Artykuł 33

Podmioty finansowe, o których mowa w art. 16 ust. 1 rozporządzenia (UE) 2022/2554, opracowują, dokumentują i wdrażają procedury kontroli logicznego i fizycznego dostępu oraz egzekwują stosowanie tych procedur, monitorują je i okresowo dokonują ich przeglądu. Procedury te zawierają następujące elementy kontroli logicznego i fizycznego dostępu:

a) prawa dostępu do zasobów informacyjnych, zasobów ICT i wspieranych przez nie funkcji, a także do miejsc prowadzenia działalności podmiotu finansowego o znaczeniu krytycznym, zgodnie z zasadami wiedzy koniecznej, potrzeby koniecznej i minimalizacji uprawnień, w tym również w kontekście dostępu zdalnego i dostępu awaryjnego;

b) rozliczalność użytkowników, która zapewnia możliwość identyfikacji użytkowników w odniesieniu do działań prowadzonych w systemach ICT;

c) procedury zarządzania kontem umożliwiające udzielanie, zmianę lub cofanie praw dostępu do kont użytkownika i kont generycznych, uwzględniając generyczne konta administratora;

d) metody uwierzytelniania współmierne do klasyfikacji, o której mowa w art. 30 ust. 1, oraz do ogólnego profilu ryzyka zasobów ICT, opartych na wiodących praktykach;

e) prawa dostępu są okresowo weryfikowane i cofane, gdy nie są już potrzebne.

Do celów lit. c) podmiot finansowy udziela dostępu uprzywilejowanego, dostępu awaryjnego i dostępu administratora do wszystkich systemów ICT na zasadzie potrzeby koniecznej lub na zasadzie ad hoc; dostęp ten rejestruje się zgodnie z art. 34 akapit pierwszy lit. f).

Do celów lit. d) podmioty finansowe stosują solidne metody uwierzytelniania oparte na wiodących praktykach w zakresie zdalnego dostępu do sieci podmiotów finansowych, dostępu uprzywilejowanego, a także dostępu do zasobów ICT wspierających krytyczne lub istotne funkcje, które są publicznie dostępne.