Чл. 39

Член 39 Компоненти на плана за непрекъснатост на дейността на ИКТ

1. Финансовите субекти, посочени в член 16, параграф 1 от Регламент (ЕС) 2022/2554, разработват своите планове за непрекъснатост на дейността в областта на ИКТ, като вземат предвид резултатите от анализа на експозициите си към сериозни смущения в дейността и потенциалното им въздействие, както и сценарии, при които техните активи на ИКТ, поддържащи критични или важни функции, могат да бъдат изложени на тях, включително сценарий за кибератака.

2. а) б) в) г) д) е) ж) з) и) й) С посочените в параграф 1 планове за непрекъснатост на дейността на ИКТ се постига следното: те се одобряват от ръководния орган на финансовия субект; те се документират и са лесно достъпни в случай на извънредна ситуация или криза; с тях се разпределят достатъчно ресурси за изпълнението им; идентифицират се планирани равнища на възстановяване и времеви рамки за възстановяване и възобновяване на функции и ключови вътрешни и външни зависимости, включително трети страни доставчици на услуги в областта на ИКТ;

идентифицират се условията, при които може да се предизвика задействането на плановете за непрекъснатост на дейността на ИКТ, и действията, които трябва да бъдат предприети, за да се гарантират наличността, непрекъснатостта и възстановяването на активите на ИКТ на финансовите субекти, поддържащи критични или важни функции; идентифицират се мерките за възстановяване на критични или важни работни функции, поддържащи процеси, информационни активи и техните взаимозависимости, с цел да се избегнат неблагоприятните последици за функционирането на финансовите субекти; идентифицират се процедури и мерки, в които се определят обхватът на данните, за които се съхраняват резервни копия, както и минималната честота на това копиране, в зависимост от критичната значимост на функцията, използваща тези данни; обмислят се алтернативни варианти, при които възстановяването може да не е осъществимо в краткосрочен план поради разходи, рискове, логистика или непредвидени обстоятелства; доуточняват се вътрешните и външните планове за комуникация, включително плановете за пренасочване на управлението;

плановете се актуализират в съответствие с извлечените поуки от инциденти, тестове, идентифицирани нови рискове и заплахи, променени цели за възстановяване на информацията, съществени промени в организацията на финансовия субект и в активите на ИКТ, поддържащи критични или работни функции. За целите на буква е) мерките, посочени в същата буква, предвиждат намаляване на проблемите при трети страни критични доставчици на услуги.