text: Eiopa – Westhafen Tower, Westhafenplatz 1 – 60327 Frankfurt – Tyskland – tel. + 49 69-951119-20; Fax + 49 69-951119-19, e-post: info@eiopa.europa.eu webbplats: www.eiopa.europa.eu

text: https://www.eiopa.europa.eu/supervisory-convergence-plans-and-reports_en 2 Den rapport som Eiopa offentliggjort som svar på Europeiska kommissionens handlingsplan för fintech finns här. För en definition av cyberrisk, se FSB:s cyberlexikon av den 12 november 2018, https://www.fsb.org/wpcontent/uploads/P121118-1.pdf.

text: Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/79/EG

text: (EUT L 331, 15.12.2010, s. 48). 5

text: Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 335, 17.12.2009, s. 1). Kom missionens delegerade förordning

text: (EU) 2015/35

text: av den 10 oktober 2014 om komplettering av

text: Europaparlamentets och rådets direktiv 2009/138/EG

text: om upptagande och utövande av försäkringsverksamhet (Solvens II) (EUT L 12, 17.1.2015, s. 1). 7 https://www.eiopa.europa.eu/content/guidelines-system-governance_en?source=search 8 https://www.eiopa.europa.eu/content/eiopa-consults-guidelines-outsourcing-cloud-serviceproviders_en?source=search 9

text: Artikel 212.1 i direktiv 2009/138/EG

text: . 1 0

text: Artikel 29.3 i direktiv 2009/138/EG

text: Artikel 271 i den delegerade förordningen.

title: Guidelines on information and communication technology security and governance.pdf

text: Riktlinjer för säkerhet och företagsstyrning avseende informationsoch kommunikationsteknik

text: Bakgrund

text: 1. Enligt

text: artikel 16 i förordning (EU) nr 1094/2010

text: får Eiopa utfärda riktlinjer och rekommendationer riktade till behöriga myndigheter och finansinstitut i syfte att upprätta en konsekvent, ändamålsenlig och effektiv tillsynspraxis och säkerställa en gemensam, enhetlig och konsekvent tillämpning av unionsrätten.

text: 2. I enlighet med

text: artikel 16.3 i den förordningen

text: ska behöriga myndigheter och finansinstitut med alla tillgängliga medel söka följa dessa riktlinjer och rekommendationer.

text: 3. Eiopa har identifierat ett behov av att ta fram särskild vägledning om säkerhet och företagsstyrning avseende informations- och kommunikationsteknik (IKT) med avseende på artiklarna

text: och

text: i direktiv 2009/138/EG inom ramen för den analys som gjorts som svar på Europeiska kommissionens handlingsplan för fintech (COM(2018) 0109 final), Eiopas plan för enhetlig tillsyn för 2018–2019 och till följd av samspel med flera andra intressenter .

text: 4. Såsom rapporteras i det gemensamma rådgivningsdokumentet från de europeiska tillsynsmyndigheterna till Europeiska kommissionen speglas inte vikten av att sörja för hantering av IKT-risker (inbegripet cyberrisker) på rätt sätt i Eiopas riktlinjer för företagsstyrningssystem. Det saknas vägledning beträffande viktiga inslag som i allmänhet anses ingå i tillbörlig säkerhet och företagsstyrning avseende IKT.

text: 5. En analys av den nuvarande (lagstiftningsmässiga) situationen i EU med avseende på ovannämnda gemensamma rådgivningsdokument visade att en majoritet av EU:s medlemsstater har infört nationella regler för säkerhet och företagsstyrning avseende IKT. Även om kraven liknar varandra är regelverket fortfarande fragmenterat. Dessutom visade en undersökning av gällande tillsynspraxis att det finns stora skillnader i praxis – från ”ingen särskild tillsyn” till ”stark tillsyn” (inbegripet ”skrivbordskontroller” och ”inspektioner på plats”).

text: 6. Vidare ökar komplexiteten inom IKT och förekomsten av IKT-relaterade incidenter (inbegripet cyberincidenter), liksom de negativa effekterna av sådana incidenter för företags operativa verksamhet. Av detta skäl är hantering av IKT-risker och säkerhetsrisker av avgörande betydelse för ett företag för att det ska uppnå sina strategiska, företagsmässiga och operativa mål liksom målen i fråga om anseende.

text: 7. I försäkringssektorn – både i traditionella och innovativa affärsmodeller – ökar dessutom tilltron på IKT för tillhandahållandet av försäkringstjänster och för företagens normala operativa funktionssätt, t.ex. digitalisering av försäkringssektorn (InsurTech, sakernas internet etc.) och sammankoppling via telekommunikationskanaler (internet, mobila och trådlösa anslutningar och ickelokala datornät). Detta gör företags verksamhet sårbar för säkerhetsincident er, däribland cyberattacker, och det är därför viktigt att se till att de är tillräckligt förberedda för att hantera sina IKT-risker och säkerhetsrisker.

text: 8. Genom att erkänna behovet av att företag förbereder sig inför cyberrisker och har en sund cybersäkerhetsram omfattar dessa riktlinjer även cybersäkerhet som en del av företagens åtgärder för informationssäkerhet. Enligt dessa riktlinjer bör cybersäkerhet hanteras som en del av ett företags allmänna hantering av IKT- risker och säkerhetsrisker, men det är viktigt att påpeka att cyberattacker har vissa särskilda egenskaper, enligt nedan, vilka bör beaktas för att se till att informationssäkerhetsåtgärderna minskar cyberriskerna på lämpligt sätt: a) Cyberattacker är ofta svårare att hantera (dvs. att identifiera, säkra, upptäcka, bemöta och helt återhämta sig från) än de flesta andra källor till IKT-risker och säkerhetsrisker. Det är också svårt att fastställa skadornas omfattning. b) Vissa cyberattacker kan göra allmänna åtgärder för riskhantering och driftskontinuitet liksom rutiner för katastrofåterhämtning verkningslösa, eftersom de kan sprida sabotageprogram till reservsystem för att göra dem oåtkomliga eller förstöra säkerhetskopior. c) Tjänsteleverantörer, mäklare, (managing) agents och mellanhänder kan fungera som kanaler för spridning av cyberattacker. Smittsamma tysta hot kan använda sammankopplingsmöjligheter via tredjeparts telekommunikationslänkar för att sprida sig till ett företags IKT-system. Ett sammankopplat företag med liten egen relevans kan därför bli sårbart och en källa till riskspridning som kan leda till systemeffekter. Vid iakttagande av principen om den svagaste länken bör cybersäkerhet inte bara vara en fråga för stora marknadsaktörer eller kritiska tjänsteleverantörer.

text: 9. Dessa riktlinjer syftar till att a) förse marknadsaktörerna med förtydliganden och öppenhet om minsta förväntade information och cybersäkerhetskapacitet, dvs. grundläggande säkerhetsnivå, b) undvika eventuellt regleringsarbitrage, c) främja en enhetlig tillsyn vad gäller förväntningar och tillämpliga processer med avseende på säkerhet och företagsstyrning avseende IKT som ingång till en korrekt hantering av IKT-risker och säkerhetsrisker.

text: Inledning

text: 1. I enlighet med

text: utfärdar Eiopa dessa riktlinjer riktade till tillsynsmyndigheterna för att ge vägledning om hur försäkrings- och återförsäkringsföretag (gemensamt kallade företag) bör tillämpa kraven på företagsstyrning som föreskrivs i direktiv

text: (nedan kallat Solvens II-direktivet) och i kommissionens delegerade förordning

text: (EU) 2015/35

text: (nedan kallad den delegerade förordningen) inom ramen för säkerhet och företagsstyrning avseende informations- och kommunikationsteknik (IKT). I detta syfte bygger riktlinjerna på bestämmelserna om företagsstyrning i artiklarna 41, 44, 46, 47, 132 och 246 i Solvens II-direktivet och artiklarna

text: – 271 och 274 i den delegerade förordningen. Riktlinjerna bygger även på den vägledning som ges av Eiopa i dess Riktlinjer för företagsstyrningssystem (EIOPA- BoS-14/253) och Riktlinjer om uppdragsavtal med molntjänstleverantörer (EIOPA-BoS-19/270) . 2. Riktlinjerna gäller både enskilda företag och i tillämpliga delar på gruppnivå . 3. Behöriga myndigheter bör, när de efterlever eller övervakar efterlevnad av dessa 1 0 riktlinjer, ta hänsyn till proportionalitetsprincipen , som ska säkerställa att åtgärder för företagsstyrning, också de som gäller säkerhet och företagsstyrning avseende IKT, står i proportion till arten, omfattningen och komplexiteten för de motsvarande risker som företag står eller kan ställas inför. 4. Dessa riktlinjer bör läsas tillsammans med och utan att de påverkar tillämpningen av Solvens II-direktivet, den delegerade förordningen, Eiopas riktlinjer för företagsstyrningssystem och Eiopas riktlinjer om uppdragsavtal med molntjänstleverantörer. Riktlinjerna är avsedda att vara teknik- och metodneutrala.

