Artykuł 17

1. Platformy informacji wewnętrznych i zarejestrowane mechanizmy sprawozdawcze zapewniają posiadanie wystarczającego zasobu pracowników, infrastruktury, kapitału i środków finansowych w celu zagwarantowania ciągłości i regularności świadczenia swoich odpowiednich usług, a także odpowiedniej ochrony platformy informacji wewnętrznych lub zarejestrowanego mechanizmu sprawozdawczego przed ryzykiem operacyjnym, prawnym i biznesowym.

2. Po zarejestrowaniu nowych klientów IIP platformy informacji wewnętrznych przekazują klientom instrukcje dotyczące korzystania z systemów zapasowych, a następnie wydają im okresowe przypomnienia przez cały okres świadczenia usług platformy informacji wewnętrznych.

3. Platformy informacji wewnętrznych i zarejestrowane mechanizmy sprawozdawcze muszą dysponować solidnymi mechanizmami kontroli ryzyka operacyjnego i procedurami w tym zakresie zapewniającymi dostępność odpowiednich zasobów i systemów zapasowych. Takie mechanizmy kontroli i procedury dokumentuje się w polityce w zakresie ryzyka operacyjnego lub w ramach ryzyka operacyjnego, które zapewniają minimalizację zakłóceń w świadczeniu usług. Taka polityka lub takie ramy obejmują:

a) system kontroli wersji służący do śledzenia i archiwizowania wszelkich zmian wprowadzonych w oprogramowaniu platformy informacji wewnętrznych i zarejestrowanego mechanizmu sprawozdawczego;

b) politykę zapewniania jakości gwarantującą śledzenie wszystkich zmian w architekturze sprzętowej i architekturze oprogramowania platform informacji wewnętrznych i zarejestrowanych mechanizmów sprawozdawczych;

c) zautomatyzowane systemy monitorowania i ostrzegania służące do śledzenia dostępności wszystkich komponentów systemu i usług, zapewniające natychmiastowe powiadamianie klientów IIP i klientów RRM o wszelkich zakłóceniach w świadczeniu usług;

d) redundancję komponentów sprzętu i infrastruktury sieciowej, umożliwiającą automatyczne przełączenie na systemy rezerwowe, w tym:

(i) w przypadku platform informacji wewnętrznych – procedury zapewniające, aby wszelkie planowane czynności konserwacyjne usług platformy informacji wewnętrznych odbywały się przy minimalnym zakłóceniu lub bez zakłócenia świadczenia usług, z wykorzystaniem powielania i redundancji komponentów sprzętu i oprogramowania;

(ii) w przypadku zarejestrowanych mechanizmów sprawozdawczych – procedury zapewniające minimalne zakłócenia podczas planowanych czynności konserwacyjnych, z zaplanowanymi przerwami konserwacyjnymi w okresach niskiej aktywności;

e) przeprowadzanie okresowych przeglądów, co najmniej raz w roku, oceniających infrastrukturę techniczną platform informacji wewnętrznych i zarejestrowanych mechanizmów sprawozdawczych oraz powiązane polityki i procedury, w tym rozwiązania w zakresie ciągłości działania, a w przypadku platform informacji wewnętrznych – rozwiązania w zakresie bezpieczeństwa informacji;

f) kompleksowe środki tworzenia kopii zapasowych danych zapewniające brak utraty danych, w tym zatrzymywanie danych zgłoszonych Agencji w ciągu ostatnich pięciu lat po zakończeniu danego zdarzenia w przypadku platform informacji wewnętrznych oraz w ciągu ostatnich pięciu lat w przypadku zarejestrowanych mechanizmów sprawozdawczych;

g) skuteczne rozwiązania w zakresie ciągłości działania, ukierunkowane na nieplanowane zdarzenia, w tym:

