Podnikatelia

RIADENIE RIZÍK INFORMAČNÝCH A KOMUNIKAČNÝCH TECHNOLÓGIÍ

  • Vydanie: ULC PRO BONO 07/2025

1. ABSTRAKT

Finančné subjekty musia mať v súlade s nariadením DORA zavedený rámec vnútornej správy a riadenia a kontroly, ktorým sa zabezpečí účinné a obozretné riadenie rizík informačných a komunikačných technológií (IKT) s cieľom dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti. Od finančných subjektov sa vyžaduje, aby vytvorili komplexný rámec riadenia rizík IKT. Čo je riadením rizík a aké opatrenia manažment rizík zahŕňa, sa dočítate na našom článku.

2. SPRÁVA A RIADENIE A ORGANIZÁCIA

Riadiaci orgán finančného subjektu vymedzuje a schvaľuje vykonávanie všetkých opatrení súvisiacich s rámcom riadenia IKT rizika, vykonáva nad ním dozor a zodpovedá zaň.

Riadiaci orgán finančného subjektu (i) nesie konečnú zodpovednosť za riadenie IKT rizika finančného subjektu, (ii) zavádza politiky zamerané na zabezpečenie zachovania vysokých noriem dostupnosti, pravosti, integrity a dôvernosti údajov, (iii) stanovuje jasné úlohy a zodpovednosti pre všetky funkcie súvisiace s IKT a zavádza vhodné mechanizmy správy a riadenia s cieľom zabezpečiť účinnú a včasnú komunikáciu, spoluprácu a koordináciu medzi týmito funkciami, (iv) nesie celkovú zodpovednosť za stanovenie a schválenie stratégie digitálnej prevádzkovej odolnosti, vrátane určenia primeranej úrovne tolerancie IKT rizika finančného subjektu, (v) schvaľuje, vykonáva dozor a pravidelne preskúmava vykonávanie politiky kontinuity činností finančného subjektu v oblasti IKT a plánov reakcie a obnovy v oblasti IKT, ktoré sa môžu prijať ako osobitná politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu a plánu reakcie a obnovy finančného subjektu, (vi) schvaľuje a pravidelne preskúmava plány vnútorných auditov IKT, ktoré vypracúva finančný subjekt, audity IKT a ich podstatné zmeny, (vii) prideľuje a pravidelne preskúmava primeraný rozpočet na splnenie potrieb finančného subjektu v oblasti digitálnej prevádzkovej odolnosti, pokiaľ ide o všetky druhy zdrojov, vrátane relevantných programov zvyšovania informovanosti o bezpečnosti v oblasti IKT a školení o digitálnej prevádzkovej odolnosti a IKT zručností pre všetkých zamestnancov, (viii) schvaľuje a pravidelne preskúmava politiku finančného subjektu týkajúcu sa opatrení súvisiacich s využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb, (ix) zavádza na podnikovej úrovni kanály nahlasovania, ktoré mu umožnia, aby bol riadne informovaný o: a) dojednaniach o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb, b) akýchkoľvek relevantných plánovaných podstatných zmenách týkajúcich sa externých poskytovateľov IKT služieb, c) potenciálnom vplyve takýchto zmien na kritické alebo dôležité funkcie, ktoré podliehajú uvedeným dojednaniam, vrátane zhrnutia analýzy rizík na posúdenie vplyvu uvedených zmien, a aspoň o závažných incidentoch súvisiacich s IKT a ich vplyve, ako aj o opatreniach zameraných na reakciu, obnovu a nápravu.

3. RÁMEC RIADENIA IKT RIZIKA

Finančné subjekty musia mať ako súčasť svojho celkového systému riadenia rizika zavedený spoľahlivý, komplexný a dobre zdokumentovaný rámec riadenia IKT rizika, ktorý im umožňuje riešiť IKT riziko rýchlo, efektívne a komplexne a zabezpečiť vysokú úroveň digitálnej prevádzkovej odolnosti.