text: Definitioner

text: 5. Termer som inte definieras i dessa riktlinjer har den betydelse som anges i Solvens II-direktivet. 6. I dessa riktlinjer gäller följande definitioner: Tillgångsägare Person eller enhet med ansvar och befogenhet för en informationstillgång och IKT-tillgång. Tillgänglighet Egenskapen att vara tillgänglig och användbar på begäran (aktualitet) av en behörig enhet. Konfidentialitet Egenskap att information varken tillgängliggörs eller lämnas ut till obehöriga personer, enheter, processer eller system. Cyberattack Alla former av hackande som leder till ett offensivt/skadligt försök att förstöra, exponera, ändra, deaktivera, stjäla eller få obehörig åtkomst till eller på ett obehörigt sätt använda en informationstillgång som riktar sig mot IKTsystem. Cybersäkerhet Bevarande av konfidentialitet, integritet och tillgänglighet vad gäller information och/eller informationssystem via ett cybermedium. IKT-tillgång En programvaru- eller maskinvarutillgång som finns i affärsmiljön. IKT-projekt Ett projekt eller en del av ett projekt där IKTsystem och IKT-tjänster ändras, byts ut eller införs. IKT-risk och säkerhetsrisk Som en delkomponent i operativ risk; risk för förlust som beror på brott mot konfidentialiteten, på att integriteten hos system och data inte fungerar, på att system och data är olämpliga eller otillgängliga, eller på oförmåga att ändra på IKT:n inom rimlig tid och till rimliga kostnader när miljöeller verksamhetskraven förändras (dvs. flexibilitet). Detta inkluderar cyberrisker och informationssäkerhetsrisker till följd av otillräckliga eller icke-funktionella interna processer eller externa händelser, däribland cyberattacker eller otillräcklig fysisk säkerhet. Informationssäkerhet Bevarande av konfidentialitet, integritet och tillgänglighet vad gäller information och/eller informationssystem. Därtill kan även andra egenskaper vara aktuella, såsom autenticitet, ansvar, oavvislighet och tillförlitlighet. IKT-tjänster Tjänster som tillhandahålls via IKT-system och tjänsteleverantörer till en eller flera interna eller externa användare. IKT-system Uppsättning program, tjänster, it-tillgångar, IKTtillgångar eller andra komponenter som hanterar information, vilket inkluderar driftsmiljön. Informationstillgång En samling uppgifter, antingen materiella eller immateriella, som är värda att skyddas. Integritet Egenskap för noggrannhet och fullständighet. Operativa incidenter eller En enskild händelse eller en serie säkerhetsincidenter sammanhängande oplanerade händelser som har eller sannolikt kommer att ha en negativ inverkan på IKT-systemens och IKT-tjänsternas integritet, tillgänglighet och konfidentialitet. Tjänsteleverantör En enhet från tredje part som utför en process, tjänst eller verksamhet, eller delar därav, inom ramen för ett uppdragsavtal. Hotstyrd Ett kontrollerat försök att äventyra en enhets penetrationsprovning cyberresiliens genom att simulera taktiker, metoder och rutiner hos verkliga fientliga aktörer. Den grundas på riktade underrättelser om hot och fokuserar på en enhets personal, processer och teknik, med minimal förkunskap om och inverkan på verksamheten. Sårbarhet En svaghet, känslighet eller brist i en tillgång eller kontroll som kan utnyttjas av ett eller flera hot.

text: 7. Dessa riktlinjer ska tillämpas från och med den 1 juli 2021.

text: Riktlinje 1 – Proportionalitet

text: 8. Företag bör tillämpa dessa riktlinjer på ett sätt som står i proportion till arten, omfattningen och komplexiteten av verksamhetens inneboende risker.

text: Riktlinje 2 – IKT i företagsstyrningssystemet

text: 9. Förvaltnings-, lednings- eller tillsynsorganet bör se till att företagsstyrningssystemet, särskilt systemet för riskhantering och internkontroll, hanterar företags IKT-risker och säkerhetsrisker på lämpligt sätt.

text: 10. Förvaltnings-, lednings- eller tillsynsorganet bör se till att företagen har tillräckligt många anställda med lämplig kompetens för att kontinuerligt stödja företagens operativa IKT-behov och hanteringsprocesser för IKT-risker och säkerhetsrisker samt för att säkerställa genomförandet av deras IKT-strategi. Personalen bör regelbundet få lämplig utbildning om IKT-risker och säkerhetsrisker, däribland om informationssäkerhet, enligt vad som anges i riktlinje 13.

text: 11. Förvaltnings-, lednings- eller tillsynsorganet bör se till att de resurser som tilldelas är tillräckliga för att uppfylla kraven ovan.

text: Riktlinje 3 – IKT-strategi

text: 12. Förvaltnings-, lednings- eller tillsynsorganet har ett övergripande ansvar för att fastställa och godkänna företagens skriftliga IKT-strategi som en del av och i överensstämmelse med deras övergripande affärsstrategi, liksom för att utöva tillsyn över dess kommunikation och genomförande.

text: 13. Av IKT-strategin bör det åtminstone framgå a) hur företagens IKT bör utvecklas för att effektivt stödja och genomföra deras affärsstrategi, inbegripet utveckling av den organisatoriska strukturen, affärsmodeller, IKT-system och nyckelberoenden gentemot tjänsteleverantörer, b) hur IKT-arkitekturen utvecklas, inbegripet beroenden gentemot tjänsteleverantörer, c) tydliga informationssäkerhetsmål med fokus på IKT-system, IKT-tjänster, personal och processer.

text: 14. Företag bör se till att IKT-strategin genomförs, antas och kommuniceras till all den personal och alla de tjänsteleverantörer som berörs, enligt vad som är tillämpligt och relevant, och i rätt tid.

text: 15. Företag bör införa en process för att övervaka och mäta effektiviteten i genomförandet av IKT-strategin. Denna process bör granskas och uppdateras regelbundet.

text: Riktlinje 4 – IKT-risker och säkerhetsrisker i riskhanteringssystemet

text: 16. Förvaltnings-, lednings- eller tillsynsorganet har det övergripande ansvaret för att införa ett effektivt system för hantering av IKT-risker och säkerhetsrisker som en del av företagets allmänna riskhanteringssystem. Detta inbegriper fastställande av risktolerans för dessa risker, i enlighet med företagets riskstrategi, och en regelbunden skriftlig rapport om resultaten av riskhanteringsprocessen riktad till förvaltnings-, lednings- eller tillsynsorganet.

text: 17. När det gäller IKT-risker och säkerhetsrisker bör företag (vid fastställande av IKTskyddskraven som beskrivs nedan), som en del av det allmänna riskhanteringssystemet, beakta åtminstone följande: a) Företag bör göra och regelbundet uppdatera en kartläggning av sina affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar) för att identifiera deras betydelse och ömsesidiga beroendeförhållanden beträffande IKT-risker och säkerhetsrisker. b) Företag bör identifiera och mäta alla relevanta IKT-risker och säkerhetsrisker som de exponeras för och klassificera identifierade affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar) utifrån kritikalitet. Företag bör även bedöma skyddskraven för, åtminstone, konfidentialitet, integritet och tillgänglighet avseende dessa affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKTtillgångar). Tillgångsägare, som ansvarar för klassificeringen av tillgångarna, bör identifieras. c) De metoder som används för att fastställa kritikaliteten och den erfordrade skyddsnivån, särskilt vad gäller skyddsmålen för integritet, tillgänglighet och konfidentialitet, bör säkerställa att de resulterande skyddskraven är konsekventa och heltäckande. d) Mätningen av IKT-risker och säkerhetsrisker bör göras på grundval av de definierade kriterierna för IKT-risker och säkerhetsrisker, med hänsyn till kritikaliteten i affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar), omfattningen av kända sårbarheter och tidigare incidenter som påverkat företaget. e) Bedömningen av IKT-risker och säkerhetsrisker bör göras och dokumenteras regelbundet. Denna bedömning bör också göras före större förändringar i infrastruktur, processer eller rutiner, vilket påverkar affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar). f) Företag bör – med utgångspunkt i riskbedömningen – åtminstone definiera och införa åtgärder för att hantera identifierade IKT-risker och säkerhetsrisker samt skydda informationstillgångar i enlighet med deras klassificering. Detta bör innefatta fastställande av åtgärder för att hantera kvarstående risker.

text: 18. Resultaten av hanteringsprocessen för IKT-risker och säkerhetsrisker bör godkännas av förvaltnings-, lednings- eller tillsynsorganet och inkluderas i processen för operativ riskhantering som en del av företagens allmänna riskhantering.

text: Riktlinje 5 – Revision

text: 19. Företags styrning, system och processer för IKT-risker och säkerhetsrisker bör 1 1 genomgå periodiska revisioner, i linje med företagens revisionsplan , av revisorer med tillräcklig kunskap, kompetens och expertis inom IKT-risker och säkerhetsrisker för att kunna lämna en oberoende försäkran om deras effektivitet till förvaltnings-, lednings- eller tillsynsorganet. Intervall och fokus för sådana revisioner bör stå i proportion till relevanta IKT-risker och säkerhetsrisker.

text: Riktlinje 6 – Policy och åtgärder för informationssäkerhet

text: 20. Företag bör fastställa en skriftlig informationssäkerhetspolicy som godkänts av förvaltnings-, lednings- eller tillsynsorganet och där överordnade principer och regler definieras för att skydda konfidentialitet, integritet och tillgänglighet vad gäller företagens information, för att stödja genomförandet av IKT-strategin.

text: 21. Policyn bör innehålla en beskrivning av informationssäkerhetsledningens viktigaste roller och ansvarsområden och den bör fastställa krav för personal, processer och teknik i förhållande till informationssäkerhet, och samtidigt tillstå att personal på alla nivåer ansvarar för att säkerställa företagens informationssäkerhet.

text: 22. Policyn bör spridas inom företaget och bör gälla all personal. När så är tillämpligt och relevant bör informationssäkerhetspolicyn eller delar av den också vidarebefordras till och gälla för tjänsteleverantörer.

text: 23. På grundval av policyn bör företag utarbeta och införa mer specifika rutiner och åtgärder för informationssäkerhet, för att bland annat minska de IKT-risker och säkerhetsrisker som företagen exponeras för. Dessa rutiner och informationssäkerhetsåtgärder bör inbegripa alla de processer som beskrivs i dessa riktlinjer, enligt vad som är tillämpligt.

text: Riktlinje 7 – Informationssäkerhetsfunktion

text: 24. Företag bör, inom ramen för sina företagsstyrningssystem och i enlighet med proportionalitetsprincipen, inrätta en informationssäkerhetsfunktion vars ansvarsområden tilldelas en särskild person. Företagen bör säkerställa informationssäkerhetsfunktionens oberoende och objektivitet genom att på lämpligt sätt åtskilja den från processer för IKT-utveckling och IKT-verksamhet. Funktionen bör rapportera till förvaltnings-, lednings- eller tillsynsorganet.

text: 25. Informationssäkerhetsfunktionens uppgifter är i normalfallet att a) stödja förvaltnings-, lednings- eller tillsynsorganet i samband med fastställande och upprätthållande av informationssäkerhetspolicyn för företag och kontrollera dess införande, b) regelbundet och på ad hoc-basis rapportera till och vägleda förvaltnings-, lednings- eller tillsynsorganet om informationssäkerhetens status och utveckling, c) övervaka och granska genomförandet av informationssäkerhetsåtgärderna, d) se till att informationssäkerhetskraven följs vid användning av tjänsteleverantörer, e) se till att alla anställda och tjänsteleverantörer med åtkomst till information och system har tillräcklig kännedom om informationssäkerhetspolicyn, t.ex. genom utbildning i och informationsmöten om informationssäkerhet, f) samordna granskningar av operativa incidenter eller säkerhetsincidenter och rapportera relevanta granskningar till förvaltnings-, lednings- eller tillsynsorganet.

