NORMĂ nr. 6 din 23 martie 2015 (*actualizată*)

Pe scurt

Această normă stabilește cerințele pentru gestionarea riscurilor operaționale generate de sistemele informatice utilizate de entitățile reglementate de Autoritatea de Supraveghere Financiară (A.S.F.). Scopul este identificarea, prevenirea și reducerea impactului negativ al acestor riscuri, inclusiv cele legate de criminalitatea informatică.

Ce reglementează

• Cerințele pentru identificarea, prevenirea și reducerea impactului riscurilor operaționale generate de utilizarea tehnologiei informației și comunicațiilor.
• Activitățile și operațiunile pentru evaluarea, supravegherea și controlul riscurilor operaționale generate de sistemele informatice și securitatea informatică.
• Încadrarea entităților în categorii de risc ("risc major", "risc important", "risc mediu", "risc scăzut").
• Cerințele minime pe care trebuie să le îndeplinească sistemele informatice utilizate de entități.

Cui îi privește

• Entitățile autorizate/avizate/înregistrate, reglementate și/sau supravegheate de Autoritatea de Supraveghere Financiară (A.S.F.).
• Acestea includ operatori de piață, societăți de administrare a investițiilor, depozitari centrali, intermediari, traderi, fonduri de compensare/garantare, societăți de asigurare/reasigurare, brokeri și societăți de administrare a fondurilor de pensii private.

Puncte cheie

• Entitățile trebuie să evalueze anual și să monitorizeze continuu riscurile operaționale generate de sistemele informatice.
• Entitățile participă la colectarea, analizarea, monitorizarea și raportarea evenimentelor de securitate informatică în cadrul sistemului dezvoltat de A.S.F.
• Sistemele informatice trebuie să asigure integritatea, confidențialitatea, autenticitatea, disponibilitatea datelor și să permită reconstituirea rapoartelor și informațiilor.
• Entitățile încadrate la "risc major" trebuie să auditeze extern sistemul informatic anual, cele la "risc important" o dată la 2 ani, cele la "risc mediu" o dată la 3 ani, iar cele la "risc scăzut" o dată la 4 ani.