обяснява се как рамката за управление на риска в областта на ИКТ подпомага стратегията и целите, които финансовият субект си е поставил за своята стопанска дейност;

определя се нивото на толерантност към риска в областта на ИКТ според склонността на финансовия субект за поемане на риск и се проучва допустимата степен на въздействие при смущения на ИКТ;

залагат се ясни цели за сигурност на информацията, включително ключови показатели за ефективност и ключови рискови показатели;

обяснява се референтната архитектура на ИКТ и всички промени, необходими за постигането на конкретни цели за дейността;

очертават се различните въведени механизми за откриване на инциденти с ИКТ, за предотвратяване на тяхното въздействие и за осигуряване на защита срещу него;

демонстрира се текущото състояние на оперативната устойчивост на цифровите технологии въз основа на броя на съществените инциденти с ИКТ, за които е било съобщено, и ефективността на превантивните мерки;

извършва се тестване на оперативната устойчивост на цифровите технологии в съответствие с глава IV от настоящия регламент;

очертава се комуникационната стратегия при настъпване на инциденти с ИКТ, чието оповестяване се изисква в съответствие с член 14.

гарантират сигурността на средствата за предаване на данни;

свеждат до минимум риска от увреждане или загуба на данните, непозволен достъп и технически недостатъци, които могат да попречат на стопанската дейност;

предотвратяват липсата на наличност, нарушаването на автентичността, цялостността и поверителността и загубата на данни;

гарантират, че данните са защитени от рискове, произтичащи от управлението на данните, включително лошо администриране, рискове, свързани с обработването им, и човешка грешка.

разработват и документират политика за сигурност на информацията, в която определят правила за защита на наличността, автентичността, цялостността и поверителността на данните, информационните активи и активите на ИКТ, включително тези на техните клиенти, когато е приложимо;

създават, следвайки подход, при който се отчита рискът, стабилна структура за управление на мрежите и инфраструктурата с помощта на подходящи техники, методи и протоколи, което може да включва използването на автоматизирани механизми за обособяване на засегнатите при кибератаки информационни активи;

прилагат политики, които ограничават физическия или логическия достъп до информационните активи и активите на ИКТ единствено до необходимото с оглед на законните и одобрени функции и дейности, като за тази цел създават набор от политики, процедури и механизми за контрол на правата на достъп, и гарантират разумното им управление;

прилагат политики и протоколи за стабилни механизми за удостоверяване на автентичността, като използват съответните стандарти и специални системи за проверки и предпазни мерки за криптографските ключове, с които данните са криптирани след одобрено тяхно класифициране и извършена оценка на риска в областта на ИКТ;

прилагат документирани политики, процедури и контролни механизми за управление на промените в ИКТ — включително на промените в софтуера, хардуера, компонентите на фърмуера, параметрите на системите или сигурността — които почиват на подход с оценка на риска и са неразделна част от цялостния процес на управление на промените от страна на финансовия субект с цел да се гарантира контролираното записване, тестване, оценяване, одобряване, прилагане и проверяване на всички промени в системите на ИКТ;

разполагат с подходящи и обстойни документирани политики за коригиране и актуализиране.

да се осигури непрекъснатостта на критичните или важните функции на финансовия субект;

да се предприемат бързи, подходящи и ефективни ответни действия и разрешаване на всички инциденти с ИКТ, така че да се ограничават щетите и да се отдава приоритет на възобновяването на функционирането и на възстановяването на информацията;

след всеки вид инцидент с ИКТ да се задействат без забавяне специални планове за прилагане на мерки, процеси и технологии за овладяването му и за предотвратяването на допълнителни щети, както и специални процедури за реакция и възстановяване, установени в член 12;

да се прави оценка на предварителните последици, щети и загуби;

да се определят действията за комуникация и за управление на кризи с цел актуализираната информация да се предаде на всички имащи отношение вътрешни служители и външни заинтересовани страни — както е посочено в член 14, и да се докладва на компетентните органи — както е посочено в член 19.

