neskarot 21. panta pirmās daļas c) punktu, katram finanšu vienības darbiniekam vai trešo personu, kas sniedz IKT pakalpojumus, darbiniekam, kurš piekļūst finanšu vienības informācijas aktīviem un IKT aktīviem, piešķir unikālu identitāti, kas atbilst unikālam lietotāja kontam;

identitāšu un kontu aprites cikla pārvaldības process, kas pārvalda visu kontu izveidi, izmaiņas tajos, to pārskatīšanu un atjaunināšanu, pagaidu dezaktivizāciju un slēgšanu.

apkopot, uzraudzīt un analizēt:

identificēt anomālas darbības un uzvedību un ieviest rīkus, kas ģenerē brīdinājumus par anomālām darbībām un uzvedību, vismaz attiecībā uz tiem IKT aktīviem un informācijas aktīviem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas;

noteikt b) apakšpunktā minēto brīdinājumu prioritātes, lai varētu pārvaldīt atklātos ar IKT saistītos incidentus paredzamajā problēmas atrisināšanas laikā, ko noteikušas finanšu vienības, gan darba laikā, gan ārpus darba laika;

automātiski vai manuāli reģistrēt, analizēt un izvērtēt visu būtisko informāciju par visām anomālajām darbībām un uzvedību.

identificēt anomālās darbības veikšanas datumu un laiku;

identificēt anomālās darbības atklāšanas datumu un laiku;

identificēt anomālās darbības veidu.

norādes, ka ļaunprātīgā darbība var būt veikta IKT sistēmā vai tīklā vai ka šāda IKT sistēma vai tīkls var būt apdraudēti;

datu zudumi, kas atklāti saistībā ar datu pieejamību, autentiskumu, integritāti un konfidencialitāti;

atklātā nelabvēlīgā ietekme uz finanšu vienības darījumiem un darbībām;

IKT sistēmu un tīklu nepieejamība.

apraksts par:

noteikumi par:

paredz to kritiski svarīgo funkciju atgūšanas maksimālo laiku, kas nepārsniedz divas stundas;

ņem vērā ārējās saites un savstarpējo atkarību finanšu infrastruktūrās, tajā skaitā centrālā darījumu partnera apstiprinātās tirdzniecības vietas, vērtspapīru norēķinu un maksājumu sistēmas un kredītiestādes, ko izmanto centrālais darījumu partneris vai saistīts centrālais darījumu partneris;

paredz, ka ir jābūt ieviestai kārtībai, lai:

ņem vērā visas saiknes ar lietotājiem, kritiski svarīgiem sabiedrisko pakalpojumu sniedzējiem un kritiski svarīgiem pakalpojumu sniedzējiem, citiem centrālajiem vērtspapīru depozitārijiem un citām tirgus infrastruktūrām un savstarpējo atkarību no tiem;

paredz, ka IKT darbības nepārtrauktības kārtībai ir jānodrošina, ka atgūšanas laika mērķis to kritiski svarīgajām vai svarīgajām funkcijām nav ilgāks par divām stundām.

tirdzniecību var atjaunot divu stundu vai īsākā laikā pēc traucējumu incidenta;

maksimālais datu apjoms, kas var tikt zaudēts no jebkura tirdzniecības vietas IT pakalpojuma pēc traucējumu incidenta, ir tuvu nullei.

tiek veikta, pamatojoties uz testa scenārijiem, kuros simulē potenciālus traucējumus, ietverot smagu, bet ticamu scenāriju pienācīgu kopumu;

attiecīgā gadījumā ietver trešo personu sniegto IKT pakalpojumu testēšanu;

attiecībā uz finanšu vienībām, kas nav mikrouzņēmumi, kā minēts Regulas (ES) 2022/2554 11. panta 6. punkta otrajā daļā, ietver scenārijus, kuros notiek pārslēgšanās no galvenās IKT infrastruktūras uz rezerves jaudu, rezerves kopijām un rezerves mehānismiem;

tiek plānota tā, lai atspēkotu pieņēmumus, uz kuriem balstīti uzņēmējdarbības nepārtrauktības plāni, tajā skaitā pārvaldības kārtība un krīzes saziņas plāni;

ietver procedūras, lai pārbaudītu finanšu vienību darbinieku, trešo personu, kas sniedz IKT pakalpojumus, IKT sistēmu un IKT pakalpojumu spēju pienācīgi reaģēt uz scenārijiem, kas pienācīgi ņemti vērā saskaņā ar 26. panta 2. punktu.

tīrvērtes dalībniekus;

ārējus pakalpojumu sniedzējus;

attiecīgās iestādes finanšu infrastruktūrā, ar kurām centrālajiem darījumu partneriem ir identificēta savstarpēja atkarība to uzņēmējdarbības nepārtrauktības politikā.

