DORA: Standard tecnici di regolamentazione ed attuazione.

Primo insieme di RTS & ITS

Il primo insieme di RTS ed ITS è attualmente in consultazione ed include i seguenti:

• RTS nel quadro della gestione del rischio derivante da TIC (Cap. II, Art. 15) e RTS nel quadro semplificato della gestione del rischio derivante da TIC (Cap. II, Art. 16.3).
  Vengono introdotti principi per tutte le entità finanziarie su aspetti come:
  1. Politiche, procedure, protocolli e strumenti per la sicurezza delle TIC;
  2. Politica delle risorse umane e controllo degli accessi;
  3. Rilevamento e risposta agli incidenti legati alle TIC;
  4. Relazione sulla revisione e rapporto sulla revisione del quadro di gestione del rischio delle TIC.

• RTS in merito ai criteri di classificazione degli incidenti legati alle TIC (Cap. III, Art. 18.3).
  La bozza stabilisce requisiti armonizzati per le entità finanziarie in merito a:
  1. Classificazione degli incidenti legati alle TIC;
  2. Approccio di classificazione e soglie di rilevanza per la determinazione dei principali incidenti che devono essere segnalati alle autorità competenti;
  3. Criteri e soglie da applicare per la classificazione delle minacce informatiche significative;
  4. Criteri che le autorità competenti devono applicare per valutare la rilevanza degli incidenti.

• ITS per stabilire i modelli dei registri delle informazioni in relazione agli accordi contrattuali sull’uso di servizi TIC forniti da fornitori terzi (Cap. IV, Art 28.9).
  Nella versione in consultazione vengono definiti i modelli armonizzati per il registro delle informazioni che gli enti finanziari dovrebbero mantenere in merito a tutti gli accordi contrattuali sull’utilizzo dei servizi TIC forniti da terze parti a livello individuale, consolidato e subconsolidato. Sono stati sviluppati due differenti modelli, il primo per i registri a livello individuale ed il secondo per i registri a livello consolidato e subconsolidato.

• RTS per stabilire le politiche in merito ai servizi TIC forniti da terze parti (Cap. IV, Art, 28.10).
  In questo caso sono definiti i requisiti che riguardano tutte le fasi che vengono intraprese dalle entità finanziarie per quanto riguarda il ciclo di vita della gestione degli accordi di terze parti in materia di TIC.