Den officielle tekst
(43)
Tilsvarende bør finansielle enheder, der betragtes som mikrovirksomheder eller er underlagt den forenklede ramme for IKT-risikostyring i henhold til denne forordning, ikke være forpligtet til at oprette en overvågningsfunktion for deres ordninger indgået med tredjepartsudbydere af IKT-tjenester vedrørende brugen af IKT-tjenester eller at udpege et medlem af den øverste ledelse som tilsynsansvarlig for den dermed forbundne risikoeksponering og relevante dokumentation, at overdrage ansvaret for styring af og tilsyn med IKT-risiko til en kontrolfunktion og sikre, at en sådan kontrolfunktion har en passende grad af uafhængighed for at undgå interessekonflikter, mindst én gang om året at dokumentere og gennemgå rammen for IKT-risikostyring, regelmæssigt at underkaste rammen for IKT-risikostyring intern revision, at foretage tilbundsgående vurderinger efter større ændringer i deres net- og informationssysteminfrastrukturer og -processer, regelmæssigt at foretage risikoanalyser af legacy-IKT-systemer, at underkaste gennemførelsen af planerne for IKT-indsats og -genopretning uafhængig intern revisionsgennemgang, at have en krisestyringsfunktion, at udvide test af driftsstabiliteten samt indsats- og genopretningsplaner til at dække overgangsscenarier mellem den primære IKT-infrastruktur og redundante faciliteter, efter deres anmodning at indberette et skøn over de samlede årlige omkostninger og tab som følge af større IKT-relaterede hændelser til de kompetente myndigheder, at opretholde redundante IKT-kapaciteter, at informere nationale kompetente myndigheder om gennemførte ændringer efter gennemgange af IKT-relaterede hændelser, løbende at overvåge relevant teknologisk udvikling, at etablere et omfattende program for test af digital operationel modstandsdygtighed som en integreret del af den ramme for IKT-risikostyring, der er fastsat i denne forordning, eller at vedtage og regelmæssigt gennemgå en strategi for IKT-tredjepartsrisiko. Desuden bør mikrovirksomheder kun være forpligtet til at vurdere behovet for at opretholde sådanne redundante IKT-kapaciteter på grundlag af deres risikoprofil. Mikrovirksomheder bør drage fordel af en mere fleksibel ordning for så vidt angår programmer for test af digital operationel modstandsdygtighed. Når de skal tage stilling til typen og hyppigheden af de test, der skal foretages, bør de skabe en passende balance mellem målet om at opretholde en høj digital operationel modstandsdygtighed og de tilgængelige ressourcer og deres samlede risikoprofil. Mikrovirksomheder og finansielle enheder, der er underlagt den forenklede ramme for IKT-risikostyring i henhold til denne forordning, bør undtages fra kravet om at foretage avancerede test af IKT-værktøjer, -systemer og -processer baseret på trusselsbaserede penetrationstest (TLPT), da kun finansielle enheder, der opfylder kriterierne i denne forordning, bør pålægges at foretage en sådan test. I lyset af deres begrænsede kapaciteter bør mikrovirksomheder kunne aftale med tredjepartsudbyderen af IKT-tjenester, at den finansielle enheds ret til adgang, inspektion og revision delegeres til en uafhængig tredjepart, der udpeges af tredjepartsudbyderen af IKT-tjenester, forudsat at den pågældende finansielle enhed til enhver tid kan anmode den respektive uafhængige tredjepart om alle relevante oplysninger og garantier vedrørende de resultater, som tredjepartsudbyderen af IKT-tjenester opnår.