centrālo vērtspapīru depozitāriju lietotājus;

kritiski svarīgus sabiedrisko pakalpojumu sniedzējus un kritiski svarīgus pakalpojumu sniedzējus;

citus centrālos vērtspapīru depozitārijus;

citas tirgus infrastruktūras;

jebkuras citas iestādes, ar kurām centrālajiem vērtspapīru depozitārijiem ir identificēta savstarpējā atkarība to uzņēmējdarbības nepārtrauktības politikā.

paredz nosacījumus to aktivizēšanai vai dezaktivizēšanai un visus izņēmumus attiecībā uz šādu aktivizēšanu vai dezaktivizēšanu;

apraksta, kādas darbības ir veicamas, lai nodrošinātu vismaz to IKT sistēmu un pakalpojumu pieejamību, integritāti, nepārtrauktību un atgūšanu, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas;

tiek izstrādāti tā, lai sasniegtu finanšu vienības darbību atjaunošanas plānus;

tiek dokumentēti un darīti pieejami darbiniekiem, kuri iesaistīti IKT reaģēšanas un seku novēršanas plānu izpildē, un ir ātri pieejami ārkārtas gadījumā;

paredz gan īstermiņa, gan ilgtermiņa atgūšanas iespējas, tajā skaitā sistēmu daļēju atgūšanu;

nosaka IKT reaģēšanas un seku novēršanas plānu mērķus un nosacījumus šo plānu atzīšanai par veiksmīgi izpildītiem.

kiberuzbrukumi un pārslēgšanās starp primāro IKT infrastruktūru un rezerves jaudu, rezerves kopijām un rezerves mehānismiem;

scenāriji, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte pasliktinās līdz nepieņemamam līmenim vai neizdodas, tajos arī pienācīgi ņemot vērā jebkuras attiecīgās trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas vai citu atteiču iespējamo ietekmi;

telpu, tajā skaitā biroja un uzņēmējdarbības telpu, un datu centru daļēja vai pilnīga darbības atteice;

IKT aktīvu vai komunikācijas infrastruktūras būtiska atteice;

kritiska darbinieku skaita vai par darbību nepārtrauktības garantēšanu atbildīgo darbinieku nepieejamība;

klimata pārmaiņu un ar vides degradāciju saistītu notikumu, dabas katastrofu, pandēmiju un fizisku uzbrukumu, tajā skaitā ielaušanās sistēmās un teroristu uzbrukumu, ietekme;

uzbrukumi no iekšienes;

politiskā un sociālā nestabilitāte, attiecīgā gadījumā arī trešās personas, kas sniedz IKT pakalpojumus, jurisdikcijā un vietā, kur notiek datu glabāšana un apstrāde;

plaši elektroenerģijas atvienojumi.

ievada iedaļa, kurā:

datums, kurā finanšu vienības vadības struktūra apstiprinājusi ziņojumu;

apraksts par iemeslu IKT riska pārvaldības sistēmas pārskatīšanai saskaņā ar Regulas (ES) 2022/2554 6. panta 5. punktu;

pārskata perioda sākuma un beigu datums;

norāde uz funkciju, kas atbild par pārskatīšanu;

apraksts par nozīmīgām IKT riska pārvaldības sistēmas izmaiņām un uzlabojumiem kopš iepriekšējās pārskatīšanas;

pārskatīšanas konstatējumu kopsavilkums un sīka analīze un novērtējums par vājo vietu, trūkumu un nepilnību smagumu IKT riska pārvaldības sistēmā pārskata periodā;

apraksts par pasākumiem, kas veikti, lai novērstu apzinātās vājās vietas, trūkumus un nepilnības, tajā skaitā:

informācija par plānoto IKT riska pārvaldības sistēmas turpmāko attīstību;

secinājumi, kas izriet no IKT riska pārvaldības sistēmas pārskatīšanas;

informācija par līdzšinēju pārskatīšanu, tajā skaitā:

ziņojuma sagatavošanā izmantotie informācijas avoti, ietverot visu turpmāk minēto:

uzņemas vispārējo atbildību par to, lai nodrošinātu, ka vienkāršotā IKT riska pārvaldības sistēma ļauj sasniegt finanšu vienības uzņēmējdarbības stratēģiju saskaņā ar attiecīgās finanšu vienības vēlmi uzņemties risku, un nodrošina, ka šajā kontekstā tiek ņemts vērā IKT risks;

nosaka visu ar IKT saistīto pienākumu uzdevumus un atbildību;

nosaka informācijas drošības mērķus un IKT prasības;

apstiprina, pārrauga un periodiski pārskata:

piešķir un vismaz reizi gadā pārskata budžetu, kas nepieciešams, lai apmierinātu finanšu vienības digitālās darbības noturības vajadzības attiecībā uz visu veidu resursiem, tajā skaitā attiecīgajām IKT drošības izpratnes veidošanas programmām un digitālās darbības noturības mācībām, un IKT prasmēm visam personālam;

