en en

Sprievodca klasifikácie IKT incidentov

Štart

Vyhodntiť udalosť/incident

Spustiť sprievodcu klasifikáciou incidentu.

Upozornenie: Táto pomôcka obsahuje zjednodušený návod pre identifikáciu závažných incidentov súvisiacich s IKT. Finančné subjekty sú povinné pri nahlasovaní závažných incidentov súvisiacich s IKT postupovať podľa príslušných všeobecne záväzných právnych predpisov..

Krok 1

Súvisí incident s IKT?

  • Došlo k vplyvu na dôvernosť, integritu, dostupnosť alebo pravosť údajov?
  • Alebo k poruche akejkoľvek IKT služby?
Výsledok

Koniec

Nejde o incident súvisiaci s IKT.

Zaevidovať len interne.

Krok 2

Sú zasiahnuté kritické služby?

  • Je ovplyvnená kritická alebo dôležitá funkcia?
  • Je zasiahnutá regulovaná finančná služba?
  • Je narušený kľúčový IKT systém alebo sieť/informačný systém?
  • Má udalosť negatívny vplyv na poskytované služby?
Výsledok

Koniec

Nie sú splnené kritériá závažného incidentu (podmienka zasiahnuté „kritické služby“).

Krok 3

Bolo zistené škodlivé neoprávnené prieniknutie?

  • Potvrdené vniknutie do siete/informačných systémov?
  • Identifikovaná prítomnosť útočníka?
Výsledok

Závažný incident

Automaticky závažný incident.

Oznámiť podľa článku 19 nariadenia DORA.

Krok 4

Sú splnené aspoň DVE ďalšie kritériá významnosti?

Kritériá významnosti (splň aspoň 2)

Za významný sa incident považuje, ak spĺňa najmenej dve kritériá v bodoch 1 až 6.

  1. Rozsah ovplyvnenia:
    • Ovplyvnení klienti: > 10 % používateľov danej služby ALEBO > 100 000 klientov ALEBO ovplyvnení boli „dôležití“ klienti/protistrany.
    • Finančné protistrany: > 30 % relevantných finančných protistrán.
    • Transakcie: > 10 % denného priemeru počtu alebo objemu transakcií danej služby.
  2. Vplyv na dobré meno: mediálne pokrytie, opakované sťažnosti, nemožnosť plniť regulačné požiadavky, významná strata klientov/protistrán.
  3. Trvanie/výpadok: incident > 24 hod. ALEBO výpadok kritickej/dôležitej služby > 2 hod.
  4. Geografický rozsah: vplyv v aspoň 2 členských štátoch.
  5. Straty údajov: nepriaznivý vplyv na dostupnosť/pravosť/integritu/dôvernosť údajov, alebo úspešný škodlivý neoprávnený prístup, ktorý môže viesť k strate údajov.
  6. Hospodársky vplyv: náklady a straty > 100 000 €.
Výsledok

Závažný incident

Oznámiť podľa článku 19 nariadenia DORA.

Finančný subjekt je povinný poslať počiatočné, priebežné a záverečné hlásenie incidnentu.

Výsledok

Zvážiť nahlásenie

Ak momentálne nedisponujete dostatkom informácií k vyhodnoteniu situácie, incident možno aj tak nahlásiť a neskôr preklasifikovať na nezávažný, ak sa ukáže, že nespĺňa prahové hodnoty.

Krok 5

Opakujú sa incidenty?

  • vyskytli sa aspoň dvakrát v priebehu 6 mesiacov,
  • majú rovnakú zjavnú hlavnú príčinu,
  • a spoločne spĺňajú test závažného incidentu.
Výsledok

Závažný incident

Opakujúce sa incidenty spoločne kvalifikujú ako závažné.

Výsledok

Nezávažný

Zaevidovať a monitorovať interne.

História rozhodnutí