text: Riktlinje 8 – Logisk säkerhet

text: 26. Företag bör definiera, dokumentera och införa rutiner för logisk åtkomstkontroll eller logisk säkerhet (identitets- och åtkomsthantering) i linje med skyddskraven, vilka definieras i riktlinje 4. Dessa rutiner bör införas, verkställas, övervakas och periodiskt granskas, och bör även inbegripa kontroller för övervakning av anomalier. Rutinerna bör åtminstone införa följande element, där termen ”användare” också omfattar tekniska användare: a) Behovsenlig behörighet, princip för begränsad behörighet och principen om åtskillnad mellan funktioner: Företag bör hantera åtkomsträttigheter, däribland fjärråtkomst, till informationstillgångar och deras stödsystem utifrån behovsenlig behörighet. Användare bör beviljas minimala åtkomsträttigheter som är absolut nödvändiga för att utföra arbetsuppgifterna (princip för begränsad behörighet), det vill säga för att förhindra ogrundad åtkomst till data eller att kombinationer av åtkomsträttigheter beviljas som kan användas för att kringgå kontroller (principen om åtskillnad mellan funktioner). b) Användaransvar: Företag bör begränsa, så långt det är möjligt, användning av allmänna och delade användarkonton och se till att användarna alltid kan identifieras och spåras tillbaka till en ansvarig fysisk person eller en godkänd uppgift för de åtgärder som vidtas i IKT-systemen. c) Privilegierade åtkomsträttigheter: Företag bör införa stränga kontroller av privilegierad åtkomst till system genom att strikt begränsa och noggrant övervaka konton med avancerad systemåtkomst (t.ex. administratörskonton). d) Fjärråtkomst: För att säkerställa säker kommunikation och minska riskerna bör fjärradministratörsåtkomst till kritiska IKT-system endast beviljas utifrån behovsenlig behörighet och förutsatt att starka autentiseringslösningar används. e) Loggning av användaraktivitet: Användares aktiviteter bör loggas och övervakas på ett riskproportionerligt sätt, åtminstone vad gäller privilegierade användares aktiviteter. Åtkomstloggar bör skyddas mot obehörig ändring eller radering och lagras under en period som motsvarar kritikaliteten i de identifierade affärsfunktionerna, stödprocesserna och informationstillgångarna, utan att det påverkar lagringskraven i unionslagstiftningen och den nationella lagstiftningen. Företag bör använda denna information för att underlätta identifiering och utredning av avvikande aktiviteter som har upptäckts i samband med tillhandahållandet av tjänsterna. f) Åtkomsthantering: Åtkomsträttigheter bör beviljas, tas bort och ändras i rätt tid, enligt i förväg fastställda rutiner för godkännande där berörd ägare till informationstillgången är involverad. Om åtkomst inte längre behövs bör åtkomsträttigheterna återkallas omedelbart. g) Åtkomstbedömning: Åtkomsträttigheter bör ses över periodiskt för att säkerställa att användare inte har för omfattande rättigheter och att åtkomsträttigheter upphävs/tas bort om de inte längre behövs. h) Beviljande, ändring och återkallelse av åtkomsträttigheter bör dokumenteras på ett sätt som underlättar förståelse och analys. i) Autentiseringsmetoder: Företag bör tillämpa autentiseringsmetoder som är tillräckligt tillförlitliga för att på ett adekvat och effektivt sätt säkerställa att policyer och rutiner för åtkomstkontroll följs. Autentiseringsmetoderna bör stå i proportion till kritikaliteten i de IKT-system, den information eller den process som åtkomsten avser. Detta bör åtminstone innebära starka lösenord eller starkare autentiseringsmetoder (såsom tvåfaktorsautentisering) med utgångspunkt i relevant risk.

text: 27. Elektronisk åtkomst genom program till data och IKT-system bör begränsas till vad som är absolut nödvändigt för att tillhandahålla tjänsten i fråga.

text: Riktlinje 9 – Fysisk säkerhet

text: 28. Företags fysiska säkerhetsåtgärder (t.ex. skydd mot strömavbrott, brand, vatten och obehörig fysisk åtkomst) bör definieras, dokumenteras och genomföras för att skydda lokaler, datacentraler och känsliga områden från obehörigt tillträde och från miljöfaror.

text: 29. Fysisk åtkomst till IKT-system bör endast beviljas behöriga personer. Behörighet bör tilldelas i enlighet med enskilda personers arbetsuppgifter och ansvarsområden och bör begränsas till de som har lämplig utbildning och som övervakas på ett lämpligt sätt. Den fysiska åtkomsten bör ses över regelbundet för att se till att onödiga åtkomsträttigheter skyndsamt upphävs/tas bort.

text: 30. Lämpliga åtgärder för att skydda mot miljöfaror bör stå i proportion till byggnadernas betydelse och kritikaliteten i verksamheterna eller IKT-systemen i dessa byggnader.

text: Riktlinje 10 – Säkerhet för IKT-verksamhet

text: 31. Företag bör införa rutiner för att säkerställa konfidentialitet, integritet och tillgänglighet vad gäller IKT-system och IKT-tjänster för att minimera den inverkan som säkerhetsfrågor har på tillhandahållandet av IKT-tjänster. Dessa rutiner bör lämpligen inkludera följande åtgärder: a) Identifiering av potentiella sårbarheter som bör bedömas och avhjälpas genom att säkerställa att IKT-systemen är uppdaterade, inbegripet den programvara som företag tillhandahåller sina interna och externa användare, genom att utarbeta kritiska säkerhetsfixar, inbegripet uppdaterade antivirusdefinitioner, eller genom att införa kompenserande kontroller. b) Införande av säkra grundkonfigurationer för alla kritiska komponenter såsom operativsystem, databaser, routrar eller växlar. c) Införande av nätsegmentering, förebyggande system för dataläckage och kryptering av nätverkstrafik (i enlighet med informationstillgångens klassificering). d) Införande av skydd för ändpunkter, däribland servrar, arbetsstationer och mobila enheter. Ett företag bör bedöma huruvida en ändpunkt uppfyller de säkerhetsstandarder som företaget har definierat, innan den ges åtkomst till företagsnätet. e) Säkerställande av att integritetskontrollerande mekanismer har införts för att verifiera IKT-systemens integritet. f) Kryptering av vilande och transiterande data (i enlighet med informationstillgångens klassificering).

text: Riktlinje 11 – Säkerhetsövervakning

text: 32. Företag bör utarbeta och införa rutiner och processer för att kontinuerligt övervaka de aktiviteter som påverkar deras informationssäkerhet. Övervakningen bör åtminstone omfatta a) interna och externa faktorer, inklusive affärsfunktioner och administrativa IKT-funktioner, b) transaktioner från tjänsteleverantörer, andra enheter och interna användare, c) potentiella interna och externa hot.

text: 33. På grundval av övervakningen bör företagen sätta in lämplig och effektiv kapacitet för att upptäcka, rapportera och svara på avvikande aktiviteter och hot, såsom fysiska eller logiska intrång, brott mot informationstillgångarnas konfidentialitet, integritet och tillgänglighet, skadlig kod och allmänt kända sårbarheter hos program- och maskinvara.

text: 34. Rapporteringen från säkerhetsövervakningen bör hjälpa företagen att förstå arten av både operativa incidenter och säkerhetsincidenter, identifiera trender, stödja företagens interna utredningar och göra det möjligt för dem att fatta lämpliga beslut.

text: Riktlinje 12 – Granskningar, bedömning och testning av informationssäkerhet

text: 35. Företag bör utföra en rad olika granskningar, bedömningar och testningar av informationssäkerheten för att säkerställa en effektiv identifiering av sårbarheter i sina IKT-system och IKT-tjänster. Företag kan till exempel utföra gapanalyser gentemot informationssäkerhetsstandarder, granskningar av överensstämmelse, interna och externa revisioner av informationssystemen eller fysiska säkerhetsgranskningar.

text: 36. Företag bör fastställa och införa en testningsram för informationssäkerhet som validerar tillförlitligheten och effektiviteten i informationssäkerhetsåtgärderna och säkerställa att ramen tar hänsyn till de hot och sårbarheter som identifierats genom hotövervakning och bedömningsprocessen för IKT-risker och säkerhetsrisker.

text: 37. Testningen bör genomföras på ett tryggt och säkert sätt och av oberoende testare med tillräcklig kunskap, kompetens och expertis inom testning av informationssäkerhetsåtgärder.

text: 38. Företag bör genomföra tester regelbundet. Testningens omfattning, frekvens och metod (t.ex. penetrationsprovning, inbegripet hotstyrd penetrationsprovning) bör stå i proportion till identifierad risknivå. Testning av kritiska IKT-system och sårbarhetsavsökningar bör göras årligen.

text: 39. Företag bör se till att tester av säkerhetsåtgärder utförs vid ändringar i infrastruktur, processer eller rutiner och om ändringar införs till följd av betydande operativa incidenter eller säkerhetsincidenter eller på grund av lansering av nya eller väsentligt modifierade kritiska program. Företag bör kontrollera och utvärdera resultaten av säkerhetstesterna och uppdatera sina säkerhetsåtgärder i enlighet därmed, utan onödigt dröjsmål, vad gäller kritiska IKT-system.

text: Riktlinje 13 – Utbildning och medvetenhet avseende informationssäkerhet

text: 40. Företag bör införa utbildningsprogram om informationssäkerhet för all personal, däribland förvaltnings-, lednings- eller tillsynsorganet, för att säkerställa att de anställda är utbildade för att utföra sina arbetsuppgifter och ansvarsområden, i syfte att minska antalet fel som beror på den mänskliga faktorn, stölder, bedrägerier, felaktig användning och förluster. Företag bör se till att all personal regelbundet erbjuds utbildning genom utbildningsprogrammen.

text: 41. Företag bör inrätta och genomföra periodiska säkerhetsmedvetandeprogram för att utbilda sin personal, däribland förvaltnings-, lednings- eller tillsynsorganet, om hur informationssäkerhetsrelaterade risker ska hanteras.

