Чл. 3

Член 3 Управление на риска в областта на ИКТ Финансовите субекти разработват, документират и прилагат политики и процедури за управление на риска в областта на ИКТ, които съдържат всички изброени по-долу елементи: а) указание за одобрението на нивото на толерантност към риска в областта на ИКТ, установено в съответствие с член 6, параграф 8, буква б) от Регламент (ЕС) 2022/2554; б) процедура и методика за провеждане на оценка на риска в областта на ИКТ, при която се установяват: i) ii) уязвимите места и заплахите, които засягат или може да засегнат поддържаните работни функции, системите на ИКТ и активите на ИКТ, поддържащи тези функции; количествените или качествените показатели за измерване на въздействието и вероятността от наличието на уязвимите места и заплахите, посочени в точка i); в) г) процедурата за идентифициране, прилагане и документиране на мерките за третиране на риска в областта на ИКТ във връзка с идентифицираните и оценените рискове в областта на ИКТ, включително определянето на мерките за третиране на риска в областта на ИКТ, необходими за привеждане на рисковете в областта на ИКТ в рамките на нивото на толерантност към риска, посочено в буква а); за остатъчните рискове в областта на ИКТ, които все още съществуват след прилагането на мерките за третиране на риска в областта на ИКТ, посочени в буква в): i) ii) iii) iv) разпоредбите относно установяването на тези остатъчни рискове в областта на ИКТ; разпределянето на ролите и отговорностите относно: 1) поемането на остатъчните рискове в областта на ИКТ, които надвишават нивото на толерантност към риска на финансовия субект, посочено в буква а); 2) за процеса на преглед, посочен в точка iv) от настоящата буква г); изготвяне на опис на поетите остатъчни рискове в областта на ИКТ, включително обосновка за тяхното поемане; разпоредбите относно извършвания поне веднъж годишно преглед на поетите остатъчни рискове в областта на ИКТ, включително: 1) установяването на всички промени в остатъчните рискове в областта на ИКТ; 2) оценката на наличните мерки за намаляване на риска; 3) оценката на това дали причините, обосноваващи поемането на остатъчни рискове в областта на ИКТ, са все още валидни и приложими към датата на прегледа; д) разпореди относно наблюдението на: i) ii) iii) всички промени в рисковете в областта на ИКТ и обстановката по отношение на киберзаплахите; вътрешни и външни уязвими места и заплахи: риск в областта на ИКТ за финансовия субект, който позволява своевременно откриване на промени, които биха могли да повлияят на рисковия му профил в областта на ИКТ; 8/37 ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj OB L, 25.6.2024 г. BG е) разпоредби относно процес, с който да се гарантира, че са взети предвид всички промени в стратегията на финансовия субект във връзка със стопанската му дейност и в стратегията му за оперативна устойчивост на цифровите технологии. За целите на параграф 1, буква в), посочената в същата буква процедура гарантира: а) наблюдението на ефективността на приложените мерки за третиране на риска в областта на ИКТ; б) оценката дали са постигнати установените нива на толерантност към риска за финансовия субект; в) оценката дали финансовия субект е предприел действия за коригиране и подобряване на тези мерки, когато това е необходимо. Р аз дел 3 Управлен ие на а кти ви на ИК Т