Kort fortalt
Finansielle enheder skal have dokumenterede politikker og procedurer for sikkerhedskopiering, herunder hvilke data der kopieres og hvor ofte, og procedurer for gendannelse og genopretning. Backup og gendannelse skal testes regelmæssigt, og gendannelse skal ske på systemer, der er fysisk og logisk adskilt fra kildesystemet. Enheder, der ikke er mikrovirksomheder, skal have redundante IKT-kapaciteter, mens mikrovirksomheder vurderer behovet ud fra deres risikoprofil. For hver funktion skal der fastsættes mål for genopretningstid og genopretningspunkt, og dataintegriteten skal kontrolleres ved genopretning, og centrale modparter, udbydere af dataindberetningstjenester og værdipapircentraler har særlige krav.
Det betyder i praksis
Skriv ned, hvilke data der tages backup af, og hvor hurtigt hver kritisk funktion skal være oppe igen. Test, at gendannelse virker i praksis, og sørg for, at gendannelsessystemet er adskilt fra produktionssystemet.
Eksempel
Et forsikringsselskab fastsætter, at skadessystemet skal kunne gendannes inden for fire timer med højst en times datatab. Ved en øvelse kontrollerer det, at tallene kan holde.
Ofte stillede spørgsmål
Hvad er genopretningstid og genopretningspunkt?
Forordningen bruger begreberne i stk. 6 uden at definere dem. I almindelig brug er genopretningstiden, hvor hurtigt en funktion skal være tilbage, og genopretningspunktet, hvor meget datatab der kan accepteres. Enheden fastsætter målene pr. funktion ud fra funktionens kritiske betydning og de mulige følger for markedets effektivitet, og målene skal holde de aftalte serviceniveauer selv i ekstreme scenarier.
Må vi gendanne data på de samme servere, de blev sikkerhedskopieret fra?
Når enheden gendanner med egne systemer, skal den bruge IKT-systemer, der er fysisk og logisk adskilt fra kildesystemet. Systemerne skal være sikkert beskyttet mod uautoriseret adgang og korruption og gøre det muligt at genoprette tjenester rettidigt (stk. 3).
Gælder kravet om redundans også mikrovirksomheder?
Ikke som fast krav. Enheder, der ikke er mikrovirksomheder, skal opretholde redundante IKT-kapaciteter, mens mikrovirksomheder skal vurdere behovet ud fra deres risikoprofil (stk. 4).
Relevante betragtninger
Relaterede bestemmelser
- Artikel 7 – IKT-systemer, -protokoller og-værktøjer
- Artikel 11 – Indsats og genopretning
- Artikel 25 – Test af IKT-værktøjer og -systemer
Den officielle ordlyd
Artikel 12
- Med henblik på at sikre gendannelse af IKT-systemer og data med minimal nedetid, begrænsede forstyrrelser og tab udvikler og dokumenterer de finansielle enheder som led i deres ramme for IKT-risikostyring følgende:
a) | politikker og procedurer for sikkerhedskopiering, der præciserer omfanget af de data, der er genstand for sikkerhedskopiering, og minimumshyppigheden af sikkerhedskopiering baseret på oplysningernes kritiske betydning eller fortrolighedsniveauet for dataene |
b) | procedurer og metoder for gendannelse og genopretning. |
-
De finansielle enheder etablerer systemer for sikkerhedskopiering, der kan aktiveres i overensstemmelse med politikker og procedurer for sikkerhedskopiering, og procedurer og metoder for gendannelse og genopretning. Aktiveringen af systemerne for sikkerhedskopiering må ikke sætte sikkerheden i net- og informationssystemer eller tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data over styr. Der foretages regelmæssig test af procedurer for sikkerhedskopiering og procedurer og metoder for gendannelse og genopretning.
-
Når de finansielle enheder gendanner sikkerhedskopierede data ved anvendelse af egne systemer, anvender de IKT-systemer, der er fysisk og logisk adskilt fra IKT-kildesystemet. IKT-systemerne skal være sikkert beskyttet mod uautoriseret adgang eller IKT-korruption og give mulighed for rettidig gendannelse af tjenester ved hjælp af data- og systemsikkerhedskopier efter behov.
For centrale modparter skal genopretningsplaner gøre det muligt at genoptage alle transaktioner fra det tidspunkt, hvor de blev afbrudt, således at den berørte centrale modpart kan opretholde driftssikkerheden og gennemføre afviklingen på den planlagte dato.
Udbydere af dataindberetningstjenester skal desuden sørge for at råde over passende ressourcer og sikkerhedskopierings- og gendannelsesfaciliteter for til enhver tid at kunne udbyde og opretholde deres tjenester.
-
Finansielle enheder, der ikke er mikrovirksomheder, opretholder redundante IKT-kapaciteter, der er udstyret med passende ressourcer og funktioner med henblik på at sikre forretningsmæssige behov. Mikrovirksomheder vurderer behovet for at opretholde sådanne redundante IKT-kapaciteter på grundlag af deres risikoprofil.
-
Værdipapircentraler bibeholder mindst ét sekundært afviklingssted, der er udstyret med passende ressourcer, kapaciteter, funktioner og personalemæssige ordninger med henblik på at sikre forretningsmæssige behov.
Det sekundære afviklingssted skal
a) | befinde sig i en geografisk afstand fra det primære afviklingssted for at sikre, at det har en særlig risikoprofil og for at forhindre, at det påvirkes af den hændelse, der har berørt det primære afviklingssted |
b) | kunne sikre driftsstabiliteten for kritiske eller vigtige funktioner på samme måde som det primære afviklingssted eller levere det serviceniveau, der er nødvendigt for, at den finansielle enhed kan udføre sine kritiske operationer inden for rammerne af genopretningsmålene |
c) | være umiddelbart tilgængeligt for den finansielle enheds personale for at sikre driftsstabilitet for kritiske eller vigtige funktioner i tilfælde af, at det primære afviklingssted ikke står til rådighed. |
-
Når de finansielle enheder fastlægger målene for genopretningstid og genopretningspunkt for hver funktion, tager de hensyn til, om det er en kritisk eller vigtig funktion og de potentielle samlede virkninger for markedseffektiviteten. Sådanne tidsmål skal sikre, at de aftalte serviceniveauer overholdes i ekstreme scenarier.
-
Når de finansielle enheder foretager genopretning efter en IKT-relateret hændelse, udfører de nødvendige kontroller, herunder eventuelt flere kontroller og afstemninger, for at sikre, at dataintegriteten bevares på højeste niveau. Disse kontroller foretages også i forbindelse med rekonstruktionen af data fra eksterne interessenter for at sikre, at alle systemernes data er sammenhængende.
Den officielle danske tekst følger 2022-12-27 (32022R2554).