Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα

DORA-005 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 5

Διακυβέρνηση και οργάνωση της διαχείρισης κινδύνων ΤΠΕ

Διατηρείται εσωτερικό πλαίσιο διακυβέρνησης και ελέγχου που διασφαλίζει αποτελεσματική και συνετή διαχείριση του κινδύνου ΤΠΕ, ώστε να επιτυγχάνεται υψηλό επίπεδο ψηφιακής επιχειρησιακής ανθεκτικότητας. Το όργανο διοίκησης καθορίζει, εγκρίνει και εποπτεύει το πλαίσιο διαχείρισης κινδύνων ΤΠΕ και είναι υπεύθυνο γι' αυτό — φέρει την τελική ευθύνη για τη διαχείριση του κινδύνου ΤΠΕ· θεσπίζει πολιτικές για τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων· ορίζει σαφείς ρόλους και αρμοδιότητες για τις λειτουργίες ΤΠΕ και ρυθμίσεις διακυβέρνησης για τον συντονισμό τους· εγκρίνει τη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας και το επίπεδο ανοχής στον κίνδυνο ΤΠΕ· εγκρίνει και επανεξετάζει περιοδικά την πολιτική επιχειρησιακής συνέχειας ΤΠΕ και τα σχέδια αντιμετώπισης και ανάκαμψης ΤΠΕ· εγκρίνει τα σχέδια εσωτερικού ελέγχου ΤΠΕ και τις ουσιώδεις αλλαγές τους· διαθέτει και επανεξετάζει τον προϋπολογισμό για τις ανάγκες ψηφιακής επιχειρησιακής ανθεκτικότητας, συμπεριλαμβανομένης της ευαισθητοποίησης και της εκπαίδευσης· εγκρίνει και επανεξετάζει την πολιτική για τους τρίτους παρόχους υπηρεσιών ΤΠΕ· και θεσπίζει διαύλους ενημέρωσης σχετικά με τις συμφωνίες με τρίτους, τις σχεδιαζόμενες ουσιώδεις αλλαγές και τα σοβαρά περιστατικά που σχετίζονται με τις ΤΠΕ. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις ορίζουν ειδικό ρόλο ή αναθέτουν σε ανώτερο διοικητικό στέλεχος την ευθύνη για την παρακολούθηση της έκθεσης σε κίνδυνο ΤΠΕ από τρίτους, και τα μέλη του οργάνου διοίκησης διατηρούν επικαιροποιημένες τις γνώσεις και τις δεξιότητές τους σχετικά με τον κίνδυνο ΤΠΕ μέσω τακτικής εκπαίδευσης.