тестват плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ във връзка със системите на ИКТ, поддържащи всички функции, най-малко веднъж годишно, както и при съществени промени в системите на ИКТ, които поддържат критични или важни функции;

тестват изготвените в съответствие с член 14 планове за комуникация при криза.

политики и процедури за съхраняване на резервни копия на данните, в които се определя обхватът на данните, за които се съхраняват резервни копия, както и минималната честота на това копиране, въз основа на това доколко е критично значението на данните и какво е нивото им на поверителност;

процедури и методи за възстановяване на информацията.

доуточняване на елементите, които да бъдат включени в рамката за управление на риска в областта на ИКТ, посочена в параграф 1, втора алинея, буква а);

доуточняване на елементите във връзка със системите, протоколите и инструментите за свеждане до минимум на въздействието на риска в областта на ИКТ, посочено в параграф 1, втора алинея, буква в), така че да се гарантира сигурността на мрежите, да се създадат подходящи защитни механизми срещу проникване и срещу злоупотреба с данните, да се запазят наличността, автентичността, цялостността и поверителността на данните;

доуточняване на компонентите на плановете за непрекъснатост на дейността на ИКТ, посочени в параграф 1, втора алинея, буква е);

доуточняване на правилата за тестване на плановете за непрекъснатост на дейността и гарантиране на ефективността на мерките за контрол, посочени в параграф 1, втора алинея, буква ж), и гарантиране това тестване надлежно да обхваща всички сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо;

доуточняване на съдържанието и формата на доклада за прегледа на рамката за управление на риска в областта на ИКТ, посочен в параграф 2.

финансовите субекти, които с оглед на стопанската си дейност са сключили договорни споразумения за услуги в областта на ИКТ, във всеки един момент са изцяло отговорни за спазването на всички задължения по силата на настоящия регламент и на приложимото право в областта на финансовите услуги, както и за преценката, че тези задължения са изпълнени;

финансовите субекти управляват риска в областта на ИКТ, пораждан от трети страни, съобразно принципа на пропорционалност, като вземат предвид:

преценяват дали договорното споразумение се отнася до услуги в областта на ИКТ, поддържащи критична или важна функция;

оценяват дали са изпълнени надзорните изисквания за договорно възлагане на дадените услуги;

идентифицират и оценяват всички съответни рискове, свързани с договорното споразумение, включително вероятността такова договорно споразумение допринесе за засилване на риска от концентрация в областта на ИКТ, както е посочено в член 29;

надлежно проверяват бъдещите трети страни доставчици на услуги в областта на ИКТ и неотклонно по време на процеса на подбор и оценка се уверяват, че даденият доставчик е подходящ;

идентифицират и оценяват конфликтите на интереси, които договорното споразумение може да породи.

при съществено нарушение на приложимите законови или подзаконови актове или на разпоредбите на договора, извършено от третата страна доставчик на услуги в областта на ИКТ;

при наличието на обстоятелства, установени при наблюдението на риска в областта на ИКТ, пораждан от трета страна, за които се смята, че могат да променят изпълнението на предоставяните по силата на договорното споразумение функции, включително съществени промени, които засягат договора или положението на третата страна доставчик на услуги в областта на ИКТ;

ако са налице свидетелства за слабости в цялостното управление на риска в областта на ИКТ от третата страна доставчик на услуги в областта на ИКТ, и по-специално в начина, по който той осигурява наличността, автентичността, цялостността и поверителността на данните, независимо дали става въпрос за лични данни, други чувствителни данни, или за данни, които не са от личен характер;

ако условията на съответното договорно споразумение или свързани с него обстоятелства не позволяват на компетентния орган да продължи да упражнява ефективен надзор върху финансовия субект.

договор с трета страна доставчик на услуги в областта на ИКТ, която не може да бъде лесно заменена; или

множество договорни споразумения за услуги в областта на ИКТ, подпомагащи критични или важни функции, сключени с една и съща трета страна доставчик на такива услуги или с тясно взаимосвързани трети страни доставчици на такива услуги.

