Artikel 41 Formatet för och innehållet i rapporten om översynen av den förenklade IKT-riskhanteringsramen

De finansiella entiteter som avses i artikel 16.1 i förordning (EU) 2022/2554 ska lämna den rapport om översynen av IKT-riskhanteringsramen som avses i punkt 2 i den artikeln i ett sökbart elektroniskt format.

1. Ett inledande avsnitt som innehåller

   1. en beskrivning av bakgrunden till rapporten med avseende på karaktären på, omfattningen av och komplexiteten i den finansiella entitetens tjänster, verksamhet och insatser, den finansiella entitetens organisation, identifierade kritiska funktioner, strategi, större pågående projekt eller aktiviteter och relationer, och den finansiella entitetens beroende av interna och utkontrakterade IKT-tjänster och IKT-system eller de konsekvenser som en total förlust eller allvarlig försämring av sådana system skulle få för kritiska eller viktiga funktioner och marknadseffektivitet,

   2. en sammanfattning på verkställande nivå av den aktuella IKT-risk och IKT-risk för närmare tid som identifierats, hotbilden, den bedömda effektiviteten av dess kontroller och den finansiella entitetens säkerhetsstatus,

   3. information om det rapporterade området,

   4. en sammanfattning av de större förändringarna i IKT-riskhanteringsramen sedan den föregående rapporten,

   5. en sammanfattning och beskrivning av effekterna av de större förändringarna i den förenklade IKT-riskhanteringsramen sedan den föregående rapporten.

2. I tillämpliga fall, datum för godkännande av rapporten av den finansiella entitetens ledningsorgan.

3. En beskrivning av skälen till översynen, inklusive

   1. om översynen har initierats efter tillsynsinstruktioner, bevisning för sådana instruktioner,

   2. om översynen har initierats efter IKT-relaterade incidenter, en förteckning över alla dessa IKT-relaterade incidenter med tillhörande analys av grundorsaken till respektive incident.

4. Start- och slutdatum för översynsperioden.

5. Den person som ansvarar för översynen.

6. En sammanfattning av resultaten och en självutvärdering av allvarlighetsgraden hos de svagheter, brister och luckor som identifierats i IKT-riskhanteringsramen för översynsperioden, inklusive en detaljerad analys av dessa.

7. Identifierade åtgärder för att avhjälpa svagheter, brister och luckor i den förenklade IKT-riskhanteringsramen, och förväntat datum för genomförande av dessa åtgärder, inbegripet uppföljning av svagheter, brister och luckor som identifierats i föregående rapporter, om dessa svagheter, brister och luckor ännu inte har avhjälpts.

8. Övergripande slutsatser om översynen av den förenklade IKT-riskhanteringsramen, inklusive ytterligare planerad utveckling.