DORA-006 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 6

Πλαίσιο διαχείρισης κινδύνων ΤΠΕ

Διατηρείται ορθό, ολοκληρωμένο και καλά τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ ως μέρος του συνολικού συστήματος διαχείρισης κινδύνων, το οποίο περιλαμβάνει στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ που προστατεύουν όλα τα περιουσιακά στοιχεία πληροφοριών και ΤΠΕ, καθώς και τα φυσικά στοιχεία και τις υποδομές, από ζημίες και μη εξουσιοδοτημένη πρόσβαση. Ο αντίκτυπος του κινδύνου ΤΠΕ ελαχιστοποιείται με τα μέτρα που εφαρμόζονται βάσει του πλαισίου, και παρέχονται στις αρμόδιες αρχές, κατόπιν αιτήματος, πλήρεις και επικαιροποιημένες πληροφορίες για τον κίνδυνο ΤΠΕ. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις αναθέτουν τη διαχείριση και την εποπτεία του κινδύνου ΤΠΕ σε ανεξάρτητη λειτουργία ελέγχου, με κατάλληλο διαχωρισμό από τις λειτουργίες διαχείρισης κινδύνων ΤΠΕ και εσωτερικού ελέγχου (μοντέλο των τριών γραμμών άμυνας ή ισοδύναμο). Το πλαίσιο τεκμηριώνεται και επανεξετάζεται τουλάχιστον μία φορά τον χρόνο (ή περιοδικά για τις πολύ μικρές επιχειρήσεις), καθώς και μετά από σοβαρά περιστατικά που σχετίζονται με τις ΤΠΕ ή μετά από πορίσματα εποπτείας, δοκιμών ή ελέγχων· βελτιώνεται διαρκώς με βάση τα διδάγματα από την εφαρμογή του, και η έκθεση επανεξέτασης διατίθεται στην αρμόδια αρχή κατόπιν αιτήματος. Το πλαίσιο υπόκειται σε τακτικό εσωτερικό έλεγχο από ελεγκτές με επαρκή ανεξαρτησία και γνώσεις στον τομέα του κινδύνου ΤΠΕ (οντότητες που δεν είναι πολύ μικρές επιχειρήσεις), με επίσημη διαδικασία παρακολούθησης για τα κρίσιμα ευρήματα του ελέγχου. Το πλαίσιο περιλαμβάνει τεκμηριωμένη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας που καλύπτει το άρθρο 6 παράγραφος 8 στοιχεία α) έως η): ευθυγράμμιση με την επιχειρηματική στρατηγική, ανοχή στον κίνδυνο, στόχους ασφάλειας πληροφοριών και βασικούς δείκτες επιδόσεων (KPI), αρχιτεκτονική αναφοράς ΤΠΕ, μηχανισμούς ανίχνευσης και πρόληψης περιστατικών, τεκμήρια για την κατάσταση της ανθεκτικότητας, δοκιμές ανθεκτικότητας σύμφωνα με το κεφάλαιο IV και στρατηγική επικοινωνίας για τα περιστατικά.

DORA-007 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 7

Συστήματα, πρωτόκολλα και εργαλεία ΤΠΕ

Χρησιμοποιούνται και διατηρούνται επικαιροποιημένα συστήματα, πρωτόκολλα και εργαλεία ΤΠΕ τα οποία είναι κατάλληλα για το μέγεθος των δραστηριοτήτων (σύμφωνα με την αρχή της αναλογικότητας του άρθρου 4), αξιόπιστα, διαθέτουν επαρκή χωρητικότητα ώστε να επεξεργάζονται με ακρίβεια τα δεδομένα και να ανταποκρίνονται σε όγκους αιχμής, μεταξύ άλλων κατά την εισαγωγή νέας τεχνολογίας, και είναι τεχνολογικά επαρκώς ανθεκτικά ώστε να καλύπτουν πρόσθετες ανάγκες επεξεργασίας σε συνθήκες ακραίων πιέσεων στην αγορά ή σε άλλες δυσμενείς καταστάσεις.

DORA-008 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 8

Προσδιορισμός λειτουργιών που υποστηρίζονται από ΤΠΕ, περιουσιακών στοιχείων και πηγών κινδύνου

Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ, προσδιορίζονται, ταξινομούνται και τεκμηριώνονται όλες οι επιχειρηματικές λειτουργίες που υποστηρίζονται από ΤΠΕ, οι ρόλοι και οι αρμοδιότητες, καθώς και τα περιουσιακά στοιχεία πληροφοριών και ΤΠΕ που τις υποστηρίζουν· η ταξινόμηση αυτή επανεξετάζεται τουλάχιστον μία φορά τον χρόνο. Προσδιορίζονται διαρκώς όλες οι πηγές κινδύνου ΤΠΕ (συμπεριλαμβανομένης της έκθεσης σε κίνδυνο από και προς άλλες χρηματοοικονομικές οντότητες) και αξιολογούνται οι σχετικές κυβερνοαπειλές και ευπάθειες· τα σενάρια κινδύνου επανεξετάζονται τουλάχιστον μία φορά τον χρόνο. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις διενεργούν εκτίμηση κινδύνων σε κάθε σημαντική αλλαγή στην υποδομή των συστημάτων δικτύου και πληροφοριών ή στις διεργασίες και διαδικασίες που υποστηρίζονται από ΤΠΕ. Προσδιορίζονται όλα τα περιουσιακά στοιχεία πληροφοριών και ΤΠΕ (συμπεριλαμβανομένων απομακρυσμένων εγκαταστάσεων, πόρων δικτύου και υλικού εξοπλισμού) και χαρτογραφούνται τα κρίσιμα από αυτά, η διαμόρφωσή τους και οι αλληλεξαρτήσεις τους. Προσδιορίζονται και τεκμηριώνονται όλες οι διεργασίες που εξαρτώνται από τρίτους παρόχους υπηρεσιών ΤΠΕ, καθώς και οι διασυνδέσεις που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Τηρούνται και επικαιροποιούνται περιοδικά οι σχετικές απογραφές. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις διενεργούν ειδική εκτίμηση κινδύνων ΤΠΕ για όλα τα παλαιού τύπου συστήματα ΤΠΕ τουλάχιστον μία φορά τον χρόνο, καθώς και πριν και μετά τη σύνδεση νέων τεχνολογιών, εφαρμογών ή συστημάτων.