text: Riktlinje 14 – Hantering av IKT-verksamhet

text: 42. Företag bör hantera sin IKT-verksamhet utifrån sin IKT-strategi. Det bör definieras i dokument hur företag ska driva, övervaka och kontrollera IKT-systemen och IKTtjänsterna, inbegripet dokumentering av kritiska IKT-processer, IKT-rutiner och IKT-verksamheter.

text: 43. Företag bör införa loggnings- och övervakningsrutiner för kritiska IKT-verksamheter för att möjliggöra upptäckt, analys och avhjälpande av fel.

text: 44. Företag bör ha en uppdaterad förteckning över sina IKT-tillgångar. Förteckningen över IKT-tillgångar bör vara tillräckligt detaljerad för att möjliggöra snabb identifiering av en IKT-tillgång och dess lokalisering, säkerhetsklassificering och äganderätt.

text: 45. Företag bör övervaka och hantera livscykeln för IKT-tillgångar för att säkerställa att de även fortsättningsvis uppfyller och stöder verksamhetskraven och riskhanteringskraven. Företag bör kontrollera att IKT-tillgångarna stöds av deras leverantörer eller interna utvecklare och att alla relevanta fixar och uppgraderingar tillämpas med utgångspunkt i en dokumenterad process. De risker som härrör från föråldrade eller icke-stödda IKT-tillgångar bör bedömas och genomgå riskreducering. Avvecklade IKT-tillgångar bör bearbetas och bortskaffas på ett säkert sätt.

text: 46. Företag bör införa planerings- och övervakningsprocesser för prestanda och kapacitet för att i tid förebygga, upptäcka och bemöta viktiga prestandaproblem i IKT-system och brister i IKT-kapacitet.

text: 47. Företag bör definiera och införa rutiner för säkerhetskopiering och återställande av data och IKT-system för att säkerställa att de kan återställas efter behov. Omfattningen av och intervallen för säkerhetskopiering bör fastställas i linje med återhämtningskraven och kritikaliteten i data och IKT-system samt utvärderas i enlighet med utförd riskbedömning. Säkerhetskopierings- och återställanderutiner bör kontrolleras regelbundet.

text: 48. Företag bör se till att säkerhetskopierade data och IKT-system lagras på en eller flera platser utanför det primära verksamhetsstället. Dessa platser ska vara säkra och ligga tillräckligt långt från det primära verksamhetsstället för att inte exponeras för samma risker.

text: Riktlinje 15 – Hantering av IKT-incidenter och IKT-problem

text: 49. Företag bör utarbeta och införa en process för hantering av incidenter och problem för att övervaka och logga operativa incidenter och säkerhetsincidenter och göra det möjligt för företagen att fortsätta eller återuppta kritiska affärsfunktioner och affärsprocesser vid störningar.

text: 50. Företag bör fastställa lämpliga kriterier och tröskelvärden för klassificering av händelser som operativa incidenter eller säkerhetsincidenter, liksom "earlywarning"-indikatorer som bör fungera som en varning för att möjliggöra tidig upptäckt av sådana incidenter.

text: 51. För att minimera effekterna av negativa händelser och möjliggöra ett snabbt återställande bör företag utarbeta lämpliga processer och organisatoriska strukturer för att säkerställa en konsekvent och integrerad övervakning, hantering och uppföljning av operativa incidenter och säkerhetsincidenter, för att se till att de bakomliggande orsakerna identifieras och hanteras och att korrigeringsåtgärder vidtas för att förhindra att sådana incidenter upprepas. Processen för hantering av incidenter och problem bör åtminstone innehålla följande: a) Rutiner för identifiering, spårning, loggning, kategorisering och klas sificering av incidenter i enlighet med en prioritetsordning som definierats av företaget och som utgår från verksamhetens kritikalitet och serviceavtal. b) Roller och ansvarsområden för olika incidentscenarier (t.ex. fel, funktionsstörningar och cyberattacker). c) Ett problemhanteringsförfarande för identifiering, analys och åtgärdande av den bakomliggande orsaken till en eller flera incidenter. Företag bör analysera de operativa incidenter eller säkerhetsincidenter som har identifierats eller förekommit inom och/eller utanför organisationen samt ta hänsyn till viktiga erfarenheter från dessa analyser och uppdatera säkerhetsåtgärderna därefter. d) Effektiva interna kommunikationsplaner, däribland rutiner för incidentrapportering och eskalering – vilket även omfattar säkerhetsrelaterade kundreklamationer – för att säkerställa att i. incidenter med potentiellt stora negativa effekter på kritiska IKT-system och IKT-tjänster rapporteras till relevant verkställande ledning, ii. förvaltnings-, lednings- eller tillsynsorganet underrättas på ad hoc-basis vid väsentliga incidenter och åtminstone informeras om effekterna, hanteringen och de ytterligare kontroller som ska definieras till följd av incidenterna. e) Rutiner för incidenthantering i syfte att mildra effekterna förknippade med incidenterna och se till att tjänsten blir funktionell och säker i tid. f) Specifika externa kommunikationsplaner för kritiska affärsfunktioner och affärsprocesser för att i. samarbeta med relevanta intressenter för effektiv hantering av incidenten och effektiv återhämtning från densamma, ii. i tid tillhandahålla information, inbegripet incidentrapportering, till externa parter (t.ex. kunder, andra marknadsaktörer, relevanta [tillsyns]myndigheter, enligt vad som är lämpligt och i linje med tillämpliga bestämmelser).

text: Riktlinje 16 – IKT-projektledning

text: 52. Företag bör genomföra en IKT-projektmetod (inbegripet oberoende överväganden avseende säkerhetskrav) med en lämplig styrningsprocess och ett lämpligt ledarskap för projektgenomförande, för att på ett effektivt sätt stödja genomförandet av IKT-strategin genom IKT-projekt.

text: 53. Företag bör på ett lämpligt sätt övervaka och minska de risker som härrör från portföljen av IKT-projekt, också med hänsyn till de risker som kan följa av inbördes beroenden mellan olika projekt och från flera projekts beroenden av samma resurser och/eller sakkunskap.

text: Riktlinje 17 – Anskaffning och utveckling av IKT-system

text: 54. Företag bör utarbeta och införa en process som styr anskaffning, utveckling och underhåll av IKT-system, för att säkerställa att konfidentialiteten, integriteten och tillgängligheten vad gäller de data som ska behandlas skyddas på ett heltäckande sätt och de definierade skyddskraven uppfylls. Denna process bör utformas med hjälp av en riskbaserad metod.

text: 55. Företag bör se till att funktionella och icke-funktionella krav (inbegripet informationssäkerhetskrav) liksom tekniska mål är tydligt definierade innan systemanskaffning eller utvecklingsaktiviteter genomförs.

text: 56. Företag bör se till att åtgärder har vidtagits för att förhindra oavsiktlig ändring eller avsiktlig manipulation av IKT-systemen under utveckling.

text: 57. Företag bör ha infört metoder för testning och godkännande av IKT-system, IKTtjänster och åtgärder för informationssäkerhet.

text: 58. Företag bör på lämpligt sätt testa IKT-system, IKT-tjänster och åtgärder för informationssäkerhet för att identifiera eventuella svagheter, överträdelser och incidenter vad gäller säkerheten.

text: 59. Företag bör säkerställa åtskillnad av produktionsmiljöer från utvecklings - och testningsmiljöer och andra icke-produktionsmiljöer.

text: 60. Företag bör vidta åtgärder för att skydda källkodens integritet (i tillämpliga fall) i IKT-system. De ska även dokumentera utveckling, införande, drift och/eller konfiguration av IKT-systemen på ett heltäckande sätt för att reducera onödigt beroende av områdesexperter.

text: 61. Företags processer för anskaffning och utveckling av IKT-system bör även tillämpas på IKT-system som utvecklas eller hanteras av affärsfunktionens slutanvändare utanför IKT-organisationen (t.ex. verksamhetsledda program eller datorprogram för slutanvändare) med hjälp av en riskbaserad metod. Företagen bör föra register över dessa program som stöder kritiska affärsfunktioner eller affärsprocesser.

text: Riktlinje 18 – IKT-ändringshantering

text: 62. Företag bör ta fram och införa en process för IKT-ändringshantering för att säkerställa att alla ändringar i IKT-systemen registreras, bedöms, testas, godkänns, auktoriseras och genomförs på ett kontrollerat sätt. Ändringar i samband med brådskande eller akuta IKT-ändringar bör kunna spåras och meddelas i efterhand till relevant tillgångsägare för efterhandsanalys.

text: 63. Företag bör avgöra huruvida ändringar i den befintliga driftsmiljön påverkar de befintliga säkerhetsåtgärderna eller kräver antagande av ytterligare åtgärder för att minska riskerna i fråga. Dessa ändringar bör överensstämma med företagens formella process för ändringshantering.

text: Riktlinje 19 – Hantering av driftskontinuitet

text: 64. Som en del av företagens allmänna policy för driftskontinuitet ansvarar förvaltnings- , lednings- eller tillsynsorganet för att fastställa och godkänna företagens policy för IKT-kontinuitet. Policyn för IKT-kontinuitet bör spridas på lämpligt sätt inom företagen och bör gälla all relevant personal och – om så är tillämpligt – tjänsteleverantörerna.

text: Riktlinje 20 – Verksamhetsanalys

text: 65. Som en del av en sund hantering av driftskontinuiteten bör företag genomföra en verksamhetsanalys för att bedöma sin exponering för allvarliga störningar i verksamheten och deras möjliga effekter – kvantitativt och kvalitativt – med hjälp av interna och/eller externa data och scenarioanalys. Verksamhetsanalysen bör även beakta kritikaliteten i identifierade och klassificerade affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar) och deras ömsesidiga beroendeförhållanden i enlighet med riktlinje 4.

text: 66. Företag bör se till att deras IKT-system och IKT-tjänster är utformade och anpassade efter verksamhetsanalysen, exempelvis med redundans av vissa kritiska komponenter för att förhindra störningar till följd av händelser som påverkar dessa komponenter.

