchomić procesy wykrywania incydentów związanych z ICT i reagowania na nie, o których to procesach mowa w art. 10 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe uwzględniają wszystkie poniższe kryteria:

6. Do celów ust. 5 podmioty finansowe biorą również pod uwagę krytyczność usług, których dotyczy incydent.

ROZDZIAŁ IV

Zarządzanie ciągłością działania w zakresie ICT

Artykuł 24

Elementy strategii na rzecz ciągłości działania w zakresie ICT

1. Podmioty finansowe uwzględniają w swojej strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11 ust. 1 rozporządzenia (UE) 2022/2554, wszystkie następujące elementy:

2. Oprócz wymogów, o których mowa w ust. 1, kontrahenci centralni zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT:

Do celów lit. a) kontrahenci centralni realizują procedury i płatności na koniec dnia w wymaganym terminie i dniu w każdych okolicznościach.

Do celów lit. c) pkt (i) ustalenia, o których mowa w tej literze, dotyczą dostępności odpowiednich zasobów ludzkich, maksymalnej przerwy w świadczeniu funkcji krytycznych oraz pracy awaryjnej i przywrócenia sprawności funkcji przez systemy znajdujące się w lokalizacji zapasowej.

Do celów lit. c) pkt (ii) zapasowa lokalizacja przetwarzania danych, o której mowa w tej literze, musi mieć geograficzny profil ryzyka, który różni się od geograficznego profilu ryzyka głównego miejsca przetwarzania.

3. Oprócz wymogów, o których mowa w ust. 1, centralne depozyty papierów wartościowych zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT:

4. Oprócz wymogów, o których mowa w ust. 1, systemy obrotu zapewniają, aby ich strategia na rzecz ciągłości działania w zakresie ICT zapewniała, by:

Artykuł 25

Testowanie planów ciągłości działania w zakresie ICT

1. Testując plany ciągłości działania w zakresie ICT zgodnie z art. 11 ust. 6 rozporządzenia (UE) 2022/2554, podmioty finansowe uwzględniają analizę wpływu na działalność (BIA) podmiotu finansowego oraz ocenę ryzyka związanego z ICT, o której mowa w art. 3 akapit pierwszy lit. b) niniejszego rozporządzenia.

2. Testując swoje plany ciągłości działania w zakresie ICT, o których mowa w ust. 1, podmioty finansowe oceniają, czy są w stanie zapewnić ciągłość krytycznych lub istotnych funkcji podmiotu finansowego. Testowanie to powinno:

Do celów lit. a) podmioty finansowe zawsze uwzględniają w ramach testowania scenariusze brane pod uwagę przy opracowywaniu planów ciągłości działania.

Do celów lit. b) podmioty finansowe należycie uwzględniają scenariusze związane z niewypłacalnością lub awariami zewnętrznych dostawców usług ICT lub z ryzykiem politycznym w jurysdykcjach zewnętrznych dostawców usług ICT, w stosownych przypadkach.

Do celów lit. c) w ramach testowania sprawdza się, czy co najmniej krytyczne lub istotne funkcje mogą być prawidłowo obsługiwane przez wystarczający czas oraz czy można przywrócić normalne funkcjonowanie.

3. Oprócz wymogów, o których mowa w ust. 2, kontrahenci centralni angażują w testowanie swoich planów ciągłości działania w zakresie ICT, o których mowa w ust. 1:

4. Oprócz wymogów, o których mowa w ust. 2, centralne depozyty papierów wartościowych angażują w testowanie swoich planów ciągłości działania w zakresie ICT, o których mowa w ust. 1, w stosownych przypadkach:

5. Podmioty finansowe dokumentują wyniki testowania, o których mowa w ust. 1. Wszelkie niedoskonałości stwierdzone w ramach tego testowania powinny być analizowane, eliminowane i zgłaszane organowi zarządzającemu.

Artykuł 26

Plany reagowania i przywracania sprawności ICT

1. Opracowując plany reagowania i przywracania sprawności ICT, o których mowa w art. 11 ust. 3 rozporządzenia (UE) 2022/2554, podmioty finansowe uwzględniają wyniki przeprowadzonej przez podmiot finansowy analizy wpływu na działalność (BIA). Te plany reagowania i przywracania sprawności ICT powinny:

Do celów lit. d) podmioty finansowe jasno określają role i obowiązki.

2. W planach reagowania i przywracania sprawności ICT, o których mowa w ust. 1, określa się odpowiednie scenariusze, w tym scenariusze poważnych zakłóceń działalności gospodarczej i zwiększonego prawdopodobieństwa wystąpienia zakłóceń. W planach tych opracowuje się scenariusze oparte na aktualnych informacjach na temat zagrożeń oraz na wnioskach wyciągniętych z wcześniejszych przypadków zakłóceń działalności gospodarczej. Podmioty finansowe należycie uwzględniają wszystkie następujące scenariusze:

3. W przypadku gdy podstawowe środki przywracania sprawności mogą nie być wykonalne w perspektywie krótkoterminowej ze względu na koszty, ryzyko, logistykę lub nieprzewidziane okoliczności, w planach reagowania i przywracania sprawności ICT, o których mowa w ust. 1, bierze się pod uwagę alternatywne warianty.

4. W ramach planów reagowania i przywracania sprawności ICT, o których mowa w ust. 1, podmioty finansowe rozważają i wdrażają środki zapewniające ciągłość w celu ograniczenia awarii zewnętrznych dostawców usług ICT wspierających krytyczne lub istotne funkcje podmiotu finansowego.

ROZDZIAŁ V

Sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT

Artykuł 27

Format i treść sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT

1. Podmioty finansowe przedkładają sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w art. 6 ust. 5 rozporządzenia (UE) 2022/2554, w formacie elektronicznym umożliwiającym wyszukiwanie.

2. Podmioty finansowe uwzględniają wszystkie poniższe informacje w sprawozdaniu, o którym mowa w ust. 1:

Do celów lit. c), w przypadku gdy przegląd wszczęto zgodnie z instrukcjami nadzorczymi lub wnioskami wynikającymi z odpowiednich testów lub procesów audytu operacyjnej odporności cyfrowej, sprawozdanie zawiera wyraźne odniesienia do takich instrukcji lub wniosków, umożliwiające określenie przyczyny wszczęcia przeglądu. W przypadku wszczęcia przeglądu w następstwie incydentów związanych z ICT sprawozdanie zawiera wykaz wszystkich incydentów związanych z ICT wraz z analizą przyczyn incydentów.

Do celów lit. f) opis zawiera analizę wpływu zmian na strategię podmiotu finansowego w zakresie operacyjnej odporności cyfrowej, na ramy kontroli wewnętrznej podmiotu finansowego w zakresie ICT oraz na zarządzanie ryzykiem związanym z ICT przez podmiot finansowy.

TYTUŁ III

UPROSZCZONE RAMY ZARZĄDZANIA RYZYKIEM ZWIĄZANYM Z ICT DOTYCZĄCE PODMIOTÓW FINANSOWYCH, O KTÓRYCH MOWA W ART. 16 UST. 1 ROZPORZĄDZENIA (UE) 2022/2554

ROZDZIAŁ I

Uproszczone ramy zarządzania ryzykiem związanym z ICT

Artykuł 28

Zarządzanie i organizacja

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, posiadają ramy zarządzania wewnętrznego i kontroli, które zapewniają skuteczne i ostrożne zarządzanie ryzykiem związanym z ICT w celu osiągnięcia wysokiego poziomu operacyjnej odporności cyfrowej.

2. Podmioty finansowe, o których mowa w ust. 1, w ramach swoich uproszczonych ram zarządzania ryzykiem związanym z ICT zapewniają, aby ich organ zarządzający:

3. Podmioty finansowe, o których mowa w ust. 1, mogą, zgodnie z unijnym i krajowym prawem sektorowym, zlecić zadania dotyczące weryfikacji zgodności z wymogami w zakresie zarządzania ryzykiem związanym z ICT dostawcom usług ICT wewnątrz grupy lub zewnętrznym dostawcom usług ICT. W przypadku takiego outsourcingu podmioty finansowe pozostają w pełni odpowiedzialne za sprawdzanie zgodności z wymogami dotyczącymi zarządzania ryzykiem związanym z ICT.

4. Podmioty finansowe, o których mowa w ust. 1, zapewniają odpowiednie rozdzielenie i niezależność funkcji kontroli i funkcji audytu wewnętrznego.

5. Podmioty finansowe, o których mowa w ust. 1, zapewniają, aby ich uproszczone ramy zarządzania ryzykiem związanym z ICT podlegały audytowi wewnętrznemu przeprowadzanemu przez audytorów zgodnie z planami tych podmiotów finansowych dotyczącymi audytów. Audytorzy posiadają wystarczającą wiedzę, umiejętności i wiedzę fachową w zakresie ryzyka związanego z ICT oraz są niezależni. Częstotliwość i przedmiot audytów ICT są współmierne do ryzyka związanego z ICT danego podmiotu finansowego.

6. Na podstawie wyników audytu, o którym mowa w ust. 5, podmioty finansowe, o których mowa w ust. 1, zapewniają terminową weryfikację i wdrożenie środków zaradczych w następstwie krytycznych ustaleń audytu ICT.

Artykuł 29

Polityka i środki bezpieczeństwa informacji

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują, dokumentują i wdrażają politykę bezpieczeństwa informacji w kontekście uproszczonych ram zarządzania ryzykiem związanym z ICT. W ramach tej polityki bezpieczeństwa informacji określa się ogólne zasady i przepisy dotyczące ochrony poufności, integralności, dostępności i autentyczności danych i usług świadczonych przez te podmioty finansowe.

2. W oparciu o ich politykę bezpieczeństwa informacji, o której mowa w ust. 1, podmioty finansowe, o których mowa w ust. 1, ustanawiają i wdrażają środki bezpieczeństwa ICT w celu ograniczenia ich ekspozycji na ryzyko związane z ICT, w tym środki ograniczające ryzyko wdrożone przez zewnętrznych dostawców usług ICT.

Środki bezpieczeństwa ICT obejmują wszystkie środki, o których mowa w art. 30-38.

Artykuł 30

Klasyfikacja zasobów informacyjnych i zasobów ICT

1. W kontekście uproszczonych ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 16 ust. 1 lit. a) rozporządzenia (UE) 2022/2554, podmioty finansowe, o których mowa w ust. 1 tego artykułu, identyfikują, klasyfikują i dokumentują wszystkie krytyczne lub istotne funkcje, zasoby informacyjne i wspierające je zasoby ICT oraz ich współzależności. W razie potrzeby podmioty finansowe dokonują przeglądu tej identyfikacji i klasyfikacji.

2. Podmioty finansowe, o których mowa w ust. 1, określają wszystkie krytyczne lub istotne funkcje wspierane przez zewnętrznych dostawców usług ICT.

Artykuł 31

Zarządzanie ryzykiem związanym z ICT

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, uwzględniają w swoich uproszczonych ramach zarządzania ryzykiem związanym z ICT wszystkie następujące elementy:

2. Podmioty finansowe, o których mowa w ust. 1, okresowo przeprowadzają i dokumentują ocenę ryzyka ICT współmiernie do profilu ryzyka związanego z ICT podmiotów finansowych.

3. Podmioty finansowe, o których mowa w ust. 1, stale monitorują zagrożenia i podatności, które są istotne dla ich krytycznych lub istotnych funkcji oraz ich zasobów informacyjnych i zasobów ICT, i regularnie dokonują przeglądu scenariuszy ryzyka mających wpływ na te krytyczne lub istotne funkcje.

4. Podmioty finansowe, o których mowa w ust. 1, określają progi alarmowe i kryteria uruchamiania i inicjowania procesów reagowania na incydenty związane z ICT.

Artykuł 32

Bezpieczeństwo fizyczne i środowiskowe

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, określają i wdrażają środki bezpieczeństwa fizycznego opracowane w oparciu o krajobraz zagrożeń i zgodnie z klasyfikacją, o której mowa w art. 30 ust. 1 niniejszego rozporządzenia, ogólny profil ryzyka zasobów ICT oraz dostępnych zasobów informacyjnych.

2. Środki, o których mowa w ust. 1, chronią obiekty podmiotów finansowych oraz, w stosownych przypadkach, ośrodków przetwarzania danych podmiotów finansowych, w których znajdują się zasoby ICT i zasoby informacyjne, przed nieuprawnionym dostępem, atakami i wypadkami, a także przed zagrożeniami środowiskowymi.

3. Ochrona przed zagrożeniami środowiskowymi jest współmierna do znaczenia odnośnych obiektów i, w stosownych przypadkach, ośrodków przetwarzania danych oraz do krytyczności prowadzonych w nich operacji lub znajdujących się w nich systemów ICT.

ROZDZIAŁ II

Dalsze elementy systemów, protokołów i narzędzi minimalizujących wpływ ryzyka związanego z ICT

Artykuł 33

Kontrola dostępu

Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują, dokumentują i wdrażają procedury kontroli logicznego i fizycznego dostępu oraz egzekwują stosowanie tych procedur, monitorują je i okresowo dokonują ich przeglądu. Procedury te zawierają następujące elementy kontroli logicznego i fizycznego dostępu:

Do celów lit. c) podmiot finansowy udziela dostępu uprzywilejowanego, dostępu awaryjnego i dostępu administratora do wszystkich systemów ICT na zasadzie potrzeby koniecznej lub na zasadzie ad hoc; dostęp ten rejestruje się zgodnie z art. 34 akapit pierwszy lit. f).

Do celów lit. d) podmioty finansowe stosują solidne metody uwierzytelniania oparte na wiodących praktykach w zakresie zdalnego dostępu do sieci podmiotów finansowych, dostępu uprzywilejowanego, a także dostępu do zasobów ICT wspierających krytyczne lub istotne funkcje, które są publicznie dostępne.

Artykuł 34

Bezpieczeństwo operacji ICT

Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, w ramach swoich systemów, protokołów i narzędzi oraz w odniesieniu do wszystkich zasobów ICT:

Do celów lit. f) podmioty finansowe dostosowują poziom szczegółowości rejestrów do ich celu i wykorzystania zasobów ICT generujących wpisy do tych rejestrów.

Artykuł 35

Bezpieczeństwo danych, systemu i sieci

Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, w ramach swoich systemów, protokołów i narzędzi opracowują i wdrażają zabezpieczenia chroniące sieci przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem i przyczyniające się do zachowania dostępności, autentyczności, integralności i poufności danych. W szczególności podmioty finansowe, uwzględniając klasyfikację, o której mowa w art. 30 ust. 1 niniejszego rozporządzenia, ustanawiają wszystkie następujące elementy:

Artykuł 36

Testy bezpieczeństwa ICT

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, ustanawiają i wdrażają plan testów bezpieczeństwa ICT w celu potwierdzenia skuteczności ich środków bezpieczeństwa ICT opracowanych zgodnie z art. 33, 34 i 35 oraz art. 37 i 38 niniejszego rozporządzenia. Podmioty finansowe zapewniają, aby plan ten uwzględniał zagrożenia i podatności zidentyfikowane w kontekście uproszczonych ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 31 niniejszego rozporządzenia.

2. Podmioty finansowe, o których mowa w ust. 1, dokonują przeglądu, oceny i testów środków bezpieczeństwa ICT, biorąc pod uwagę ogólny profil ryzyka zasobów ICT podmiotu finansowego.

3. Podmioty finansowe, o których mowa w ust. 1, monitorują i oceniają wyniki testów bezpieczeństwa oraz bezzwłocznie odpowiednio aktualizują swoje środki bezpieczeństwa w przypadku systemów ICT wspierających krytyczne lub istotne funkcje.

Artykuł 37

Pozyskiwanie, rozwój i utrzymanie systemów ICT

Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują i wdrażają, w stosownych przypadkach, procedurę regulującą pozyskiwanie, rozwój i utrzymanie systemów ICT zgodnie z podejściem opartym na analizie ryzyka. Procedura ta:

Artykuł 38

Zarządzanie projektami ICT i zmianą w systemach ICT

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują, dokumentują i wdrażają procedurę zarządzania projektami ICT oraz określają role i obowiązki związane z jej wdrożeniem. Procedura ta obejmuje wszystkie etapy projektów ICT od ich rozpoczęcia do ich zakończenia.

2. Podmioty finansowe, o których mowa w ust. 1, opracowują, dokumentują i wdrażają procedurę zarządzania zmianą w systemach ICT w celu zapewnienia, aby wszystkie zmiany w systemach ICT były rejestrowane, testowane, oceniane, zatwierdzane, wdrażane i weryfikowane w sposób kontrolowany oraz przy zastosowaniu odpowiednich zabezpieczeń w celu zachowania operacyjnej odporności cyfrowej podmiotu finansowego.

ROZDZIAŁ III

Zarządzanie ciągłością działania w zakresie ICT

Artykuł 39

Elementy planu ciągłości działania w zakresie ICT

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują swoje plany ciągłości działania w zakresie ICT, uwzględniając wyniki analizy ich ekspozycji na poważne zakłócenia działalności gospodarczej i scenariusze w tym zakresie oraz wpływ tych zakłóceń i scenariuszy, na które ich zasoby ICT wspierające krytyczne lub istotne funkcje mogą być narażone, w tym scenariusz cyberataku.

2. Plany ciągłości działania w zakresie ICT, o których mowa w ust. 1:

Do celów lit. f) środki, o których mowa w tej literze, zapewniają łagodzenie skutków awarii kluczowych zewnętrznych dostawców usług.

Artykuł 40

Testowanie planów ciągłości działania

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, co najmniej raz w roku testują swoje plany ciągłości działania, o których mowa w art. 39 niniejszego rozporządzenia, w tym scenariusze, o których mowa w tym artykule, co najmniej raz w roku w odniesieniu do procedur tworzenia kopii zapasowych i przywracania systemów lub przy każdej istotnej zmianie planu ciągłości działania.

2. Testowanie planów ciągłości działania, o którym mowa w ust. 1, wykazuje, że podmioty finansowe, o których mowa w tym ustępie, są w stanie utrzymać rentowność swojej działalności do czasu przywrócenia operacji krytycznych i zidentyfikować wszelkie niedoskonałości w tych planach.

3. Podmioty finansowe, o których mowa w ust. 1, dokumentują wyniki testowania planów ciągłości działania, a wszelkie niedoskonałości stwierdzone w ramach tych testów są analizowane, eliminowane i zgłaszane organowi zarządzającemu.

ROZDZIAŁ IV

Sprawozdanie z przeglądu uproszczonych ram zarządzania ryzykiem związanym z ICT

Artykuł 41

Format i treść sprawozdania z przeglądu uproszczonych ram zarządzania ryzykiem związanym z ICT

1. Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, przedkładają sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w ust. 2 tego artykułu, w formacie elektronicznym umożliwiającym wyszukiwanie.

2. Sprawozdanie, o którym mowa w ust. 1, zawiera wszystkie następujące informacje:

TYTUŁ IV

PRZEPISY KOŃCOWE

Artykuł 42

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.