DORA-009 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 9

Προστασία και πρόληψη

Η ασφάλεια και η λειτουργία των συστημάτων ΤΠΕ παρακολουθούνται και ελέγχονται διαρκώς, και ο αντίκτυπος του κινδύνου ΤΠΕ ελαχιστοποιείται με κατάλληλα εργαλεία, πολιτικές και διαδικασίες ασφάλειας. Σχεδιάζονται, αποκτώνται και εφαρμόζονται πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ασφάλειας ΤΠΕ που διασφαλίζουν την ανθεκτικότητα, τη συνέχεια και τη διαθεσιμότητα των συστημάτων ΤΠΕ (ιδίως όσων υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες) και υψηλά επίπεδα διαθεσιμότητας, γνησιότητας, ακεραιότητας και εμπιστευτικότητας των δεδομένων κατά την αποθήκευση, τη χρήση και τη διαβίβαση — μέσω λύσεων που εξασφαλίζουν την ασφάλεια της μεταφοράς δεδομένων, ελαχιστοποιούν τον κίνδυνο αλλοίωσης, απώλειας ή μη εξουσιοδοτημένης πρόσβασης, αποτρέπουν παραβιάσεις της διαθεσιμότητας, της ακεραιότητας ή της εμπιστευτικότητας και προστατεύουν από κινδύνους που συνδέονται με τη διαχείριση των δεδομένων, συμπεριλαμβανομένου του ανθρώπινου σφάλματος. Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ: αναπτύσσεται και τεκμηριώνεται πολιτική ασφάλειας πληροφοριών· θεσπίζεται δομή διαχείρισης δικτύου και υποδομών βάσει κινδύνου (που μπορεί να περιλαμβάνει αυτόματη απομόνωση των επηρεαζόμενων περιουσιακών στοιχείων κατά τη διάρκεια κυβερνοεπιθέσεων, με συνδέσεις δικτύου σχεδιασμένες ώστε να μπορούν να διακόπτονται ή να τμηματοποιούνται άμεσα)· εφαρμόζονται πολιτικές που περιορίζουν τη φυσική και λογική πρόσβαση σε ό,τι απαιτείται για νόμιμες λειτουργίες, με ορθή διαχείριση των δικαιωμάτων πρόσβασης· εφαρμόζονται πολιτικές ισχυρού ελέγχου ταυτότητας και προστασίας κρυπτογραφικών κλειδιών με βάση την ταξινόμηση των δεδομένων και την εκτίμηση κινδύνων· εφαρμόζονται τεκμηριωμένες πολιτικές διαχείρισης αλλαγών ΤΠΕ βάσει κινδύνου, ώστε οι αλλαγές να καταγράφονται, να δοκιμάζονται, να αξιολογούνται, να εγκρίνονται, να υλοποιούνται και να επαληθεύονται με ελεγχόμενο τρόπο (με έγκριση από τα κατάλληλα επίπεδα διοίκησης και ειδικά πρωτόκολλα)· και διατηρούνται ολοκληρωμένες τεκμηριωμένες πολιτικές για τις ενημερώσεις κώδικα (patches) και τις επικαιροποιήσεις.