(i) ustalenia dotyczące ciągłości procedur, które mają kluczowe znaczenie dla zapewnienia skuteczności usług w zakresie przekazywania danych, w tym procedury eskalacji, odpowiednie działania zlecone na zasadzie outsourcingu lub zależność od zewnętrznych dostawców, które w odniesieniu do infrastruktury zapasowej platformy informacji wewnętrznych mogą obejmować ustalenia umowne z inną platformą informacji wewnętrznych zatwierdzoną przez Agencję, zgodnie z którymi klienci IIP zostaną przekierowani do celów ujawniania informacji w przypadku incydentu, bez dodatkowych kosztów dla klienta IIP;

(ii) szczegółowe rozwiązania gwarantujące ciągłość działania, obejmujące odpowiedni zakres możliwych scenariuszy w perspektywie krótko- i średnioterminowej, w tym błędy systemowe, klęski żywiołowe, zakłócenia komunikacji, utratę kluczowego personelu i brak możliwości korzystania z normalnie wykorzystywanych pomieszczeń;

(iii) ustanowienie procedur awaryjnych i rezerwowych określających przekierowanie klientów IIP do celów ujawniania ich informacji do systemów zapasowych platformy informacji wewnętrznych;

(iv) ustanowienie docelowego maksymalnego czasu potrzebnego na wznowienie realizacji funkcji krytycznych;

(v) zapewnienie pracownikom obowiązkowych szkoleń na temat funkcjonowania rozwiązań w zakresie ciągłości działania;

(vi) wskazanie kluczowego personelu odpowiedzialnego za ciągłość działania, w tym wskazanie personelu odpowiedzialnego za natychmiastowe reagowanie na zakłócenia w świadczeniu usług.

4. Wnioskodawcy mogą wykazać spełnienie któregokolwiek z wymogów, o których mowa w ust. 3, przedkładając Agencji ważny certyfikat serii ISO/IEC 27000 dotyczący systemów zarządzania bezpieczeństwem informacji lub równoważne certyfikaty. Agencja może zwrócić się do wnioskodawców o dalsze wyjaśnienia dotyczące dostarczonych certyfikatów, o uzupełnienie wszelkich brakujących informacji w celu wykazania zgodności z wymogami, o których mowa w ust. 3, oraz o aktualizację takich certyfikatów po ich wygaśnięciu.

5. Platformy informacji wewnętrznych i zarejestrowane mechanizmy sprawozdawcze zapewniają usunięcie wszelkich niedociągnięć stwierdzonych podczas przeglądu, o którym mowa w ust. 3 lit. e).

6. Platformy informacji wewnętrznych podają do wiadomości publicznej wszystkie informacje dotyczące alternatywnych sposobów ujawniania, z których ich klienci IIP mogą korzystać w przypadku przerwy w działaniu platformy. Jeżeli planowane czynności konserwacyjne mogą spowodować zakłócenia, planuje się je w przedziałach czasowych, w których przewiduje się minimalną aktywność.

7. Usługi platformy informacji wewnętrznych związane z ujawnianiem i publikowaniem informacji oraz składaniem sprawozdań dotyczących informacji wewnętrznych muszą być dostępne przez co najmniej 99,5 % czasu. To samo dotyczy sytuacji, w której usługi platformy informacji wewnętrznych lub ich części są zlecane usługodawcom zewnętrznym.

8. W sytuacji, gdy platforma informacji wewnętrznych powiadomiła klientów IIP o planowanych czynnościach konserwacyjnych lub o nieplanowanych przestojach lub innych zakłóceniach zgodnie z art. 18 lub gdy sami klienci IIP zauważyli, że wyjątkowo nie działają ani platforma informacji wewnętrznych, ani jej systemy zapasowe, klienci IIP mogą zdecydować, czy ujawnić na swojej stronie internetowej informacje, które ujawniliby na platformie informacji wewnętrznych, czy też skorzystać z innej platformy informacji wewnętrznych w celu szybkiego ujawnienia, do czasu przywrócenia działania platformy informacji wewnętrznych lub jej systemów zapasowych.

9. Platformy informacji wewnętrznych publikują na swojej platformie informacje ujawnione przez ich klientów IIP zgodnie z ust. 8, gdy tylko jest to technicznie możliwe po przywróceniu usług.