Чл. 26

Член 26 Планове за реакция и възстановяване на ИКТ

1. При разработването на плановете за реакция и възстановяване на ИКТ, посочени в член 11, параграф 3 от Регламент (ЕС) 2022/2554, финансовите субекти вземат предвид резултатите от анализа на въздействието върху дейността (АВД) на финансовия субект. С тези планове за реакция и възстановяване на ИКТ се постига следното:

а) б) в) г) д) е) посочват се условията, които налагат тяхното активиране или деактивиране, както и всички изключения за такова активиране или деактивиране; описват се действията, които трябва да бъдат предприети, за да се гарантират наличността, цялостността, непрекъснатостта и възстановяването поне на системи на ИКТ и услуги в областта на ИКТ, поддържащи критични или важни функции на финансовия субект; разработват се така, че да отговарят на целите за възстановяване на дейността на финансовите субекти; документират се и се предоставят на служителите, участващи в изпълнението на плановете за реакция и възстановяване на ИКТ, и са лесно достъпни при извънредна ситуация;

предвиждат се както краткосрочни, така и дългосрочни възможности за възстановяване, включително частично възстановяване на системите; определят се целите на плановете за реакция и възстановяване на ИКТ и условията за деклариране на успешното изпълнение на тези планове. За целите на буква г) финансовите субекти ясно определят ролите и отговорностите.

1. В посочените в параграф 1 планове за реакция и възстановяване на ИКТ се определят съответните сценарии, включително сценарии на сериозни смущения в стопанската дейност и по-голяма вероятност от появата на смущения. В тези планове се разработват сценарии въз основа на актуална информация за заплахи и на поуки, извлечени от предишни случаи на смущения в дейността. Финансовите субекти надлежно вземат предвид всички изброени по-долу сценарии:

а) б) в) г) кибератаки и преминаване от първична инфраструктура на ИКТ към възпроизвеждащия я капацитет, резервни копия и възпроизвеждащи системи; сценарии, при които критична или важна функция се предоставя с неприемливо ниско качество или не се предоставя изобщо, както и потенциалното въздействие на изпадането в несъстоятелност или възникването на други проблеми при съответните трети страни доставчици на услуги в областта на ИКТ;

частична или пълна повреда на помещенията, включително офиси и търговски помещения и центрове за данни; значителна повреда на активи на ИКТ или комуникационна инфраструктура; ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj 27/37

BG д) е) ж) з) OB L, 25.6.2024 г. липсата на критичен брой служители или на служители, отговарящи за осигуряване на непрекъснатостта на дейността; въздействието на събития, свързани с изменението на климата и разрушаване на околната среда, природни бедствия, пандемии и физически нападения, включително прониквания и терористични нападения; вътрешни атаки; политическа и социална нестабилност, включително, когато е приложимо, в юрисдикцията на трета страна доставчик на услуги в областта на ИКТ и мястото, където данните се съхраняват и обработват; и) широкоразпространени прекъсвания на електрозахранването.

1. Когато първичните мерки за възстановяване може да не са осъществими в краткосрочен план поради разходи, рискове, логистика или непредвидени обстоятелства, в посочените в параграф 1 планове за реакция и възстановяване на ИКТ се разглеждат алтернативни варианти.

Като част от посочените в параграф 1 планове за реакция и възстановяване на ИКТ финансовите субекти обмислят и 4. прилагат мерки за непрекъснатост за намаляване на повредите при трети страни доставчици на услуги в областта на ИКТ, поддържащи критични и важни функции на финансовия субект.

Доклад за прегледа на рамката за управление на риска в областта на ИКТ ГЛАВА V