DORA-010 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 10

Ανίχνευση

Διατηρούνται μηχανισμοί για τον άμεσο εντοπισμό ανώμαλων δραστηριοτήτων — συμπεριλαμβανομένων προβλημάτων στην απόδοση του δικτύου ΤΠΕ, περιστατικών που σχετίζονται με τις ΤΠΕ και πιθανών ουσιωδών μοναδικών σημείων αστοχίας — οι οποίοι δοκιμάζονται τακτικά σύμφωνα με το άρθρο 25. Οι μηχανισμοί ανίχνευσης επιτρέπουν πολλαπλά επίπεδα ελέγχου, καθορίζουν όρια και κριτήρια ειδοποίησης που ενεργοποιούν τις διαδικασίες αντιμετώπισης περιστατικών και περιλαμβάνουν αυτόματες ειδοποιήσεις προς το αρμόδιο προσωπικό αντιμετώπισης περιστατικών. Διατίθενται επαρκείς πόροι και ικανότητες για την παρακολούθηση της δραστηριότητας των χρηστών και των ανωμαλιών και περιστατικών ΤΠΕ, ιδίως των κυβερνοεπιθέσεων. Οι πάροχοι υπηρεσιών αναφοράς δεδομένων διαθέτουν επιπλέον συστήματα που ελέγχουν την πληρότητα των αναφορών συναλλαγών, εντοπίζουν παραλείψεις και σφάλματα και ζητούν την εκ νέου διαβίβασή τους.

DORA-011 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 11

Αντιμετώπιση και ανάκαμψη

Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ και με βάση τον προσδιορισμό του άρθρου 8, διατηρείται ολοκληρωμένη πολιτική επιχειρησιακής συνέχειας ΤΠΕ, η οποία εφαρμόζεται μέσω τεκμηριωμένων ρυθμίσεων, σχεδίων, διαδικασιών και μηχανισμών που: διασφαλίζουν τη συνέχεια των κρίσιμων ή σημαντικών λειτουργιών· επιτρέπουν ταχεία και αποτελεσματική αντιμετώπιση των περιστατικών, περιορίζοντας τις ζημίες και δίνοντας προτεραιότητα στην επανέναρξη και την ανάκαμψη· ενεργοποιούν χωρίς καθυστέρηση μέτρα περιορισμού ανάλογα με το είδος του περιστατικού· εκτιμούν τις προκαταρκτικές επιπτώσεις, ζημίες και απώλειες· και καθορίζουν ενέργειες επικοινωνίας και διαχείρισης κρίσεων σύμφωνα με το άρθρο 14, με υποβολή αναφορών στις αρμόδιες αρχές σύμφωνα με το άρθρο 19. Εφαρμόζονται τα συναφή σχέδια αντιμετώπισης και ανάκαμψης ΤΠΕ (τα οποία, για τις οντότητες που δεν είναι πολύ μικρές επιχειρήσεις, υπόκεινται σε ανεξάρτητο εσωτερικό έλεγχο). Τα σχέδια επιχειρησιακής συνέχειας ΤΠΕ διατηρούνται και δοκιμάζονται περιοδικά, ιδίως για τις κρίσιμες ή σημαντικές λειτουργίες που έχουν ανατεθεί σε εξωτερικούς παρόχους. Διενεργείται ανάλυση επιχειρηματικών επιπτώσεων (BIA) της έκθεσης σε σοβαρές επιχειρηματικές διαταραχές με ποσοτικά και ποιοτικά κριτήρια, λαμβάνοντας υπόψη την κρισιμότητα και τις αλληλεξαρτήσεις των επιχειρηματικών λειτουργιών, των διεργασιών, των τρίτων και των περιουσιακών στοιχείων, ώστε τα περιουσιακά στοιχεία και οι υπηρεσίες ΤΠΕ να είναι ευθυγραμμισμένα με τα ευρήματα της BIA, συμπεριλαμβανομένου του πλεονασμού των κρίσιμων συστατικών στοιχείων. Τα σχέδια επιχειρησιακής συνέχειας και τα σχέδια αντιμετώπισης και ανάκαμψης (συμπεριλαμβανομένων των σχεδίων επικοινωνίας σε περίπτωση κρίσης) δοκιμάζονται τουλάχιστον μία φορά τον χρόνο και μετά από ουσιώδεις αλλαγές στα συστήματα ΤΠΕ· για τις οντότητες που δεν είναι πολύ μικρές επιχειρήσεις, οι δοκιμές περιλαμβάνουν σενάρια κυβερνοεπιθέσεων και μετάβαση μεταξύ της κύριας και της εφεδρικής υποδομής. Η πολιτική και τα σχέδια επανεξετάζονται τακτικά με βάση τα αποτελέσματα των δοκιμών και τις συστάσεις των ελέγχων και της εποπτείας. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις διαθέτουν λειτουργία διαχείρισης κρίσεων για την ενεργοποίηση των σχεδίων. Τηρούνται εύκολα προσβάσιμα αρχεία των δραστηριοτήτων κατά τη διάρκεια συμβάντων διαταραχής.

