16 straipsnis. Supaprastinta IRT rizikos valdymo sistema

1. Šio reglamento 5–15 straipsniai netaikomi mažoms ir tarpusavio sąsajų neturinčioms investicinėms įmonėms, mokėjimo įstaigoms, kurioms taikoma išimtis pagal Direktyvą (ES) 2015/2366, įstaigoms, kurioms taikoma išimtis pagal Direktyvą 2013/36/ES ir kurioms valstybės narės nusprendė netaikyti šio reglamento 2 straipsnio 4 dalyje nurodytos galimybės, elektroninių pinigų įstaigoms, kurioms taikoma išimtis pagal Direktyvą 2009/110/EB ir mažoms profesinių pensijų įstaigoms.

Nedarant poveikio pirmai pastraipai subjektai, nurodyti pirmoje pastraipoje:

a) nustato ir taiko patikimą ir dokumentais pagrįstą IRT rizikos valdymo sistemą, kurioje išsamiai apibūdinami mechanizmai ir priemonės, skirtos greitam, veiksmingam ir visapusiškam IRT rizikos valdymui, be kita ko, siekiant apsaugoti atitinkamus fizinius komponentus ir infrastruktūrą;

b) vykdo nuolatinę visų IRT sistemų saugumo ir veikimo stebėseną;

c) kuo labiau sumažina IRT rizikos poveikį naudodami patikimas, atsparias ir atnaujinamas IRT sistemas, protokolus ir priemones, kurie yra tinkami jų veiklos vykdymui ir paslaugų teikimui palaikyti ir tinkamai apsaugo tinklų ir informacinių sistemų duomenų prieinamumą, autentiškumą, vientisumą ir konfidencialumą;

d) sudaro sąlygas tinklų ir informacinėse sistemose greitai nustatyti ir aptikti IRT rizikos šaltinius ir anomalijas ir skubiai pašalinti su IRT susijusius incidentus;

e) nustato pagrindinę priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių;

f) užtikrina ypatingos svarbos arba svarbių funkcijų tęstinumą, vykdydami veiklos tęstinumo planus ir reagavimo ir veiklos atkūrimo priemones, kurios apima bent su atsarginėmis kopijomis susijusias ir atstatymo priemones;

g) reguliariai testuoja f punkte nurodytus planus ir priemones, taip pat pagal a ir c punktus taikomos kontrolės veiksmingumą;

h) atitinkamai įgyvendina atitinkamas su veikla susijusias išvadas, parengtas atlikus g punkte nurodytą testavimą ir analizę po incidento, plėtodami IRT rizikos vertinimo procesą ir, atsižvelgdami į poreikius ir IRT rizikos profilį, parengia IRT saugumo informavimo programas ir skaitmeninės veiklos atsparumo mokymus darbuotojams ir vadovybei.

2. 1 dalies antros pastraipos a punkte nurodyta IRT rizikos valdymo sistema pagrindžiama dokumentais ir peržiūrima periodiškai ir įvykus dideliems su IRT susijusiems incidentams, laikantis priežiūros nurodymų. Ji nuolat tobulinama remiantis įgyvendinimo ir stebėsenos patirtimi. Kompetentingai institucijai paprašius, jai pateikiama IRT rizikos valdymo sistemos peržiūros ataskaita.

3. EPI Jungtiniame komitete, konsultuodamosi su ENISA, parengia bendrų techninių reguliavimo standartų projektus, kuriais siekiama:

a) patikslinti elementus, kurie turi būti įtraukti į 1 dalies antros pastraipos a punkte nurodytą IRT rizikos valdymo sistemą;

b) patikslinti elementus, susijusius su sistemomis, protokolais ir priemonėmis, skirtais kuo labiau sumažinti IRT rizikos poveikį, kaip nurodyta 1 dalies antros pastraipos c punkte, siekiant užtikrinti tinklų saugumą, sudaryti sąlygas taikyti tinkamas apsaugos nuo įsibrovimo ir netinkamo duomenų naudojimo priemones ir išsaugoti duomenų prieinamumą, autentiškumą, vientisumą ir konfidencialumą;

c) patikslinti 1 dalies antros pastraipos f punkte nurodytų IRT veiklos tęstinumo planų komponentus;

d) patikslinti veiklos tęstinumo planų testavimo taisykles ir užtikrinti 1 dalies antros pastraipos g punkte nurodytų kontrolės priemonių veiksmingumą, bei užtikrinti, kad atliekant tokį testavimą būtų tinkamai atsižvelgiama į scenarijus, pagal kuriuos ypatingos svarbos arba svarbios funkcijos vykdymo kokybė suprastėja iki nepriimtino lygio arba yra nepatenkinama;

e) patikslinti 2 dalyje nurodytos IRT rizikos valdymo sistemos peržiūros ataskaitos turinį ir formą.

Rengdamos tų techninių reguliavimo standartų projektus, EPI atsižvelgia į finansų sektoriaus subjekto dydį ir bendrą rizikos profilį, taip pat į jo paslaugų, veiklos ir operacijų pobūdį, mastą ir sudėtingumą.

EPI tuos techninių reguliavimo standartų projektus pateikia Komisijai ne vėliau kaip 2024 m. sausio 17 d.

Komisijai pagal reglamentų (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 ir (ES) Nr. 1095/2010 10–14 straipsnius suteikiami įgaliojimai papildyti šį reglamentą priimant pirmoje pastraipoje nurodytus techninius reguliavimo standartus.