nosaka un īsteno politiku un pasākumus, kas ietverti šīs sadaļas I, II un III nodaļā, lai identificētu, novērtētu un pārvaldītu IKT risku, kam finanšu vienība ir pakļauta;

nosaka un īsteno procedūras, IKT protokolus un rīkus, kas nepieciešami, lai aizsargātu visus informācijas aktīvus un IKT aktīvus;

nodrošina, ka finanšu vienības darbinieki pastāvīgi atjaunina pietiekamas zināšanas un prasmes, kas ļauj saprast un novērtēt IKT risku un tā ietekmi uz finanšu vienības darbību, atbilstīgi pārvaldītajam IKT riskam;

nosaka ziņošanas kārtību, tajā skaitā tā ziņojuma biežumu, formu un saturu, kas izmantojams, lai ziņotu vadības struktūrai par informācijas drošību un digitālās darbības noturību.

riska tolerances līmeņa noteikšana IKT riskam saskaņā ar finanšu vienības vēlmi uzņemties risku;

to IKT risku identifikācija un novērtējums, kuram finanšu vienība ir pakļauta;

riska mazināšanas stratēģiju noteikšana vismaz tiem IKT riskiem, kas neiekļaujas finanšu vienības riska tolerances līmenī;

c) apakšpunktā minēto riska mazināšanas stratēģiju efektivitātes uzraudzība;

jebkuru tādu IKT un informācijas drošības risku identifikācija un novērtējums, kuri izriet no jebkurām nozīmīgām IKT sistēmas vai IKT pakalpojumu, procesu vai procedūru izmaiņām un no IKT drošības testēšanas rezultātiem un pēc jebkura būtiska ar IKT saistīta incidenta.

tiek apstiprināti finanšu vienības vadības struktūrā;

tiek dokumentēti un ir ātri pieejami ārkārtas vai krīzes gadījumā;

paredz pietiekamus resursus to izpildei;

nosaka plānotos seku novēršanas līmeņus un termiņus funkciju un galveno iekšējo un ārējo atkarību, tajā skaitā trešo personu, kas sniedz IKT pakalpojumus, atgūšanai un atjaunošanai;

paredz nosacījumus, kuriem izpildoties, var aktivizēt IKT darbības nepārtrauktības plānus, un nosaka, kādas darbības ir jāveic, lai nodrošinātu finanšu vienību IKT aktīvu, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, pieejamību, nepārtrauktību un atgūšanu;

nosaka atjaunošanas un atgūšanas pasākumus kritiski svarīgām vai svarīgām uzņēmējdarbības funkcijām, atbalsta procesiem, informācijas aktīviem un to savstarpējai atkarībai, lai izvairītos no nelabvēlīgas ietekmes uz finanšu vienību darbību;

paredz rezerves kopiju veidošanas procedūras un pasākumus, kas nosaka to datu tvērumu, kuriem jāveido rezerves kopijas, un rezerves kopiju veidošanas minimālo biežumu, pamatojoties uz šos datus izmantojošās funkcijas svarīgumu;

ņem vērā alternatīvas iespējas, ja atgūšana īstermiņā nav iespējama izmaksu, riska, loģistikas vai neparedzētu apstākļu dēļ;

nosaka iekšējās un ārējās saziņas kārtību, tajā skaitā eskalācijas plānus;

tiek atjaunināti atbilstīgi atziņām, kas gūtas no incidentiem, testiem, jauniem riskiem un apzinātajiem draudiem, mainītiem atgūšanas mērķiem, būtiskām izmaiņām finanšu vienības organizācijā un IKT aktīvos, kas atbalsta kritiski svarīgas vai uzņēmējdarbības funkcijas.

ievada iedaļa, kurā ietver:

attiecīgā gadījumā – datums, kurā finanšu vienības vadības struktūra apstiprinājusi ziņojumu;

pārskatīšanas iemeslu apraksts, ietverot:

pārskata perioda sākuma un beigu datums;

par pārskatīšanu atbildīgā persona;

konstatējumu kopsavilkums un pašnovērtējums par IKT riska pārvaldības sistēmā apzināto vājo vietu, trūkumu un nepilnību smagumu par pārskata periodu, iekļaujot sīku to analīzi;

noteiktie izlabošanas pasākumi vienkāršotās IKT riska pārvaldības sistēmas vājo vietu, trūkumu un nepilnību risināšanai un paredzamais datums šo pasākumu īstenošanai, tajā skaitā turpmākā rīcība pēc iepriekšējos ziņojumos identificētajām vājajām vietām, trūkumiem un nepilnībām, ja šīs vājās vietas, trūkumi un nepilnības vēl nav novērstas;

vispārēji secinājumi par vienkāršotās IKT riska pārvaldības sistēmas pārskatīšanu, tajā skaitā jebkāda turpmāk plānotā attīstība.