DORA-012 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 12

Πολιτικές αντιγράφων ασφαλείας και διαδικασίες αποκατάστασης και ανάκαμψης

Για την αποκατάσταση των συστημάτων ΤΠΕ και των δεδομένων με ελάχιστο χρόνο διακοπής, ελάχιστη διαταραχή και ελάχιστη απώλεια, αναπτύσσονται και τεκμηριώνονται πολιτικές και διαδικασίες για τα αντίγραφα ασφαλείας (που καθορίζουν το εύρος των αντιγράφων και την ελάχιστη συχνότητά τους με βάση την κρισιμότητα και την εμπιστευτικότητα των δεδομένων), καθώς και διαδικασίες και μέθοδοι αποκατάστασης και ανάκαμψης. Δημιουργούνται συστήματα αντιγράφων ασφαλείας που μπορούν να ενεργοποιηθούν σύμφωνα με τις πολιτικές αυτές χωρίς να θέτουν σε κίνδυνο την ασφάλεια των δικτύων και των συστημάτων ή τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων, και οι διαδικασίες αντιγράφων ασφαλείας, αποκατάστασης και ανάκαμψης δοκιμάζονται περιοδικά. Όταν η αποκατάσταση από αντίγραφα ασφαλείας γίνεται με ίδια συστήματα, χρησιμοποιούνται συστήματα ΤΠΕ φυσικά και λογικά διαχωρισμένα από το σύστημα προέλευσης, ασφαλώς προστατευμένα από μη εξουσιοδοτημένη πρόσβαση και αλλοίωση, που επιτρέπουν την έγκαιρη αποκατάσταση των υπηρεσιών. Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις διατηρούν εφεδρικές δυνατότητες ΤΠΕ επαρκείς για τις επιχειρηματικές τους ανάγκες (οι πολύ μικρές επιχειρήσεις αξιολογούν την ανάγκη με βάση το προφίλ κινδύνου τους). Καθορίζονται στόχοι χρόνου ανάκαμψης και σημείου ανάκαμψης για κάθε λειτουργία, λαμβάνοντας υπόψη την κρισιμότητα και τον αντίκτυπο στην αποδοτικότητα της αγοράς, ώστε να τηρούνται τα συμφωνημένα επίπεδα υπηρεσιών και σε ακραία σενάρια. Κατά την ανάκαμψη από περιστατικό, διενεργούνται οι αναγκαίοι έλεγχοι (συμπεριλαμβανομένων πολλαπλών ελέγχων και συμφωνιών δεδομένων) ώστε να διατηρείται το υψηλότερο επίπεδο ακεραιότητας των δεδομένων, μεταξύ άλλων όταν τα δεδομένα ανασυντίθενται από εξωτερικά ενδιαφερόμενα μέρη.