text: Riktlinje 21 – Kontinuitetsplanering

text: 67. Företags övergripande kontinuitetsplaner bör ta hänsyn till de väsentliga risker som skulle kunna ha en negativ inverkan på IKT-system och IKT-tjänster. Planerna bör stödja mål för att skydda och – vid behov – återupprätta konfidentialiteten, integriteten och tillgängligheten i företagens affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar). Under framtagandet av dessa planer bör företag samordna med relevanta interna och externa intressenter efter behov.

text: 68. Företag bör införa kontinuitetsplaner för att säkerställa att de kan vidta lämpliga åtgärder vid eventuella felscenarier inom ett mål för återställningstid (den maximala tid inom vilken ett system eller en process ska återställas efter en incident) och ett mål för återställning av data (den maximala period under vilken data kan förloras vid en incident på en fördefinierad servicenivå).

text: 69. Företag bör beakta flera olika scenarier i sina kontinuitetsplaner, däribland extrema men möjliga scenarier och scenarier med cyberattacker, och bedöma potentiella effekter av sådana scenarier. Utifrån dessa scenarier bör företag beskriva hur kontinuiteten i IKT-system och IKT-tjänster samt företags informationssäkerhet ska säkerställas.

text: Riktlinje 22 – Hanterings- och återställningsplaner

text: 70. Utifrån verksamhetsanalysen och möjliga scenarier bör företag utarbeta hanteringsoch återställningsplaner. I dessa planer bör det anges vilka förhållanden som kan föranleda aktivering av planen och vilka åtgärder som ska vidtas för att säkerställa integritet, tillgänglighet, kontinuitet och återställande avseende åtminstone företags kritiska IKT-system, IKT-tjänster och data. Hanterings- och återställningsplanerna bör syfta till att uppfylla återställningsmålen för företagens verksamhet.

text: 71. Hanterings- och återställningsplanerna bör ta hänsyn till både kortsiktiga och – vid behov – långsiktiga återställningsmöjligheter. Planerna bör åtminstone a) fokusera på att återställa driften av viktiga IKT-tjänster, affärsfunktioner, stödprocesser, informationstillgångar och deras ömsesidiga beroendeförhållanden för att undvika att företagets verksamhet påverkas negativt, b) dokumenteras och tillgängliggöras för affärs- och stödenheter samt vara lättillgängliga i akuta situationer, och de ska innehålla tydliga definitioner av roller och ansvarsområden, c) uppdateras löpande enligt erfarenheter från incidenter, tester, nyligen identifierade risker och hot samt ändrade mål och prioriteringar för återställande.

text: 72. Planerna bör även beakta alternativa möjligheter i situationer där återställande på kort sikt kanske inte är möjligt på grund av kostnader, risker, logistik eller oförutsedda omständigheter.

text: 73. Som en del av hanterings- och återställningsplanerna bör företag beakta och införa kontinuitetsåtgärder för att minska riskerna för funktionsavbrott hos tjänsteleverantörerna, vilka är av avgörande betydelse för företags kontinuitet med avseende på IKT-tjänster (i linje med bestämmelserna i Eiopas riktlinjer för företagsstyrningssystem och riktlinjer om uppdragsavtal med molntjänstleverantörer).

text: Riktlinje 23 – Testning av planer

text: 74. Företag bör testa sina kontinuitetsplaner och se till att driften av deras kritiska affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar) liksom IKT-tillgångar och deras ömsesidiga beroendeförhållanden (också de som tillhandahålls av tjänsteleverantörer) testas regelbundet utifrån företagens riskprofil.

text: 75. Kontinuitetsplaner bör uppdateras regelbundet på grundval av testresultaten, aktuella underrättelser om hot och erfarenheter från tidigare händelser. Alla relevanta ändringar av återställningsmål (däribland mål för återställningstid och mål för återställning av data) och/eller ändringar i affärsprocesser och affärsverksamheter, affärsfunktioner, roller och tillgångar (t.ex. informationstillgångar och IKT-tillgångar) bör också inkluderas.

text: 76. Testning av kontinuitetsplanerna bör visa att de kan upprätthålla verksamhetens bärkraft till dess att kritiska verksamheter återupprättas enligt en fördefinierad servicenivå eller inverkanstolerans.

text: 77. Testresultaten bör dokumenteras och eventuella brister som identifierats bör analyseras, hanteras och rapporteras till förvaltnings-, lednings- eller tillsynsorganet.

text: Riktlinje 24 – Kriskommunikation

text: 78. I händelse av störningar eller akuta situationer, och under genomförandet av kontinuitetsplanerna, bör företag se till att de har infört effektiva kriskommunikationsåtgärder så att alla relevanta interna och externa intressenter, inklusive relevanta tillsynsmyndigheter – när så föreskrivs i nationell lagstiftning – liksom relevanta tjänsteleverantörer, informeras i tid och på ett lämpligt sätt.

text: Riktlinje 25 – Utkontraktering av IKT-tjänster och IKT-system

text: 79. När IKT-tjänster och IKT-system utkontrakteras bör företag se till att relevanta krav för sådana tjänster och system uppfylls, utan att det påverkar tillämpningen av Eiopas riktlinjer om uppdragsavtal med molntjänstleverantörer.

text: 80. I det fall kritiska eller viktiga funktioner utkontrakteras bör företag se till att tjänsteleverantörens avtalsförpliktelser (t.ex. kontrakt, servicenivåavtal och bestämmelser om uppsägning i relevanta kontrakt) omfattar åtminstone följande: a) Lämpliga och proportionerliga mål och åtgärder för informationssäkerhet, däribland krav såsom minimikrav för informationssäkerhet, specifikationer av företags datalivscykel, revisions- och åtkomsträttigheter och krav beträffande placering av datacentraler samt datakrypteringskrav, nätverkssäkerhet och processer för säkerhetsövervakning. b) Servicenivåavtal för att säkerställa IKT-tjänsternas och IKT-systemens kontinuitet och prestandamål under normala omständigheter liksom under omständigheter som anges i beredskapsplaner i händelse av avbrott. c) Hanteringsrutiner för operativa incidenter och säkerhetsincidenter, bl.a. eskalering och rapportering.

text: 81. Företag bör övervaka och försäkra sig om dessa tjänsteleverantörers efterlevnadsnivå med avseende på deras mål och åtgärder för säkerhet samt prestandamålen.

text: Regler för efterlevnad och rapportering

text: 82. Detta dokument innehåller riktlinjer som har utfärdats enligt

text: . I enlighet med

text: artikel 16.3 i den förordningen

text: ska behöriga myndigheter och företag med alla tillgängliga medel söka följa riktlinjer och rekommendationer.

text: 83. De behöriga myndigheter som följer eller har för avsikt att följa dessa riktlinjer bör införliva dem i sina ramar för regler och tillsyn på ett lämpligt sätt.

text: 84. De behöriga myndigheterna ska, inom två månader från det att de översatta versionerna har offentliggjorts, bekräfta till Eiopa om huruvida de följer eller avser att följa dessa riktlinjer, och ange skälen till att de eventuellt inte följer dem.

text: 85. Om Eiopa inte har fått något svar inom denna tidsfrist kommer behöriga myndigheter att anses inte följa rapporteringen och rapporteras i enlighet med detta.

text: Slutbestämmelse om översyn

text: 86. Dessa riktlinjer ska vara föremål för översyn av Eiopa.


text: Regulation (EU) No 1094/2010

text: ,of the European Parliament and of the Council of 24 November 2010 establishing a European Superv isory Authority (European Insurance and Occupational Pensions Authority), amending Decision No

text: and repealing

text: Commission Decision 2009/79/EC

text: (EIOPA Regulation) (OJ L 331, 15.12.2010, p. 48–83) Directive

text: of the European Parliament and of the Council of 25 November 2009 on the taking up and pursuit of the business of Insurance and Reinsurance (Solvency II) (OJ L 335, 17.12.2009, p. 1-155) 3 Commission Delegated

text: Regulation (EU) 2015/35 of 10 October 2014

text: supplementing Directive

text: (OJ L 12, 17.01.2015, p. 1-797) 4 Commission Implementing

text: Regulation (EU) 2015/498 of 24 March 2015

text: laying down implementing technical standards with regard to the supervisory approval procedure to use undertaking-specific parameters in accordance with Directive

text: of the European Parliament and of the Council (OJ L 79, 25.3.2015, p. 8-11)

text: Page 2/5

text: Page 3/5

text: Page 4/5

text: Page 5/5

publisher: Europeiska försäkrings- och tjänstepensionsmyndigheten

sprak: en

title: Guidelines on undertaking-specific parameters.pdf

serie: riktlinjer

text: This is only test GUIDELINES

type: rubrik

text: GUIDELINES

text: on undertaking-specific parameters

text: EIOPA-BoS-25/249 Adopted on 25 June 2025

text: GUIDELINES ON UNDERTAKING-SPECIFIC PARAMETERS

text: INTRODUCTION

text: 1. In accordance with

text: Article 16 of Regulation (EU) No 1094/2010

text: (EIOPA Regulation) , EIOPA issues Guidelines on undertaking-specific parameters.

type: stycke

text: 2. The Guidelines relate to Articles

text: of Directive 2009/138/EC (Solvency II) as well as to Articles 218, 219, 220, 338 and 356 of Commission Delegated Regulation (EU) 3 4 2015/35 and Commission Implementing

text: Regulation (EU) 2015/498

text: 3. These Guidelines are addressed to the supervisory authorities under Solvency II.

text: 4. The Guidelines 1 to 9 are applicable for both individual insurance and reinsurance undertakings (collectively “undertakings”) as well as for the group Solvency Capital Requirement calculation under the consolidation method or under a combination of methods on the consolidated data calculated in accordance with

text: Article 335(1)

text: (a)(b) and (c) of Commission Delegated

text: Regulation (EU) 2015/35

text: 5. If not defined in these Guidelines, the terms have the meaning defined in the legal acts referred to in the introduction.

text: 6. The Guidelines repeal and replace the Guidelines on undertaking-specific parameters (EIOPA-BoS- 14-178).

text: GUIDELINE 1 – ROLE OF EXPERT JUDGEMENT

text: 7. For the purpose of determining the undertaking-specific parameters, undertakings should be allowed to use assumptions based on expert judgement only as an adjustment to existing data and not as a substitute for missing data.

