Articolul 8
Planurile pentru asigurarea continuității activității
Art. 8 din NORMĂ nr. 25 din 30 august 2021 privind guvernanța și securitatea sistemelor de tehnologia informațiilor și a comunicațiilor utilizate de către societățile de asigurare și de reasigurare
(1) Societățile instituie planuri pentru asigurarea continuității activității în care prevăd cel puțin:
a) obligația de identificare a riscurilor care pot afecta sistemele TIC și serviciile TIC;
b) măsuri pentru a proteja sau a restabili confidențialitatea, integritatea și disponibilitatea elementelor TIC;
c) perioadele maxime de restabilire a funcționalității sistemelor TIC în situațiile în care se înregistrează incidente;
d) perioadele maxime în care datele pot fi pierdute în cazul în care se produc incidente la anumite niveluri ale serviciilor TIC;
e) realizarea unui număr suficient de teste și de scenarii de disfuncționalitate a sistemelor TIC;
f) realizarea de scenarii de atac cibernetic controlat asupra sistemelor TIC pentru verificarea rezilienței cibernetice a acestora, prin tehnici, tactici și proceduri cunoscute de efectuare a unui atac cibernetic, care are în vedere zone de date, procese, tehnologii și angajați care nu sunt avertizați și fără ca simularea respectivă să aibă efecte negative asupra operațiunilor în desfășurare;
g) realizarea de analize în urma testelor și scenariilor pentru determinarea nivelului de asigurare a securității cibernetice;
h) măsurile pentru comunicarea eficientă și în timp util atât intern, cât și cu factori externi în caz de urgență sau de funcționare defectuoasă a sistemelor TIC;
i) actualizarea periodică a planurilor în funcție de rezultatele testelor efectuate, de evenimentele înregistrate și de modificarea obiectivelor și a activității.
(2) În vederea elaborării planurilor pentru asigurarea continuității activității, societățile colaborează cu toți factorii externi și interni adecvați.
(3) În cadrul planurilor pentru asigurarea continuității activității, societățile prevăd realizarea unor analize de impact pe bază de scenarii pentru a evalua efectele cantitative și calitative ale unor disfuncționalități severe, având în vedere cel puțin:
a) datele interne și externe;
b) clasificarea elementelor TIC în funcție de nivelul de semnificație;
c) interdependențele dintre elementele TIC.
(4) În funcție de analizele de impact realizate conform alin. (3) , societățile configurează sistemele și serviciile TIC astfel încât să prevină disfuncționalitățile cauzate de evenimentele care afectează componentele-cheie.
(5) Pe baza analizelor de impact realizate conform alin. (3) , societățile elaborează planuri privind modalitatea de reacție și de recuperare a sistemelor TIC și serviciilor TIC astfel încât să se minimizeze efectele negative asupra activității, în care prevăd cel puțin:
a) obiectivele procesului de recuperare;
b) situațiile care determină activarea planurilor respective;
c) alocarea în mod clar a responsabilităților și atribuțiilor;
d) măsurile pentru asigurarea integrității, disponibilității și recuperării în principal a celor mai importante active TIC, activități și servicii TIC;
e) măsurile pentru situațiile în care recuperarea nu este posibilă într-un termen scurt și factorii care pot afecta recuperarea;
f) măsurile pentru asigurarea continuității în cazul în care furnizorii de servicii TIC înregistrează disfuncționalități, având în vedere politica privind sistemul de guvernanță și, în special, politica privind externalizarea;
g) măsuri pentru situațiile în care sunt activate clauzele de reziliere a contractelor de externalizare;
h) condițiile care necesită actualizarea planurilor respective.
(6) Societățile actualizează planurile prevăzute la alin. (5) în funcție de incidentele înregistrate anterior, de rezultatele testelor efectuate, de noile riscuri identificate, de modificarea obiectivelor privind procesul de recuperare, de modificarea priorităților și de alte elemente pe care le consideră necesare.
(7) Planurile prevăzute la alin. (5) sunt documentate, sunt accesibile personalului adecvat și departamentelor-suport în caz de urgență și au în vedere măsuri pe termen scurt și pe termen lung.