Art. 17 Gestion des changements dans les TIC | RTS on ICT risk management framework | DORA

1. Dans le cadre des garanties visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, les entités financières incluent dans les procédures de gestion des changements dans les TIC visées à l’article 9, paragraphe 4, point e), du règlement (UE) 2022/2554, en ce qui concerne tous les changements apportés aux logiciels, au matériel, aux composants de micrologiciels, aux systèmes ou aux paramètres de sécurité, l’ensemble des éléments suivants:
  1. une vérification du respect des exigences en matière de sécurité des TIC;
  2. des mécanismes visant à garantir l’indépendance des fonctions qui approuvent les changements et des fonctions responsables de la demande et de la mise en œuvre de ces changements;
  3. une description claire des rôles et des responsabilités afin de garantir:
    
    que les changements sont définis et planifiés;
    
    qu’une transition adéquate est conçue;
    
    que les changements sont testés et finalisés de manière contrôlée;
    
    qu’il existe une assurance de la qualité efficace;
  4. la documentation et la communication des détails des changements, notamment:
    
    de l’objectif et de la portée du changement;
    
    du calendrier de mise en œuvre du changement;
    
    des résultats attendus;
  5. l’identification des procédures et responsabilités de repli, notamment des procédures et responsabilités pour l’abandon des changements ou le rétablissement à la suite de changements qui n’ont pas été mis en œuvre avec succès;
  6. des procédures, protocoles et outils de gestion des changements d’urgence qui offrent des garanties adéquates;
  7. des procédures de documentation, de réévaluation, d’évaluation et d’approbation des changements d’urgence après leur mise en œuvre, y compris des solutions de contournement et des correctifs;
  8. l’identification de l’incidence potentielle d’un changement sur les mesures existantes en matière de sécurité des TIC et une évaluation visant à déterminer si ce changement nécessite l’adoption de mesures supplémentaires en matière de sécurité des TIC.
1. Après avoir apporté des changements importants à leurs systèmes de TIC, les contreparties centrales: une contrepartie centrale au sens de l’article 2, point 1), du règlement (UE) n^o 648/2012; et les dépositaires centraux de titres soumettent leurs systèmes de TIC à des tests rigoureux, en simulant des situations de crise.
2. Les contreparties centrales: une contrepartie centrale au sens de l’article 2, point 1), du règlement (UE) n^o 648/2012; associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:
  1. les membres compensateurs et leurs clients;
  2. les contreparties centrales: une contrepartie centrale au sens de l’article 2, point 1), du règlement (UE) n^o 648/2012; interopérables;
  3. les autres parties intéressées.
3. Les dépositaires centraux de titres associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:
  1. les utilisateurs;
  2. les prestataires de services et fournisseurs de services de réseau essentiels;
  3. d’autres dépositaires centraux de titres;
  4. d’autres infrastructures de marché;
  5. d’autres établissements avec lesquels les dépositaires centraux de titres ont constaté des interdépendances dans le cadre de leur politique de continuité des activités de TIC.