text: 8. Undertakings should only use assumptions based on expert judgement if the resulting adjusted data meet the criteria set out in Article 219 of Commission Delegated

text: Regulation (EU) 2015/35

text: to a higher degree and should demonstrate such compliance upon request of the supervisory authorities.

text: GUIDELINE 2 – ADJUSTMENTS TO INCREASE THE LEVEL OF APPROPRIATENESS IN DATA

text: 9. Subject to Guideline 1, when determining undertaking-specific parameters, undertakings should adjust historical data as necessary to eliminate the effect of risks that are irrelevant at least over the next twelve months.

text: GUIDELINE 3 – ADJUSTMENT OF HISTORICAL DATA TO ELIMINATE THE EFFECT OF CATASTROPHE EVENTS AND TO REFLECT THE CURRENT REINSURANCE ARRANGEMENTS

text: 10. Where relevant, undertakings should establish internal policies and procedures: (a) to identify losses from catastrophe events; (b) to adjust data in accordance with Annex XVII point B.(2)(e) of Commission Delegated

text: Regulation (EU) 2015/35

text: ; (c) to adjust data in accordance with Annex XVII point B.(2)(d), point C.(2)(c) and point D.(2)(f) of Commission Delegated

text: Regulation (EU) 2015/35

text: 11. Undertakings should ensure that changes in retentions on non-proportional reinsurance are appropriately considered where they have an impact on the volatility of reserve risk.

text: GUIDELINE 4 – CALCULATION OF NON-PROPORTIONAL REINSURANCE ADJUSTMENT IN THE SCOPE OF PREMIUM RISK

text: 12. When undertakings determine the adjustment factors for the non-proportional reinsurance referred to in

text: Article 218(1)

text: (a)(iii) and (1)(c)(iii) of Commission Delegated

text: Regulation (EU) 2015/35

text: , they should ensure that both gross data and data net of non-proportional reinsurance for the following twelve months comply with Guidelines 1, 3 and 4.

text: GUIDELINE 5 – CONTINUOUS COMPLIANCE

text: 13. Undertakings should monitor their compliance with the requirements for the use of undertaking specific parameters as part of the own-risk and solvency assessment.

text: 14. As part of the own-risk and solvency assessment supervisory report, undertakings should inform the supervisory authorities whether there have been any material changes to the information included in the application and should provide relevant details of any material changes.

text: 15. If undertakings become aware that another standardised method provides a more accurate result for the purpose of fulfilling the calibration requirements included in Article 101(3) of Solvency II, they should submit a new application for the use of this alternative standardised method.

text: GUIDELINE 6 – REMEDIAL OF NON-COMPLIANCE

text: 16. In case of non-compliance with the requirements for the use of undertaking-specific parameters, the supervisory authority should decide if a three-month period is granted for the undertaking to remedy the non-compliance.

text: 17. When taking the decision, the supervisory authority should consider the degree and the scope of the non-compliance as well as the time needed to remedy it and the actions that the undertaking intends to take to restore compliance with the requirements for the use of undertaking -specific parameters.

text: 18. When the non-compliance cannot be restored within three months, the supervisory authority should revoke the approval for the use of undertaking specific parameters in accordance with

text: Article 6

text: (a) of Commission Implementing

text: Regulation (EU) 2015/498

text: GUIDELINE 7 – SIGNIFICANT DEVIATION

text: 19. When considering if there is a significant deviation as referred to in Article 110 of Solvency II, supervisory authorities should take into account the relevant factors as follows: (a) the findings arising out of the supervisory review process; (b) the nature, type and size of the deviation; (c) the likelihood and severity of any adverse impact on policyholders and beneficiaries; (d) the level of sensitivity of the assumptions to which the deviation relates; (e) the anticipated duration and volatility of the deviation over the duration of the deviation.

text: 20. Supervisory authorities should perform this analysis at the level of each segment for which the use of undertaking-specific parameters is possible.

text: GUIDELINE 8 – APPLICATION FOR APPROVAL OF THE USE OF GROUP-SPECIFIC PARAMETERS

text: 21. The application for approval of the use of group-specific parameters should include as a minimum the information required in

text: Article 1(3)

text: and (4) of Commission Implementing

text: Regulation (EU) 2015/498

text: , where any reference to 'undertaking-specific parameters' should be understood as a reference to 'group-specific parameters'.

text: 22. At the reasoned request of the group supervisor, the participating insurance or reinsurance undertaking, the insurance holding company or the mixed financial holding company should provide additional information where necessary to assess the application.

text: GUIDELINE 9 – SCOPE OF THE GROUP USING GROUP-SPECIFIC PARAMETERS

text: 23. When the group Solvency Capital Requirement is calculated under method 1 or under the combination of method 1 and method 2, the participating insurance or reinsurance undertaking, the insurance holding company or the mixed financial holding company should use the group specific-parameters only on consolidated data calculated in accordance with

text: Article 335(1)

text: (a), (b) and (c) of Commission Delegated

text: Regulation (EU) 2015/35

text: GUIDELINE 10 – CONSULTATION WITHIN THE COLLEGE OF SUPERVISORS

text: 24. In the consultation set out in Article 356(3) of Commission Delegated

text: Regulation (EU) 2015/35

text: the group supervisor and the other supervisory authorities within the college of supervisors should inter alia analyse and discuss the representativeness of the data at group level and the relevance of the used standardised method.

text: GUIDELINE 11 – INFORMATION FOR THE COLLEGE OF SUPERVISORS

text: 25. In the case of an application for approval of the use of undertaking-specific parameters by an undertaking which is included in the scope of group solvency calculation, the supervisory authority which receives the application should inform the college of supervisors of the receipt and its decision. If the application is rejected, it should inform the college of supervisors about the main reasons for its decision.

text: 26. Prior to making its final decision on the application to use group-specific parameters, the group supervisor should consider the decisions by the supervisory authorities on the applications of individual undertakings included in the scope of group solvency calculation to use undertakingspecific parameters.

text: COMPLIANCE AND REPORTING RULES

text: 27. This document contains guidelines issued under Article 16 of the EIOPA Regulation. In accordance with Article 16(3) of the EIOPA Regulation, competent authorities and financial institutions are required to make every effort to comply with guidelines and recommendations.

text: 28. Competent authorities that comply or intend to comply with these Guidelines should incorporate them into their regulatory or supervisory framework in an appropriate manner.

text: 29. Competent authorities are to confirm to EIOPA whether they comply or intend to comply with these Guidelines, with reasons for non-compliance, within two months after the issuance of the translated versions.

text: 30. In the absence of a response by this deadline, competent authorities will be considered as noncompliant to the reporting and reported as such.

text: FINAL PROVISION ON REVIEW

text: 31. These Guidelines will be subject to a review by EIOPA.

type: vagledning

utgivare: eiopa


text: February 2020

text: Regulation (EU) No 1094/2010

text: of the European Parliament and of the Council of 24 November 2010 establishing a European Superv isory Authority (European Insurance and Occupational Pension Authority), amending Decision No

text: and repealing

text: Commission Decision 2009/79/EC

text: (OJ L 331, 15.12.2010, p. 48). 2 Directive

text: of the European Parliament and of the Council of 25 November 2009 on the taking -up and pursuit of the business of Insurance and Reinsurance (Solvency II), (OJ L 335, 17.12.2009, p. 1). 3Gender equality - European Commission (europa.eu) 4 Article 212(1) Directive

text: Page 2/5

text: and

text: Page 3/5

text: Page 4/5

text: Page 5/5

title: Guidelines on the notion of diversity for the selection of ASMB members.pdf

text: This is only test GUIDELINES

text: GUIDELINES

text: on the notion of diversity for the selection of members of the administrative, management or supervisory body

text: EIOPA-BoS-25/392 Adopted on 29 September 2025

text: GUIDELINES ON THE NOTION OF DIVERSITY FOR THE SELECTION OF MEMBERS OF THE ADMINISTRATIVE, MANAGEMENT OR SUPERVISORY BODY

text: INTRODUCTION

text: 1. In accordance with

text: Article 16 of Regulation (EU) No 1094/2010

text: (EIOPA Regulation) and with

text: Article 41(1) of Directive 2009/138/EC

text: (Solvency II Directive) , EIOPA issues these guidelines on the notion of diversity to be taken into account for the selection of members of the administrative, management or supervisory body (AMSB) of insurance and reinsurance undertakings (collectively “undertakings”).

text: 2. Diversity leads to a broader range of experience, knowledge, skills and values in the AMSB, and is one of the factors that enhance its functioning and address the phenomenon of groupthink. A more diverse AMSB can facilitate independent opinions and constructive challenging in the process of decision-making. Diversity, together with an adequate consideration of inclusion, will help to ensure that the diverse perspectives and opinions of the members are taken into account within the AMSB.

text: 3. A diverse composition within the AMSB could be achieved by taking into account aspects such as educational and professional background, age, gender and geographical provenance. In this respect a gender-balanced composition of the AMSB is of particular importance. This is acknowledged in the Solvency II Directive and also expressed in other initiatives at EU level that aim to improve gender diversity .

text: 5. For the purpose of these Guidelines, the following definitions have been developed: - Diversity means the situation whereby the characteristics of the members of the AMSB, including their educational and professional background, gender, age and geographical provenance, are different to an extent that allows a variety of views within the AMSB.

text: 6. If not defined in these Guidelines, the terms have the meaning defined in the legal acts referred to in the introduction.

text: 7. The Guidelines apply to all undertakings, regardless of their governance structures (unitary board, dual board or other structures), without advocating or preferring any specific structure.

text: 8. The Guidelines apply to both individual undertakings and mutatis mutandis to groups .

text: 9. The Guidelines aim at ensuring cross-sectoral consistency with the diversity framework of other financial sectors. Therefore, these Guidelines are aligned to the extent possible with Title V (“Diversity within the management body”) of the joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders under Directive

text: and Directive

text: 10. The Guidelines shall apply from 30 January 2027.

text: GUIDELINE 1 – PROPORTIONALITY

text: 11. Undertakings should take into account the nature, scale and complexity of their operations when developing and implementing a policy promoting diversity in the AMSB and the processes referred to in these Guidelines. This should not result in an exemption from the requirement to put in place a policy promoting diversity in the AMSB and to set quantitative objectives as required by Article 41(1) of the Solvency II Directive.

