Kort fortalt
Artiklen pålægger ESA’erne (EBA, ESMA og EIOPA) i fællesskab og i samråd med ENISA at udarbejde udkast til reguleringsmæssige tekniske standarder (RTS), der uddyber kapitel 2. De skal præcisere yderligere elementer i IKT-sikkerhedspolitikkerne (artikel 9), adgangsstyring og tilhørende HR-politik, detektionsmekanismerne (artikel 10), indholdet af politikken for driftsstabilitet og af indsats- og genopretningsplanerne, test af planerne samt indholdet og formatet af rapporten om gennemgangen af rammen. Udkastene skulle forelægges Kommissionen senest den 17. januar 2024, og Kommissionen kan derefter vedtage dem.
Det betyder i praksis
Artiklen pålægger ikke finansielle enheder pligter direkte. Detaljerne står i de vedtagne standarder, som læses sammen med artikel 5–14. Denne side beskriver ikke deres indhold.
Ofte stillede spørgsmål
Er de tekniske standarder en del af selve forordningen?
Nej, de er særskilte retsakter. Kommissionen får i artiklens sidste afsnit beføjelse til at supplere forordningen ved at vedtage standarderne, efter udkast fra ESA'erne. Hvad der er vedtaget, og hvornår, står ikke i DORA og må slås op i de gældende standarder.
Gælder standarderne på samme måde for små og store enheder?
ESA'erne skal tage hensyn til enhedens størrelse, samlede risikoprofil og tjenesternes karakter, omfang og kompleksitet samt sektorforskelle. Enheder omfattet af den forenklede ramme i artikel 16 får deres egne standarder efter artikel 16, stk. 3, og betragtning 42 siger, at standarderne ikke skal ændre den forenklede rammes proportionale karakter.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 6 – Ramme for IKT-risikostyring
- Artikel 9 – Beskyttelse og forebyggelse
- Artikel 16 – Forenklet ramme for IKT-risikostyring
Den officielle ordlyd
Artikel 15
ESA’erne udarbejder via Det Fælles Udvalg og i samråd med Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) fælles udkast til reguleringsmæssige tekniske standarder med henblik på:
a) | at præcisere, hvilke yderligere elementer der skal indgå i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, med henblik på at garantere netsikkerheden, sikre tilstrækkelige garantier mod indtrængen og datamisbrug, bevare tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, herunder kryptografiske teknikker, og garantere en nøjagtig og hurtig dataoverførsel uden større forstyrrelser og unødige forsinkelser |
b) | at videreudvikle komponenter i kontrollen med de rettigheder vedrørende adgangsforvaltning, der er omhandlet i artikel 9, stk. 4, litra c), og den dertil knyttede HR-politik med angivelse af adgangsrettigheder, procedurer for tildeling og tilbagekaldelse af rettigheder, overvågning af anormal adfærd i forbindelse med IKT-risikoen ved hjælp af passende indikatorer, herunder for mønstre vedrørende netværksbrug, tidspunkter, IT-aktivitet og ukendt udstyr |
c) | at videreudvikle de mekanismer, der er anført i artikel 10, stk. 1, for at muliggøre en hurtig detektion af anormale aktiviteter, og de kriterier, der er fastsat i artikel 10, stk. 2, for at udløse detektion af IKT-relaterede hændelser og indsatsforanstaltninger |
d) | yderligere at præcisere de komponenter, der er indeholdt i den politik for IKT-driftsstabilitet, der er omhandlet i artikel 11, stk. 1 |
e) | yderligere at præcisere test af de planer for IKT-driftsstabilitet, der er omhandlet i artikel 11, stk. 6, for at sikre, at sådanne test tager behørigt hensyn til de scenarier, hvor kvaliteten af leveringen af en kritisk eller vigtig funktion forringes til et uacceptabelt niveau eller mislykkes, og at der tages behørigt hensyn til de potentielle virkninger af insolvens hos eller andre svigt forårsaget af eventuelle relevante tredjepartsudbydere af IKT-tjenester og, hvor det er relevant, de politiske risici i de respektive udbyderes jurisdiktioner |
f) | yderligere at præcisere de komponenter, der er indeholdt i de planer for IKT-indsats og -genopretning, der er omhandlet i artikel 11, stk. 3 |
g) | yderligere at præcisere indholdet i og formatet af den rapport om gennemgangen af rammen for IKT-risikostyring, der er omhandlet i artikel 6, stk. 5. |
Når ESA’erne udarbejder disse udkast til reguleringsmæssige tekniske standarder, tager de hensyn til den finansielle enheds størrelse og samlede risikoprofil og karakteren, omfanget og kompleksiteten af dens tjenester, aktiviteter og operationer og tager samtidig behørigt hensyn til eventuelle særlige kendetegn som følge af aktiviteternes særlige karakter på tværs af forskellige sektorer for finansielle tjenesteydelser.
ESA’erne forelægger disse udkast til reguleringsmæssige tekniske standarder for Kommissionen senest den 17 januar 2024 [12 måneder efter datoen for denne forordnings ikrafttræden].
Kommissionen tillægges beføjelse til supplere denne forordning ved at vedtage de i stk. 1 omhandlede reguleringsmæssige tekniske standarder i overensstemmelse med artikel 10-14 i forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010.
Den officielle danske tekst følger 2022-12-27 (32022R2554).