A resiliênciaera uma postura.Agora éuma obrigação.
- Em vigor
- 16 de janeiro de 2023
- Aplicável desde
- 17 de janeiro de 2025
- Vincula
- 21 tipos de entidade financeira
- Alcança
- Os seus fornecedores TIC externos
Vinte e um tipos de entidade financeira, e os fornecedores por detrás delas.
O que exige
Um quadro de risco TIC da responsabilidade do órgão de administração
A responsabilidade cabe ao órgão de administração e não pode ser delegada. O quadro tem de estar documentado, revisto e testado contra as dependências próprias da entidade, não contra um modelo.
Um incidente grave é comunicado a contar do relógio
Os incidentes graves relacionados com as TIC são classificados e comunicados à autoridade competente. As normas técnicas fixam os prazos: comunicação inicial em quatro horas a contar da classificação como grave e no máximo 24 horas após o conhecimento, relatório intercalar em 72 horas a contar dessa comunicação e relatório final no prazo de um mês.
Testes de penetração orientados por ameaças, pelo menos de três em três anos
As entidades identificadas pela sua autoridade realizam testes avançados em sistemas em produção. As instituições significativas usam equipas vermelhas externas; quem testa com pessoal próprio tem de recorrer a testadores externos em cada terceiro teste.
Os próprios testadores têm de estar segurados
Os testadores têm de estar certificados, possuir a competência e a idoneidade necessárias e dispor de um seguro de responsabilidade civil profissional. É um dos poucos lugares em que um regulamento europeu nomeia o seguro como condição para sequer poder executar o trabalho.
Um registo de cada acordo TIC
Um registo de informação sobre todos os acordos contratuais com fornecedores TIC externos, mantido ao nível da entidade, subconsolidado e consolidado, no formato do Regulamento de Execução (UE) 2024/2956. É o documento que transforma «usamos um fornecedor de nuvem» num facto verificável pela supervisão.
Os fornecedores críticos são supervisionados diretamente
Os fornecedores TIC externos designados críticos ficam sujeitos a um quadro de supervisão da União com um supervisor principal, a par da supervisão das entidades que os utilizam. A concentração num punhado de fornecedores passou a ser matéria regulamentar e não uma observação de mercado.