Rámec riadenia IKT rizika zahŕňa aspoň stratégie, politiky, postupy, IKT protokoly a nástroje, ktoré sú potrebné na riadnu a primeranú ochranu všetkých informačných aktív a IKT aktív vrátane počítačového softvéru, hardvéru, serverov, ako aj ochranu všetkých relevantných fyzických zložiek a infraštruktúr, ako sú priestory, dátové centrá a citlivé určené oblasti s cieľom zabezpečiť, aby boli všetky informačné aktíva a IKT aktíva primerane chránené pred rizikami vrátane poškodenia a neoprávneného prístupu či používania.

Rámec riadenia IKT rizika sa zdokumentuje a preskúma aspoň raz ročne, alebo pravidelne v prípade mikropodnikov, ako aj pri výskyte závažných incidentov súvisiacich s IKT, pričom sa riadi pokynmi alebo závermi dohľadu vyplývajúcimi z príslušných procesov testovania alebo auditu digitálnej prevádzkovej odolnosti.

Rámec riadenia IKT rizika finančných subjektov iných ako mikropodnikov podlieha pravidelnému vnútornému auditu vykonávanému audítormi v súlade s plánom auditu finančných subjektov.

4. IDENTIFIKÁCIA, OCHRANA A PREVENCIA A DETEKCIA NA ÚSEKU KYBERNETICKÝCH HROZIEB

Ako súčasť rámca riadenia IKT rizika finančné subjekty identifikujú, klasifikujú a primerane dokumentujú všetky obchodné funkcie, úlohy a povinnosti podporované IKT, informačné aktíva a IKT aktíva podporujúce uvedené funkcie a ich úlohy a závislosti vo vzťahu k IKT riziku. Finančné subjekty podľa potreby, najmenej však raz ročne, preskúmavajú primeranosť tejto klasifikácie a akejkoľvek relevantnej dokumentácie.

Finančné subjekty nepretržite identifikujú všetky zdroje IKT rizika, najmä rizikovú expozíciu voči iným finančným subjektom a pochádzajúcu od nich, a posudzujú kybernetické hrozby a zraniteľné miesta v oblasti IKT relevantné z hľadiska ich obchodných funkcií podporovaných IKT, informačných aktív a IKT aktív. Finančné subjekty pravidelne a aspoň raz ročne preskúmavajú rizikové scenáre, ktoré na ne majú vplyv.

Finančné subjekty identifikujú všetky informačné aktíva a IKT aktíva vrátane aktív na vzdialených miestach, sieťové zdroje a hardvérové zariadenia a zmapujú tie, ktoré sa považujú za kritické.

Finančné subjekty iné než mikropodniky pravidelne a aspoň raz ročne vykonávajú osobitné posúdenie IKT rizika vo všetkých pôvodných IKT systémoch.

Na účely primeranej ochrany IKT systémov a s cieľom organizovať opatrenia v oblasti reakcie finančné subjekty nepretržite monitorujú a kontrolujú bezpečnosť a fungovanie IKT systémov a nástrojov a minimalizujú vplyv IKT rizika na IKT systémy tak, že zavedú vhodné nástroje, politiky a postupy v oblasti bezpečnosti IKT. 2. Finančné subjekty navrhujú, obstarávajú a realizujú stratégie, politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT, ktorých cieľom je zabezpečiť odolnosť, kontinuitu a dostupnosť IKT systémov, najmä tých, ktoré podporujú kritické alebo dôležité funkcie, a zachovať vysoké štandardy dostupnosti, pravosti, integrity a dôvernosti údajov, či už v pokoji, pri používaní alebo pri prenose.

Finančné subjekty musia mať zavedené mechanizmy na rýchle odhaľovanie anomálnych činností vrátane problémov s výkonnosťou IKT siete a incidentov súvisiacich s IKT, ako aj na identifikáciu potenciálnych závažných jednotlivých miest zlyhania. Všetky detekčné mechanizmy sa musia pravidelne testovať.