text: GUIDELINE 2 – DIVERSITY POLICY

text: 12. In accordance with Article 41(1) of the Solvency II Directive undertakings should develop and implement a policy promoting diversity, including gender-balance, in the AMSB to promote a diverse composition of members. It should aim to provide a broad set of qualities and competences both when recruiting members of the AMSB and on an ongoing basis to achieve a variety of views and experiences and to facilitate independent opinions and sound decision-making within the AMSB.

text: GUIDELINE 3 – DIVERSITY ASPECTS

text: 13. The diversity policy should refer at least to the following diversity aspects: educational and professional background, gender, age and, in particular for undertakings that are active internationally, geographical provenance, unless the inclusion of geographical provenance is unlawful under national law.

text: GUIDELINE 4 – QUANTITATIVE OBJECTIVES RELATED TO GENDER-BALANCE

text: 14. Undertakings should aim at an appropriate gender-balance within the AMSB and ensure that the principle of equal opportunities is respected when selecting its members.

text: 15. Undertakings should specify an appropriate timeframe within which the individual quantitative objectives related to gender-balance in the AMSB should be met and how they will be met. Where relevant, the diversity policy should ensure that the AMSB in its management function and in its supervisory function each have an appropriate gender-balance. Without prejudice to the applicable rules of national law, the quantitative objectives may be defined for the AMSB as a whole.

text: 16. When setting quantitative objectives on gender-balance, undertakings should consider diversity benchmarking results published by supervisory authorities or other relevant international bodies or organisations.

text: GUIDELINE 5 – EMPLOYEE REPRESENTATION

text: 17. The diversity policy may envisage employee representation within the AMSB in order to add dayto-day practical knowledge and experience of the internal workings of the undertaking and to ensure that the interests of staff are taken into account.

text: 18. Having employee representatives, where required under national law, of an under-represented gender alone is not sufficient to ensure that the AMSB has an appropriate gender-balance.

text: GUIDELINE 6 – FREQUENCY OF REVIEW AND DOCUMENTATION

text: 19. Undertakings should document annually their compliance with the objectives set in their diversity policy. In the event that any diversity objectives, including the quantitative objectives related to gender-balance, have not been met, undertakings should document the reasons, the measures to be taken and the respective timeframe, in order to ensure that the diversity objectives will be met.

text: GUIDELINE 7 – DIVERSITY POLICY FOR STAFF

text: 20. Undertakings should implement a diversity policy for staff, including career planning aspects and measures to ensure equal treatment and opportunities for staff of different gender. Such measures should include that the aspect of appropriate gender-balance is also taken into account when selecting staff for management positions or when providing management training. Where the undertaking establishes a nomination committee, its composition should, where possible, be gender-balanced.

text: GUIDELINE 8 – ANTI-DISCRIMINATION

text: 21. In order to support a diverse composition of the AMSB, undertakings should have policies that ensure that there is no discrimination based on gender, race, colour, ethnic or social origin, genetic features, religion or belief, membership of a national minority, property, birth, disability, age, or sexual orientation.

text: COMPLIANCE AND REPORTING RULES

text: 22. This document contains Guidelines issued under

text: . In accordance with Article 16(3) of that Regulation, competent authorities and financial institutions are required to make every effort to comply with guidelines and recommendations.

text: 23. Competent authorities that comply or intend to comply with these Guidelines should incorporate them into their regulatory or supervisory framework in an appropriate manner.

text: 24. Competent authorities are to confirm to EIOPA whether they comply or intend to comply with these Guidelines, with reasons for non-compliance, within two months after the issuance of the translated versions.

text: 25. In the absence of a response by this deadline, competent authorities will be considered as noncompliant to the reporting and reported as such.

text: FINAL PROVISION ON REVIEWS

text: 26. These Guidelines will be subject to a review by EIOPA.


text: Regulation (EU) No 1094/2010

text: of the European Parliament and of the Council of 24 November 2010 establishing a European Superv isory Authority (European Insurance and Occupational Pensions Authority), amending Decision No

text: and repealing

text: Commission Decision 2009/79/EC

text: (OJ L 331, 15.12.2010, p. 48). 2 Directive

text: of the European Parliament and of the Council of 25 November 2009 on the taking -up and pursuit of the business of Insurance and Reinsurance (Solvency II), (OJ L 335, 17.12.2009, p. 1).

text: Page 2/4

text: Commission Implementing

text: Regulation (EU) 2023/894 of 4 April 2023

text: laying down implementing technical standards for the applica tion of Directive

text: of the European Parliament and the Council with regard to the templates for the submission by insurance and reinsurance undertakings to their supervisory authorities of information necessary for their supervision and repealing Implem enting

text: Regulation (EU) 2015/2450

text: (OJ L 120, 5.5.2023, p. 1–1596).

text: Page 3/4

text: Page 4/4

title: Guidelines on market share for reporting.pdf

text: This is only test GUIDELINES

text: GUIDELINES

text: on the methods for determining the market shares for reporting

text: EIOPA-BoS-25/395 Adopted on 29 September 2025

text: GUIDELINES ON METHODS FOR DETERMINING THE MARKET SHARES FOR REPORTING

text: INTRODUCTION

text: 1. In accordance with

text: Article 16 of Regulation (EU) No 1094/2010

text: (EIOPA Regulation) and

text: Article 35

text: a(6) of Directive

text: (Solvency II Directive) , EIOPA issues revised Guidelines on methods for determining the market shares for reporting. The purpose of these Guidelines is to specify the methods to be used when determining the market shares referred to in

text: Article 35

text: a(1) and (2) of the Solvency II Directive and the process to be used by the supervisory authorities to inform the insurance and reinsurance undertakings about any limitation or exemption to quantitative regular supervisory reporting granted by supervisory authorities.

text: 2. To calculate the market share, relevance is given to the type of business, i.e. life and non-life business, rather than to the authorisation granted to undertakings, i.e. life insurance authorisation or non-life insurance authorisation.

text: 3. It should be noted that the initiative of granting a limitation or exemption may lie with the supervisory authority, however also undertakings may request a limitation or exemption from their supervisory authority. These requests should be duly considered.

text: 4. These Guidelines are addressed to the supervisory authorities under the Solvency II Directive.

text: 5. These Guidelines apply from 30 January 2027 and repeal and replace the Guidelines on methods for determining the market shares for reporting (EIOPA-BoS-15-106).

text: 6. If not defined in these Guidelines, the terms have the meaning defined in the legal acts referred to in the introduction.

text: GUIDELINE 1 - INFORMATION TO BE USED TO DETERMINE THE MARKETS

text: 7. Supervisory authorities should: (a) ensure that the market share includes the business (regardless of the type of undertaking) underwritten by all insurance and reinsurance undertakings but does not include the business of undertakings that pursuant to Article 4 of the Solvency II Directive are excluded from the scope of the Solvency II Directive; (b) ensure where an undertaking has a different financial than calendar year, the latest annual information is considered; (c) consider the information reported in the annual quantitative reporting templates S.05.01 and S.12.01 as defined in Commission Implementing

text: Regulation (EU) 2023/894

text: GUIDELINE 2 - CALCULATION OF LIFE AND NON-LIFE MARKET

text: 8. Supervisory authorities should ensure that the size of both the life and non-life markets are determined annually by: (a) aggregating, for the life insurance and reinsurance market, the gross technical provisions for the life insurance and reinsurance business, including index-linked and unit-linked insurance of the relevant insurance and reinsurance undertakings identified in Guideline 1; (b) aggregating, for the non-life insurance and reinsurance market, the gross written premiums of the non-life insurance and reinsurance business of the relevant insurance and reinsurance undertakings identified in Guideline 1.

text: GUIDELINE 3 - ASSESSMENT PROCESS

text: 9. Based on the criteria and limits set out in

text: Article 35

text: a of the Solvency II Directive, supervisory authorities should: (a) consider the request of insurance and reinsurance undertakings to be included or excluded from the assessment to determine which undertakings are granted a limitation or exemption; (b) consult the group supervisor and consider its opinion in relation to undertakings which are part of a group; (c) collectively assess which insurance and reinsurance undertakings should be granted a limitation or exception; (d) consider in the contribution to the 20% threshold also business from captive insurance and captive reinsurance undertakings that fall under the exception provided for in

text: Article 35

text: a(3) of the Solvency II Directive; (e) in case an undertaking pursues both non-life and life business, only grant a limitation or exemption in case the inclusion of their non-life and life business in the respective market shares does not result in exceeding the threshold.

text: GUIDELINE 4 - INFORMATION TO UNDERTAKINGS

text: 10. Supervisory authorities should: (a) inform in writing the insurance and reinsurance undertakings concerned that they have been granted to use a limitation or exemption three months ahead of the relevant reporting year-end at the latest . That information should remain valid until further notice to the contrary from the supervisory authority; (b) inform already exempted insurance and reinsurance undertakings, three months ahead of the relevant reporting year-end at the latest, that they can no longer use a limitation or exemption and they are required to report from the following reporting year. This might be also due to changes in the annually recalculated market shares even if the size of the business of the undertakings remains unchanged.

text: COMPLIANCE AND REPORTING RULES

text: 11. This document contains guidelines issued under Article 16 of the EIOPA Regulation. In accordance with Article 16(3) of the EIOPA Regulation, competent authorities and financial institutions are required to make every effort to comply with guidelines and recommendations.

text: 12. Competent authorities that comply or intend to comply with these Guidelines should incorporate them into their regulatory or supervisory framework in an appropriate manner.

text: 13. Competent authorities are to confirm to EIOPA whether they comply or intend to comply with these Guidelines, with reasons for non-compliance, within two months after the issuance of the translated versions.

text: 14. In the absence of a response by this deadline, competent authorities will be considered as noncompliant to the reporting and reported as such.

text: FINAL PROVISION ON REVIEW

text: 15. These Guidelines will be subject to a review by EIOPA.


text: Regulation (EU) No 1094/2010

text: of the European Parliament and of the Council of 24 November 2010 establishing a European Supervisory Authority (European Insurance and Occupational Pensions Authority), amending Decision No

text: and repealing

text: Commission Decision 2009/79/EC

text: (OJ L 331, 15.12.2010, p. 48–83). Directive

text: of the European Parliament and of the Council of 25 November 2009 on the taking-up and pursuit of the business of Insurance and Reinsurance (Solvency II) (OJ L 335, 17.12.2009, p. 1-155). 3 Commission Delegated

text: Regulation (EU) 2015/35 of 10 October 2014

text: supplementing Directive

text: (OJ L 12, 17.01.2015, p. 1-797).