ясно и пълно описание на всички функции и услуги в областта на ИКТ, които третата страна доставчик на услуги в областта на ИКТ трябва да предостави, като се посочва дали се позволява възлагане на подизпълнители на услуга в областта на ИКТ, поддържаща критична или важна функция, или на съществени части от нея, както и, ако такава възможност е предвидена, приложимите условия при такова възлагане на подизпълнители;

местата, а именно регионите или държавите, където трябва да бъдат предоставяни договорно възложените функции и услуги в областта на ИКТ или тези, възложени на подизпълнители, както и мястото, на което трябва да бъдат обработвани данните, включително мястото им на съхранение, както и изискването към третата страна доставчик на услуги в областта на ИКТ да уведоми предварително финансовия субект, ако възнамерява да промени тези места;

разпоредби относно наличността, автентичността, цялостността и поверителността във връзка със защитата на данните, включително личните данни;

разпоредби за осигуряване на достъп до обработваните от финансовия субект лични данни и такива без личен характер, и за възстановяването и връщането им в лесно достъпен формат в случай на несъстоятелност, преструктуриране или прекратяване на стопанската дейност на третата страна доставчик на услуги в областта на ИКТ, или в случай на прекратяване на договорното споразумение;

описание на нивото на обслужване, включително на актуализиране и преглед на предоставяните услуги;

задължението на третата страна доставчик на услуги в областта на ИКТ да предоставя помощ на финансовия субект без допълнителни разходи или на предварително определена цена, когато възникне инцидент с ИКТ, свързан с предоставяната на финансовия субект услуга в областта на ИКТ;

задължението на третата страна доставчик на услуги в областта на ИКТ да оказва пълно съдействие на компетентните органи и на органите за преструктуриране на финансовия субект, включително и на лицата, назначени от тях;

правото на прекратяване на договорните споразумения и свързаните с него минимални срокове за предизвестие — съобразно очакванията на компетентните органи и органите за преструктуриране;

условията за участие на третите страни доставчици на услуги в областта на ИКТ в програмите на финансовите субекти за повишаване на осведомеността относно сигурността на ИКТ и в обучението по оперативна устойчивост на цифровите технологии в съответствие с член 13, параграф 6.

обстойно описание на нивото на обслужване, включително на актуализиране и преглед на предоставяните услуги, с точни количествени и качествени цели за ефективност в рамките на договореното ниво на обслужване, така че финансовият субект да може ефективно да следи риска в областта на ИКТ, пораждан от трети страни и да предприеме възможно най-бързо подходящите корективни мерки, ако договореното ниво на обслужване не се спазва;

задълженията на третата страна доставчик на услуги в областта на ИКТ да докладва на финансовия субект, както и съответните срокове за това, включително задължението да го уведомява за всяко обстоятелство, което би могло да засегне съществено способността на третата страна доставчик на услуги в областта на ИКТ да предоставя ефективно услуги в областта на ИКТ или да изпълнява ефективно критични или важни функции в съответствие с договореното ниво на обслужване;

изисквания към третата страна доставчик на услуги в областта на ИКТ да прилага и тества планове за действие при извънредни ситуации, както и да разполага с мерки, инструменти и политики за сигурност на ИКТ, които осигуряват подходящо ниво на сигурност за предоставянето на услуги от финансовия субект, както е предвидено в отнасящата се до него нормативна уредба;

задължението на третата страна доставчик на услуги в областта на ИКТ да участва и да оказва пълно съдействие при тестването за проникване на финансовия субект, както е посочено в членове 26 и 27;

правото на финансовия субект текущо да наблюдава ефективността на третата страна доставчик на услуги в областта на ИКТ, което включва:

изходни стратегии, по-специално определяне на задължителен подходящ преходен период:

определят след оценка, при която се вземат под внимание посочените в параграф 2 критерии, критичните за финансовите субекти трети страни доставчици на услуги в областта на ИКТ;

определят за водещ надзорник на всяка от третите страни критични доставчици на услуги в областта на ИКТ отговорния ЕНО в съответствие с регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 или (ЕС) № 1095/2010 за финансовите субекти, които съвместно притежават най-големия дял от общите активи спрямо стойността на общите активи на всички финансови субекти, използващи услугите на съответната трета страна критичен доставчик на услуги в областта на ИКТ, в съответствие със сбора на отделните счетоводни баланси на тези финансови субекти.

системното въздействие върху стабилността, непрекъснатостта или качеството на предоставяните финансови услуги, в случай че дадена трета страна доставчик на услуги в областта на ИКТ бъде изправена пред мащабна оперативна неспособност да предоставя услугите си — предвид броя финансови субекти, които се ползват от услугите ѝ, и общата стойност на техните активи;

системния характер или значение на финансовите субекти, които обслужва дадената трета страна доставчик на услуги в областта на ИКТ — те се оценяват по следните параметри:

степента, в която критичните или важните функции на даден финансов субект зависят от услугите, предоставяни от една и съща трета страна доставчик на услуги в областта на ИКТ, без значение дали тази зависимост е пряка, непряка или възникнала поради възлагане на услугите на подизпълнители услуги;

степента, в която дадена трета страна доставчик на услуги в областта на ИКТ може да бъде заменена — тя се оценява по следните параметри:

финансови субекти, предоставящи услуги в областта на ИКТ на други финансови субекти;

третите страни доставчици на услуги от областта на ИКТ, които са обхванати от надзорни рамки, създадени с оглед на задачите, посочени в член 127, параграф 2 от Договора за функционирането на Европейския съюз;

вътрешногрупови доставчици на услуги в областта на ИКТ;

трети страни доставчици на услуги в областта на ИКТ, които предоставят услуги в областта на ИКТ само в една държава членка на финансови субекти, които извършват дейност само в тази държава членка.

председателите на ЕНО;

по един представител на високо равнище от настоящия персонал на съответния компетентен орган, посочен в член 46, от всяка държава членка;

изпълнителните директори на всеки ЕНО, както и по един представител от Комисията, от ЕССР, от ЕЦБ и от ENISA, като наблюдатели.

когато е целесъобразно, по един допълнителен представител на компетентен орган, посочен в член 46, от всяка държава членка като наблюдател;

ако е приложимо, по един представител на компетентните органи, определени или установени в съответствие с Директива (ЕС) 2022/2555, отговарящи за надзора на съществен или важен субект, попадащ в обхвата на посочената директива, който е определен за трета страна критичен доставчик на услуги в областта на ИКТ, като наблюдател.

изискванията във връзка с ИКТ за гарантиране по-специално на сигурността, наличността, непрекъснатостта, капацитета за увеличаване и качеството на услугите, предоставяни на финансовите субекти от третата страна критичен доставчик на услуги в областта на ИКТ, както и способността неотклонно да се спазват високи стандарти за наличност, автентичност, цялостност или поверителност на данните;

физическата сигурност, която допринася за гарантиране на сигурността на ИКТ, включително сигурността на помещенията, оборудването, центровете за данни);

процесите по управление на риска, включително политиките за управление на риска в областта на ИКТ, политиката за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ;

управленските механизми за ефективно управление на риска в областта на ИКТ, включително организационна структура с ясни, прозрачни и последователни области на отговорност и правила за отчетността;

идентифицирането, наблюдаването и своевременното уведомяване на финансовите субекти за съществените инциденти с ИКТ, управлението и отстраняването на такива инциденти, в частност — на кибератаките;

механизмите за преносимост на данните, за преносимост на приложенията и за оперативна съвместимост, чрез които се осигурява ефективно упражняване от финансовите субекти на правото на прекратяване на деловите взаимоотношения;

тестването на системите, инфраструктурата и контролните механизми на ИКТ;

одитите на ИКТ;

използването на съответни национални и международни стандарти, приложими за предоставянето на услугите в областта на ИКТ на финансовите субекти.