5. REAKCIA A OBNOVA V PRÍPADE INCIDENTU NA ÚSEKU KYBERNETICKEJ BEZPEČNOSTI

Finančné subjekty vykonávajú politiku kontinuity činností v oblasti IKT prostredníctvom špecializovaných, primeraných a zdokumentovaných opatrení, plánov, postupov a mechanizmov zameraných na (i) zabezpečenie kontinuity kritických alebo dôležitých funkcií finančného subjektu, (ii) rýchlu, primeranú a účinnú reakciu na všetky incidenty súvisiace s IKT a ich riešenie,, a to spôsobom, ktorý obmedzuje škody a uprednostňuje obnovenie činností a opatrenia zamerané na obnovu, (iii) bezodkladnú aktiváciu špecializovaných plánov, ktoré umožňujú uplatniť opatrenia, procesy a technológie na zamedzenie šírenia vhodné pre každý typ incidentu súvisiaceho s IKT, a predchádzanie ďalším škodám, ako aj prispôsobené postupy reakcie a obnovy, (iv) odhad predbežných vplyvov, škôd a strát, (v) stanovenie opatrení v oblasti komunikácie a krízového riadenia, ktorými sa zabezpečí, aby sa aktualizované informácie zasielali všetkým príslušným interným zamestnancom a externým zainteresovaným stranám a aby sa o nich podávali správy príslušným orgánom.

Finančné subjekty v nadväznosti na všetky uvedené povinnosti musia tiež v zmysle nariadenia DORA zriadiť dostatočné záložné systémy, postupy a politiky zálohovania a metódy obnovy, a to po prípadnom kybernetickom útoku.

Nemožno tiež opomenúť povinnosť finančného subjektu disponovať spôsobilosťami a spôsobilými personálnymi kapacitami na zhromažďovanie informácií o zraniteľných miestach a kybernetických hrozbách, incidentoch súvisiacich s IKT, najmä kybernetických útokoch, a analyzovanie vplyvu, ktorý pravdepodobne majú na ich digitálnu prevádzkovú odolnosť.

Vedúci pracovníci v oblasti IKT musia podať aspoň raz ročne riadiacemu orgánu finančného subjektu správu o zisteniach na úseku kybernetickej bezpečnosti a predkladajú odporúčania.

Samozrejme, je tu tiež povinnosť priebežne monitorovať technologický vývoj na úseku kybernetickej bezpečnosti.

6. ZHRNUTIE

Z uvedeného, ako aj z podrobného znenia nariadenia DORA vyplýva, že nariadenie DORA skutočne podrobne určuje prvky tzv. risk manažmentu IKT pre finančné subjekty, ktoré možno do aplikačnej praxe zhrnúť nasledovne:

Nariadenie DORA od finančných subjektov vyžaduje, aby vytvorili komplexný rámec riadenia rizík IKT, ktorý zahŕňa (i) vytvorenie a udržiavanie odolných systémov a nástrojov IKT, ktoré minimalizujú vplyv IKT rizika, (ii) identifikovanie, klasifikovanie a dokumentovanie kritických funkcií a aktív, (iii) neustály monitoring všetkých zdrojov rizík IKT s cieľom nastaviť vhodné ochranné a preventívne opatrenia, (iv) zabezpečenie rýchlej detekcie anomálnych činností, (v) zavedenie špecializovaných a komplexných politík kontinuity podnikania a plánov po havárii a obnovu vrátane ročného testovania plánov pokrývajúceho všetky podporné funkcie, (vi) vytvorenie mechanizmov na učenie sa z externých udalostí, ako aj z vlastných incidentov.

Hĺbkové procesy a skutočne aj tie najmenšie detaily postupov vo veci riadenia IKT rizík, sú súčasťou DELEGOVANÉHO NARIADENIA KOMISIE (EÚ) 2024/1774 z 13. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa spresňujú nástroje, metódy, postupy a politiky riadenia IKT rizika a zjednodušený rámec riadenia IKT rizika.

Toto delegované nariadenie je dostupné online: https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202401774

Publikované dňa 04.09.2025.

Kontaktný formulár

Sme pripravení naplniť Vaše práva.
Kontaktujte nás!

Zadajte vašu e-mailovú adresu.
Zadajte vaše telefónne čislo.
Napíšte nám správu.
Súhlaste so spracovaním osobných údajov.

Správa sa odosiela ....