DORA-013 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 13

Μάθηση και εξέλιξη

Διατηρούνται ικανότητες και προσωπικό για τη συλλογή και την ανάλυση πληροφοριών σχετικά με ευπάθειες, κυβερνοαπειλές και περιστατικά που σχετίζονται με τις ΤΠΕ, καθώς και με τον πιθανό αντίκτυπό τους στην ψηφιακή επιχειρησιακή ανθεκτικότητα. Μετά από σοβαρά περιστατικά που σχετίζονται με τις ΤΠΕ και διαταράσσουν τις βασικές δραστηριότητες, διενεργούνται επανεξετάσεις μετά το περιστατικό, οι οποίες αναλύουν τα αίτια της διαταραχής και τις αναγκαίες βελτιώσεις στις λειτουργίες ΤΠΕ ή στην πολιτική επιχειρησιακής συνέχειας — αξιολογώντας την ταχύτητα της αντίδρασης, την ποιότητα και την ταχύτητα της ψηφιακής εγκληματολογικής ανάλυσης, την αποτελεσματικότητα της κλιμάκωσης των περιστατικών και την αποτελεσματικότητα της εσωτερικής και εξωτερικής επικοινωνίας (οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις αναφέρουν στις αρμόδιες αρχές, κατόπιν αιτήματος, τις αλλαγές που εφάρμοσαν). Τα διδάγματα από τις δοκιμές ανθεκτικότητας (άρθρα 26-27), από πραγματικά περιστατικά, από δυσκολίες κατά την ενεργοποίηση των σχεδίων επιχειρησιακής συνέχειας και από ευρήματα εποπτικών επανεξετάσεων ενσωματώνονται διαρκώς στη διαδικασία εκτίμησης κινδύνων ΤΠΕ και στις επανεξετάσεις του πλαισίου. Παρακολουθείται η αποτελεσματικότητα της εφαρμογής της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας, με χαρτογράφηση της εξέλιξης του κινδύνου ΤΠΕ και των μοτίβων των περιστατικών, ώστε να γίνεται κατανοητή η έκθεση σε κίνδυνο και να ενισχύεται η ωριμότητα στον τομέα της κυβερνοασφάλειας. Τα ανώτερα στελέχη ΤΠΕ αναφέρουν τα ευρήματα στο όργανο διοίκησης τουλάχιστον μία φορά τον χρόνο, διατυπώνοντας συστάσεις. Αναπτύσσονται υποχρεωτικά προγράμματα ευαισθητοποίησης για την ασφάλεια ΤΠΕ και εκπαίδευσης στην ψηφιακή επιχειρησιακή ανθεκτικότητα για όλο το προσωπικό και τα ανώτερα διοικητικά στελέχη (και, όπου ενδείκνυται, για τρίτους παρόχους υπηρεσιών ΤΠΕ). Οι οντότητες που δεν είναι πολύ μικρές επιχειρήσεις παρακολουθούν διαρκώς τις σχετικές τεχνολογικές εξελίξεις και διατηρούν τις διαδικασίες διαχείρισης κινδύνων ΤΠΕ επικαιροποιημένες σε σχέση με τις μεταβαλλόμενες μορφές κυβερνοεπιθέσεων.

DORA-014 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 14

Επικοινωνία

Στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ, διατηρούνται σχέδια επικοινωνίας σε περίπτωση κρίσης που επιτρέπουν την υπεύθυνη γνωστοποίηση τουλάχιστον των σοβαρών περιστατικών που σχετίζονται με τις ΤΠΕ ή των ευπαθειών στους πελάτες, στους αντισυμβαλλομένους και, κατά περίπτωση, στο κοινό. Εφαρμόζονται πολιτικές επικοινωνίας για το εσωτερικό προσωπικό και τα εξωτερικά ενδιαφερόμενα μέρη, με διάκριση μεταξύ του προσωπικού που συμμετέχει στη διαχείριση κινδύνων ΤΠΕ ή στην αντιμετώπιση και την ανάκαμψη και του προσωπικού που πρέπει να ενημερώνεται. Ορίζεται τουλάχιστον ένα πρόσωπο υπεύθυνο για την εφαρμογή της στρατηγικής επικοινωνίας για τα περιστατικά ΤΠΕ και για την άσκηση του ρόλου δημόσιας ενημέρωσης και επικοινωνίας με τα μέσα ενημέρωσης.

DORA-019 · Κανονισμός (ΕΕ) 2022/2554 — ψηφιακή επιχειρησιακή ανθεκτικότητα, Άρθρο 19

Αναφορά σοβαρών περιστατικών που σχετίζονται με τις ΤΠΕ

Τα σοβαρά περιστατικά που σχετίζονται με τις ΤΠΕ αναφέρονται στην οικεία αρμόδια αρχή με τα απαιτούμενα υποδείγματα και εντός των απαιτούμενων προθεσμιών.