Resilienz wareine Haltung.Jetzt ist sieeine Pflicht.
- In Kraft
- 16. Januar 2023
- Anwendbar seit
- 17. Januar 2025
- Bindet
- 21 Arten von Finanzunternehmen
- Reicht bis
- Deren IKT-Drittanbieter
Einundzwanzig Arten von Finanzunternehmen, und die Anbieter dahinter.
Was sie verlangt
Ein IKT-Risikorahmen, den die Leitung verantwortet
Die Verantwortung liegt beim Leitungsorgan und lässt sich nicht wegdelegieren. Der Rahmen muss dokumentiert, überprüft und an den eigenen Abhängigkeiten getestet werden, nicht an einer Vorlage.
Ein schwerwiegender Vorfall wird nach der Uhr gemeldet
Schwerwiegende IKT-Vorfälle werden eingestuft und der zuständigen Behörde gemeldet. Die technischen Standards setzen die Fristen: Erstmeldung binnen vier Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis, Zwischenbericht binnen 72 Stunden nach dieser Meldung, Abschlussbericht binnen eines Monats.
Bedrohungsgeleitete Penetrationstests, mindestens alle drei Jahre
Von ihrer Behörde bestimmte Unternehmen führen fortgeschrittene Tests an produktiven Systemen durch. Bedeutende Institute setzen externe Red-Team-Prüfer ein; wer mit eigenen Leuten testet, muss bei jedem dritten Test externe Prüfer hinzuziehen.
Die Prüfer selbst müssen versichert sein
Prüfer müssen zertifiziert sein, die erforderliche Sachkunde und Eignung besitzen und eine Berufshaftpflichtversicherung unterhalten. Es ist eine der wenigen Stellen, an denen eine europäische Verordnung Versicherung als Bedingung dafür nennt, die Arbeit überhaupt ausführen zu dürfen.
Ein Register über jede IKT-Vereinbarung
Ein Informationsregister über sämtliche vertraglichen Vereinbarungen mit IKT-Drittanbietern, geführt auf Ebene des Unternehmens, teilkonsolidiert und konsolidiert, im Format der Durchführungsverordnung (EU) 2024/2956. Es ist das Dokument, das aus „wir nutzen einen Cloud-Anbieter“ eine prüfbare Tatsache macht.
Kritische Anbieter werden unmittelbar beaufsichtigt
Als kritisch eingestufte IKT-Drittanbieter unterliegen einem Überwachungsrahmen der Union mit federführendem Überwacher, neben der Aufsicht über die Unternehmen, die sie nutzen. Die Konzentration auf wenige Anbieter ist damit ein aufsichtsrechtliches Thema geworden, keine Marktbeobachtung mehr.