да изисква цялата имаща отношение информация и документация съгласно член 37;

да провежда общи разследвания и проверки съгласно съответно членове 38 и 39;

да изисква след приключване на надзорните действия доклади, в които да са посочени предприетите от третите страни критични доставчици на услуги в областта на ИКТ, действия или корективни мерки по посочените в буква г) от настоящия параграф препоръки;

да издава препоръки в областите, посочени в член 33, параграф 3, по-специално за следното:

За целите на точка iv) от настоящата буква третите страни доставчици на услуги в областта на ИКТ, като използват образеца, посочен в член 41, параграф 1, буква б), предават на водещия надзорник информацията относно възлагането на подизпълнители.

осигурява редовна координация в рамките на СМН и по-специално търси съгласувани подходи, когато е целесъобразно, по отношение на надзора над третите страни критичните доставчици на услуги в областта на ИКТ;

взема надлежно предвид рамката, установена с Директива (ЕС) 2022/2555, и при необходимост се консултира със съответните компетентни органи, определени и установени в съответствие с посочената директива, с цел избягване на дублиране на технически и организационни мерки, които биха могли да са приложими за третите страни критични доставчици на услуги в областта на ИКТ, съгласно посочената директива;

се стреми да сведе до минимум, доколкото е възможно, риска от смущение в услугите, предоставяни от третите страни критични доставчици на услуги в областта на ИКТ, на клиенти, които са субекти извън обхвата на настоящия регламент.

тежестта и продължителността на неспазването;

дали неспазването е било умишлено или поради небрежност;

степента на сътрудничество на третата страна доставчик на услуги в областта на ИКТ с водещия надзорник;

в член 35, параграф 1, буква а), и

в член 35, параграф 1, буква б) в съответствие с член 38, параграф 2, букви а), б) и г) и член 39, параграф 1 и параграф 2, буква а).

упражнява правомощията си по член 35 въз основа на всички факти и документи, с които разполага;

документира и обяснява всяка последица от невъзможността си да извърши предвидените надзорни дейности, както е посочено в настоящия член.

се позовава на настоящия член като правно основание за искането;

посочва целта на искането;

уточнява каква информация се изисква;

определя срока за предоставяне на информацията;

уведомява представителя на третата страна критичен доставчик на услуги в областта на ИКТ, от когото се иска информация, че не е задължен да я предостави, но че ако доброволно реши да го направи, предоставената информация трябва да бъде точна и неподвеждаща.

се позовава на настоящия член като правно основание за искането;

посочва целта на искането;

уточнява каква информация се изисква;

определя срока за предоставяне на информацията;

посочва предвидените в член 35, параграф 6 периодични наказателни плащания при предоставяне на непълна информация или когато такава информация не е предоставена в срока, посочен в буква г) от настоящия параграф;

посочва предвиденото в членове 60 и 61 от регламенти (ЕС) № 1093/2010, (ЕС) № 1094/2010 и (ЕС) № 1095/2010 право на обжалване на решението пред апелативния съвет на ЕНО и на оспорването му пред Съда на Европейския съюз (наричан по-нататък „Съдът на ЕС“).

да проверява записи, данни, процедури и други материали с отношение към изпълнението на неговите задачи, независимо от носителя, на който се съхраняват;

да взима или получава заверени копия или извлечения от тези записи, данни, документирани процедури, както и от всякакви други материали;

да призовава представителите на трета страна критичен доставчик на услуги в областта на ИКТ да дават устно или писмено обяснение на факти или документи, свързани с предмета и целта на разследването, и да записва отговорите;

да задава въпроси на всяко друго физическо или юридическо лице, което даде съгласие за това, с цел да събере информация, свързана с предмета на разследването;

да изисква записи на телефонни разговори и регистрирани преноси на данни.

