Czym jest poważny incydent związany z ICT według DORA?
Takim, który podmiot finansowy klasyfikuje jako poważny według kryteriów z art. 18 DORA i przyjętych na jego podstawie standardów technicznych. Art. 18 wymienia kryteria takie jak liczba i znaczenie klientów lub kontrahentów finansowych, których dotyczy incydent, kwota lub liczba objętych nim transakcji, wpływ na reputację, czas trwania i przestój usług, zasięg geograficzny, utrata danych wpływająca na dostępność, autentyczność, integralność lub poufność, krytyczność dotkniętych usług oraz skutki ekonomiczne. Standardy przekładają je na progi. Zgłaszać na podstawie art. 19 trzeba tylko poważne incydenty; poważne cyberzagrożenia można zgłaszać dobrowolnie. Klasyfikację warto wbudować w procedurę obsługi incydentów, żeby decyzja była szybka, powtarzalna i udokumentowana, oraz uzgodnić z dostawcami ICT, jak przekażą potrzebne fakty. Klienci finansowi będą tego oczekiwać także od swoich dostawców.
Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.
Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Terminy zgłaszania incydentów
Czytaj dalej
Powiązane pytania
- Jakie są terminy zgłaszania incydentów w DORA?
- Gdzie składa się zgłoszenia podatności na podstawie aktu o cyberodporności?
- Czy oprócz regulatora powinniśmy zgłosić cyberincydent policji?
- Jakie informacje powinno zawierać zgłoszenie incydentu do organów?
- Czy trzeba zgłaszać incydent, który został już rozwiązany?
← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy