Leiðbeinandi tilmæli

Fjármálaeftirlitið setur leiðbeinandi tilmæli um upplýsingakerfi eftirlitsskyldra aðila. Með leiðbeinandi tilmælum þessum er stefnt að því að samræmdar kröfur verði gerðar til allra eftirlitsskyldra aðila varðandi rekstur upplýsingakerfa og notkun upplýsingatækni.

 Megintilgangur tilmælanna er að lágmarka rekstraráhættu eftirlitsskyldra aðila og stuðla að eftirfylgni eftirlitsskyldra aðila við lög og reglur er lúta að rekstri upplýsingakerfa. Tekið skal fram að tilmælum þessum er á engan hátt ætlað að koma í stað ákvæða laga og reglugerða er lúta að vernd persónuupplýsinga.

Lágmörkun áhættu við rekstur upplýsingakerfa er m.a. fólgin í því að gera ráðstafanir sem miða að því að stýra rekstraráhættu, koma í veg fyrir hagsmunaárekstra og tryggja gagnsæi á markaði. Einnig ber að tryggja öryggi upplýsinga, þ.e. að tryggja aðgengi aðeins þeirra sem hafa til þess heimild, þegar þeir þurfa slíkt aðgengi og að upplýsingarnar séu réttar og óspilltar.

Umfang aðgerða til að tryggja öryggi upplýsingakerfa á að vera í samræmi við umfang rekstur eftirlitsskylds aðila og þá áhættu sem honum fylgir. Tilmælin gilda um alla eftirlitsskylda aðila. Hins vegar gerir Fjármálaeftirlitið ríkari kröfur um eftirfylgni til eftirlitsskyldra aðila með umsvifamikla og fjölþætta starfsemi en minni aðila með einfalda starfsemi, sbr. nánar í gr. 1.5 tilmælanna. Því er gert ráð fyrir að smærri aðilum dugi einfalt utanumhald, þó þeim beri að hafa þau sjónarmið að leiðarljósi sem fram koma í tilmælunum.

Fjármálaeftirlitið telur að í framangreindu felist m.a. að eftirlitsskyldir aðilar framkvæmi árlegt sjálfsmat á upplýsingatækniumhverfi sínu. Á grundvelli 2. málsl. 1. mgr. 9. gr. laga um opinbert eftirlit með fjármálastarfsemi fer Fjármálaeftirlitið fram á að sjálfsmatið sé sent eftirlitinu, eigi síðar en í október ár hvert, ásamt upplýsingum um mat á umfangi rekstrar og flækjustigi viðskiptakerfa. Alþjóðlegir staðlar gilda á þessu sviði og einnig er töluvert til af leiðbeiningum um rekstur upplýsingakerfa. Má þar nefna ÍST ISO/IEC 27001 um upplýsingaöryggi, ISO 9000 gæðastaðalinn og CobiT. Í mörgum öðrum Evrópuríkjum hafa verið sett fram sambærileg tilmæli eða reglur og er tekið mið af þeim í tilmælum þessum. Efni þessara tilmæla hefur fallið úr gildi, en leiðbeinandi tilmæli nr. 2/2014 um upplýsingakerfi eftirlitsskyldra aðila leysti þau af hólmi.