Kort fortalt
Finansielle enheder, der ikke er mikrovirksomheder, skal udarbejde, vedligeholde og gennemgå et omfattende program for test af digital operationel modstandsdygtighed som en del af rammen for IKT-risikostyring. Programmet skal være risikobaseret og omfatte de test, der er nævnt i artikel 25 og 26. Testene skal udføres af uafhængige parter, interne eller eksterne, og interessekonflikter skal undgås. Enheden skal have procedurer til at prioritere, klassificere og udbedre fund og til at kontrollere, at svagheder bliver rettet, og alle IKT-systemer og -applikationer, der understøtter kritiske eller vigtige funktioner, skal testes mindst én gang om året.
Det betyder i praksis
Lav en årlig testplan, der dækker alle kritiske systemer, og sørg for, at testerne er uafhængige af dem, der har bygget eller driver systemerne. Hold styr på, at fundne svagheder faktisk bliver lukket.
Eksempel
En bank lader sit interne sikkerhedsteam lave sårbarhedsscanninger af betalingssystemerne og beder en ekstern virksomhed om penetrationstesten, så testen er uafhængig af driftsteamet.
Ofte stillede spørgsmål
Gælder testkravet også mikrovirksomheder?
Artikel 24 gælder enheder, der ikke er mikrovirksomheder. Mikrovirksomheder skal dog også gennemføre de test, der er nævnt i artikel 25, stk. 1, men de må afbalancere indsatsen ud fra risiko og strategisk planlægning, så ressourcer og tid står mål med risikotype og kritisk betydning (artikel 25, stk. 3).
Må en intern afdeling udføre testene?
Ja, hvis den er uafhængig. Bruges en intern tester, skal enheden afsætte tilstrækkelige ressourcer og sikre, at interessekonflikter undgås, både når testen udformes og gennemføres (stk. 4).
Skal alle systemer testes hvert år?
Nej, kun de IKT-systemer og -applikationer, der understøtter kritiske eller vigtige funktioner, skal testes mindst én gang om året (stk. 6). Resten testes efter den risikobaserede tilgang i programmet.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 25 – Test af IKT-værktøjer og -systemer
- Artikel 26 – Avancerede test af IKT-værktøjer, -systemer og -processer baseret på TLPT
- Artikel 6 – Ramme for IKT-risikostyring
Den officielle ordlyd
Artikel 24
-
Med henblik på at vurdere beredskabet i forhold til håndtering af IKT-relaterede hændelser, identificere svagheder, mangler og huller i den digitale operationelle modstandsdygtighed og straks træffe korrigerende foranstaltninger udarbejder, opretholder og gennemgår de finansielle enheder, der ikke er mikrovirksomheder, under hensyntagen til kriterierne i artikel 4, stk. 2, et forsvarligt og omfattende program for test af digital operationel modstandsdygtighed som en integrerende del af den i artikel 6 omhandlede ramme for IKT-risikostyring.
-
Programmet for test af digital operationel modstandsdygtighed skal omfatte en række vurderinger, test, metodologier, fremgangsmåder og værktøjer, der skal anvendes i overensstemmelse med artikel 25 og 26.
-
Når de finansielle enheder, der ikke er mikrovirksomheder, gennemfører det i denne artikels stk. 1 omhandlede program for test af digital operationel modstandsdygtighed, følger de en risikobaseret tilgang, idet de tager hensyn til kriterierne i artikel 4, stk. 2, under behørig hensyntagen til et IKT-risikomiljø i udvikling, eventuelle specifikke risici, som den berørte finansielle enhed udsættes for eller kan blive udsat for, informationsaktivernes og de leverede tjenesters kritiske betydning samt alle andre faktorer, som den finansielle enhed finder relevante.
-
De finansielle enheder, der ikke er mikrovirksomheder, sikrer, at test gennemføres af uafhængige parter, hvad enten de er interne eller eksterne. Hvis en intern tester gennemfører test, skal de finansielle enheder afsætte tilstrækkelige ressourcer og sikre, at interessekonflikter undgås under testens udformnings- og gennemførelsesfaser.
-
De finansielle enheder, der ikke er mikrovirksomheder, fastlægger procedurer og politikker med henblik på at prioritere, klassificere og afhjælpe alle problemer, der identificeres i forbindelse med gennemførelsen af test, og fastlægger interne valideringsmetoder for at sikre, at alle konstaterede svagheder, mangler eller huller afhjælpes fuldt ud.
-
De finansielle enheder, der ikke er mikrovirksomheder, sikrer, at der gennemføres passende test af alle IKT-systemer og -applikationer, der understøtter kritiske eller vigtige funktioner, mindst én gang om året.
Den officielle danske tekst følger 2022-12-27 (32022R2554).