Чл. 28

Член 28 Управление и организация

1. Финансовите субекти, посочени в член 16, параграф 1 от Регламент (ЕС) 2022/2554, разполагат с вътрешна рамка за управление и контрол, която гарантира ефективно и разумно управление на риска в областта на ИКТ с оглед постигането на високо равнище на оперативна устойчивост на цифровите технологии.

Посочените в параграф 1 финансови субекти гарантират, като част от своята опростена рамка за управление на риска в

1. областта на ИКТ, че техният ръководен орган:

а) б) в) г) д) е) ж) з) и) носи цялостната отговорност за гарантиране, че опростената рамка за управление на риска в областта на ИКТ позволява постигането на стопанската стратегията на финансовия субект в съответствие със склонността на този финансов субект за поемане на рискове, и гарантира, че рискът в областта на ИКТ се разглежда в този контекст;

определя ясни роли и отговорности за всички задачи, свързани с ИКТ; залага ясни цели за сигурност на информацията и изисквания във връзка с ИКТ; одобрява, надзирава и периодично прави преглед на: i) ii) класификацията на информационните активи на финансовия субект, посочени в член 30, параграф 1 от настоящия регламент, списъкът на идентифицираните основни рискове и анализът на въздействието върху дейността и свързаните политики; плановете за непрекъснатост на дейността на финансовия субект и мерките за реакция и възстановяване, посочени в член 16, параграф 1, буква е) от Регламент (ЕС) 2022/2554; разпределя и най-малкото веднъж годишно прави преглед на необходимия бюджет за покриване на потребностите на финансовия субект във връзка с оперативната устойчивост на цифровите технологии по отношение на всички видове ресурси, включително съответните програми за повишаване на осведомеността за сигурността на ИКТ и обучението за оперативната устойчивост на цифровите технологии, както и уменията в областта на ИКТ на всички служители;

доуточнява и прилага политиките и мерките, включени в глави I, II и III от настоящия раздел с цел да се установи, оцени и управлява риска в областта на ИКТ, на който е изложен финансовия субект; установява и прилага процедурите, протоколите и инструментите в областта на ИКТ, които са необходими за защитата на всички информационни активи и активи на ИКТ; гарантират, че служителите на финансовия субект поддържат достатъчно актуални знания и умения, за да разбират и оценяват рисковете в областта на ИКТ и тяхното въздействие върху дейността на финансовия субект, съизмеримо с управлявания риск в областта на ИКТ; установява правила за докладване, включително честотата, формата и съдържанието на докладване до ръководния орган относно сигурността на информацията и оперативната устойчивост на цифровите технологии.

1. В съответствие с правото на Съюза и националното секторно право посочените в параграф 1 финансови субекти може да възлагат задачите по проверка на спазването на изискванията за управление на риска в областта на ИКТ на вътрешногрупови доставчици или трети страни доставчици на услуги в областта на ИКТ. В случай на такова възлагане на външен изпълнител финансовите субекти продължават да носят цялата отговорност за проверката на спазването на изискванията за управление на риска в областта на ИКТ.

Посочените в параграф 1 финансови субекти гарантират подходящото разделяне и независимостта на контролните

1. функции и функциите за вътрешен одит.

30/37 ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj

OB L, 25.6.2024 г. BG

1. Посочените в параграф 1 финансови субекти гарантират, че тяхната опростена рамка за управление на риска в областта на ИКТ подлежи на вътрешен одит от одитори в съответствие с плана за одит на финансовия субект. Одитори притежават достатъчно знания, умения и експертен опит във връзка с риска в областта на ИКТ и са независими. Честотата и насочеността на одитите на ИКТ са съизмерими с риска в областта на ИКТ на финансовия субект.

Въз основа на резултата от посочения в параграф 5 одит, посочените в параграф 1 финансови субекти гарантират

1. своевременна проверка и отстраняване на критично важните проблеми, посочени в заключенията от одита на ИКТ.