да влизат във всички тези служебни помещения, терени или имоти; и

да запечатват всички тези служебни помещения, счетоводни книги или документи за срока и в степента, необходими за проверката.

ЕНО;

съответните компетентни органи, упражняващи надзор на финансовите субекти, на които третата страна критичен доставчик на услуги в областта на ИКТ, предоставя услуги в областта на ИКТ;

националния компетентен орган, посочен в член 32, параграф 4, буква д), на доброволен принцип;

един национален компетентен орган от държавата членка, в която е установено третата страна критичен доставчик на услуги в областта на ИКТ, на доброволен принцип.

информацията, която да бъде представена от трета страна доставчик на услуги в областта на ИКТ в заявлението за доброволно искане да бъде определен като критичен по смисъла на член 31, параграф 11;

съдържанието, структурата и формата на информацията, която се подава, оповестява или докладва от третите страни доставчици на услуги в областта на ИКТ съгласно член 35, параграф 1, включително образеца за предоставяне на информация за споразуменията за възлагане на подизпълнители;

критериите за определяне състава на съвместния проверяващ екип, осигуряващи балансирано участие на служителите на ЕНО и на съответните компетентни органи, тяхното определяне, задачи и работни договорености;

оценяването, което по силата на член 42, параграф 3 компетентните органи извършват на мерките, предприети от трети страни критични доставчици на услуги в областта на ИКТ, вследствие на препоръките на водещия надзорник.

тежестта и продължителността на неспазването;

дали неспазването е разкрило сериозни слабости в процедурите, системите за управление, управлението на риска и вътрешния контрол на третата страна критичен доставчик на услуги в областта на ИКТ;

дали неспазването е благоприятствало, предизвикало или по друг начин довело до финансово престъпление;

дали неспазването е било умишлено или поради небрежност;

дали спирането или прекратяването на договорните споразумения поражда риск за непрекъснатостта на стопанската дейност на финансовия субект, независимо от усилията на финансовия субект да избегне смущения в предоставянето на своите услуги;

ако е приложимо, поисканото на доброволен принцип в съответствие с параграф 5 от настоящия член становище на компетентните органи, определени или установени в съответствие с Директива (ЕС) 2022/2555, отговарящи за съществен или важен субект, попадащ в обхвата на посочената директива, който е определен за трета страна критичен доставчик на услуги в областта на ИКТ.

критериите по член 31, параграф 2 за определяне на третите страни критични доставчици на услуги в областта на ИКТ;

доброволния характер на уведомяването за значителни киберзаплахи, посочени в член 19;

режима, посочен в член 31, параграф 12, и правомощията на водещия надзорник, предвидени в член 35, параграф 1, буква г), точка iv), първо тире, с цел да се оцени ефективността на тези разпоредби по отношение на осигуряването на ефективен надзор на установените в трета държава трети страни критични доставчици на услуги в областта на ИКТ, както и необходимостта от създаване на дъщерно предприятие в Съюза.

За целите на първата алинея от настоящата буква прегледът включва анализ на режима, посочен в член 31, параграф 12, включително на условията за достъп на финансовите субекти от Съюза до услуги от трети държави и наличността на такива услуги на пазара на Съюза, и взема предвид други събития на пазарите на услугите, обхванати от настоящия регламент, практическия опит на финансовите субекти и органите за финансов надзор по отношение на прилагането и съответно надзора на този режим, както и всички съответни промени в нормативната и надзорната област, които настъпват на международно равнище.

целесъобразността на включването в обхвата на настоящия регламент на финансовите субекти, посочени в член 2, параграф 3, буква д), като се използват автоматизирани системи за продажба, с оглед на бъдещото развитие на пазара във връзка с използването на такива системи;

функционирането и ефективността на СМН в подкрепа на съгласуваността на надзора и ефикасността на обмена на информация в рамките на надзорната рамка.