text: Page 2/7

text: Page 3/7

text: Page 4/7

text: Page 5/7

text: Page 6/7

text: Page 7/7

title: Guidelines on treatment of related undertakings.pdf

text: Central Bank of Ireland - RESTRICTED This is only test GUIDELINES

text: GUIDELINES

text: EIOPA-BoS-25/522 Adopted on 26 November 2025

text: GUIDELINES ON THE TREATMENT OF RELATED UNDERTAKINGS, INCLUDING PARTICIPATIONS

text: INTRODUCTION

text: 1. In accordance with

text: Article 16 of Regulation (EU) No 1094/2010

text: (EIOPA Regulation) , EIOPA issues these Guidelines on the treatment of related undertakings, including participations.

text: 2. The Guidelines relate to

text: Articles 92

text: (1a) and (2) and 111(1)(m) of Directive

text: (Solvency II) as well as to Articles 68, 168 and 171 of Commission Delegated

text: Regulation (EU) 2015/35

text: (Commission Delegated Regulation 2015/35) .

text: 3. These Guidelines are addressed to supervisory authorities under Solvency II.

text: 4. The purpose of these Guidelines is to provide guidance on the identiﬁcation and the treatment of related undertakings, including participations, to ensure a consistent approach across Member States.

text: 5. For the purposes of these Guidelines, the participating undertaking is the undertaking which is calculating its solvency position. The term related undertaking refers to any related undertaking of that participating undertaking, as speciﬁed in

text: Article 212(1)

text: (b) of Solvency II.

text: 6. The Guidelines follow a holistic approach. They describe ﬁrst the identiﬁcation of diﬀerent types of related undertakings, including participations. They then cover the treatment of the diﬀerent types of related undertakings, speciﬁcally participations in ﬁnancial and credit institutions and strategic participations.

text: 7. Where these Guidelines refer to the valuation or value of a related undertaking, reference should be made to Article 13 of Commission Delegated Regulation 2015/35.

text: 8. The Guidelines concern the treatment of related undertakings including participations on a solo basis. In most cases the identiﬁcation of a related undertaking will be the same both from the perspective of the participating undertaking as an individual entity and for group purposes. However, in certain situations there will be diﬀerences: the business of the related undertaking may be such that the participating undertaking and related undertaking are not subject to group supervision according to Article 213 of Solvency II. In addition, there may be the case where a number of entities within a group hold voting rights or capital in an undertaking that when combined together, amount to 20% or more of the undertaking’s voting rights or capital. Consequently, such an undertaking would be identiﬁed as a related undertaking at group level. However, if the holding of each individual entity within the group is lower than 20%, the undertaking would not be identiﬁed as a related undertaking by any of those entities within the group at individual entity level.

text: 9. If not deﬁned in these Guidelines, the terms have the meaning deﬁned in the legal acts referred to in the introduction.

text: 10. These Guidelines apply from 30 January 2027 and repeal and replace the Guidelines on treatment of related undertakings, including participations (EIOPA-BoS-14-170).

text: GUIDELINE 1 - IDENTIFICATION

text: 11. Participating undertakings should identify their related undertakings and participations based on an assessment from their perspective as an individual entity.

text: 12. When identifying a related undertaking based on share ownership, directly or by way of control, participating undertakings should determine: (a) their holding of voting rights as a percentage of an undertaking’s voting rights; (b) their holding of all classes of share capital issued by an undertaking as a percentage of that undertaking’s issued share capital, regardless of voting rights. Where (a) or (b) are 20% or higher, participating undertakings should treat their investment in the undertaking as a participation. Where the participation is in an insurance or reinsurance undertaking subject to Solvency II, the assessments under (a) will generally relate to paid-in ordinary share capital referred to in

text: Article 69

text: (a)(i) of Commission Delegated Regulation 2015/35, and under (b) to paid-in ordinary share capital and paid-in preference shares referred to in

text: Article 69

text: (a)(v) of Commission Delegated Regulation 2015/35.

text: 13. Participating undertakings should ensure that they are able to identify the effect of changes in the share capital of related undertakings on the assessment described in the preceding paragraph, each time the participating undertaking calculates its SCR in accordance with Article 102 of Solvency II.

text: 14. When identifying a related undertaking pursuant to Article 212(2) of Solvency II on the basis that the participating undertaking can exert a dominant or significant influence over another undertaking, supervisory authorities should consider the factors set out in Article 212(4) of Solvency II and further specified in the regulatory technical standards referred to in Article 212(5) of Solvency II.

text: GUIDELINE 2 - IDENTIFICATION OF PARTICIPATIONS IN FINANCIAL AND CREDIT INSTITUTIONS

text: 15. Participating undertakings should treat a related undertaking as a ﬁnancial or credit institution, where it is an institution referred to in Article 92(2) of Solvency II. These descriptions cover any institution which performs the functions or carries out the business described pursuant to that Article, notwithstanding that the institution may not be subject to the legal acts referred to in that Article.

text: 16. Participating undertakings should ensure that any participation in a ﬁnancial or credit institution where voting rights or capital are held indirectly is treated in the same way as a participation in a ﬁnancial or credit institution where voting rights or capital are held directly.

text: GUIDELINE 3 - IDENTIFICATION OF A STRATEGIC PARTICIPATION

text: 17. Participating undertakings should identify strategic participations in accordance with Article 171 of Commission Delegated Regulation 2015/35 as follows: (c) participating undertakings using the standard formula to calculate their SCR should identify strategic participations regardless of whether their participation is in an insurance or reinsurance undertaking, in a ﬁnancial or credit institution or in any other related undertaking; (d) participating undertakings using an internal model to calculate their SCR need to identify strategic participations in ﬁnancial and credit institutions only for the purpose of assessing whether Article 68(3) of Commission Delegated Regulation 2015/35 applies.

text: 18. For the purposes of demonstrating their compliance with the requirements of Article 171 of Commission Delegated Regulation 2015/35, participating undertakings should not divide a participation into diﬀerent parts, treating some parts as strategic and others not. Where a particular participation has been identiﬁed as strategic: (a) in the case of a participation in a ﬁnancial or credit institution, all investments in its own funds are strategic; (b) in the case of any other related undertakings, all equity investments in the participation are strategic.

text: 19. In accordance with

text: Article 171

text: (a) of Commission Delegated Regulation 2015/35, participating undertakings should be able to demonstrate, both with a qualitative and quantitative assessment, that the value of the equity investment is likely to be materially less volatile. To the purpose of the assessment, participating undertakings should ensure that: (a) consistent and appropriate valuations are applied over time both to the participation and to the other equities selected as a basis of comparison; (b) they consider the impact of their inﬂuence on the participation’s value.

text: 20. In demonstrating that the nature of the investment is strategic, in accordance with

text: Article 171

text: (b)(i) to (iii) of Commission Delegated Regulation 2015/35, participating undertakings should: (a) indicate the period for which the strategy of holding the participation is intended to apply; (b) consider the impact of market conditions on the main policies; (c) identify any signiﬁcant factors aﬀecting, or constraints on, the participating undertaking’s ability to maintain its strategy and how these could or would be mitigated.

text: 21. In demonstrating the existence of a durable link, in accordance with

text: Article 171

text: (b)(iv) of Commission Delegated Regulation 2015/35, participating undertakings should consider the following criteria: (a) whether a stable relationship between the two undertakings exists over time; (b) whether that stable relationship results in a close economic bond, the sharing of risks and beneﬁts between the undertakings or exposure to risks from one to the other; (c) the form of the relationship between the two undertakings, which may include ownership, joint products or distribution lines, cross-selling, the creation of joint ventures or other long term operational or ﬁnancial links.

text: 22. In accordance with

text: Article 171

text: (b)(v) of Commission Delegated Regulation 2015/35, a participating undertaking that is part of a group should regard the main policies guiding or limiting the actions of the group as those deﬁned by the ultimate parent undertaking or, if diﬀerent, by the undertaking which sets the main policies for the group as a whole.

text: 23. Participating undertakings should document their consideration of the matters set out in Article 171 of Commission Delegated Regulation 2015/35 and paragraphs 18 to 22, including any other relevant factors, together with relevant supporting material.

text: GUIDELINE 4 - SCOPE OF CALCULATIONS FOR ARTICLE 68 OF COMMISSION DELEGATED REGULATION 2015/35

text: 24. When determining the value of participations in ﬁnancial and credit institutions for the purposes of Article 68 of Commission Delegated Regulation 2015/35 , participating undertakings should include holdings of equity and any other own fund items, whether held directly or indirectly.

text: 25. Participating undertakings should apply the following approaches: (a) for direct holdings, the value of participations in ﬁnancial and credit institutions, as determined by the participating undertaking in accordance with Solvency II valuation principles, should be used for the purposes of Article 68 of Commission Delegated Regulation 2015/35; (b) participations in ﬁnancial and credit institutions, held indirectly via another participation in a ﬁnancial or credit institution should not be considered under Article 68 of Commission Delegated Regulation 2015/35, as their value should already have been included in the value of the directly held participation in a ﬁnancial or credit institution in accordance with point (a); (c) a deduction for a participation in a ﬁnancial or credit institution held indirectly should only arise where related undertakings between the participating undertaking and the ﬁnancial and credit participation are other than ﬁnancial and credit participations; (d) for other indirect holdings in a ﬁnancial or credit institution the value of the participation as determined by the related undertaking in accordance with Article 13 of Commission Delegated Regulation 2015/35 should be used for the purposes of Article 68 of Commission Delegated Regulation 2015/35; (e) the values used for Article 68 of Commission Delegated Regulation 2015/35 purposes should represent the participating undertaking’s proportional ownership, held directly and indirectly, of the participation in the ﬁnancial or credit institution.

text: 26. When calculating 10% of the items included in

text: Article 69

text: (a)(i), (ii), (iv) and (vi) of Commission Delegated Regulation 2015/35 for the purposes of Article 68 of Commission Delegated Regulation 2015/35, participating undertakings should use the amount of basic own-fund items before any deduction pursuant to Article 68 of Commission Delegated Regulation 2015/35 in respect of participations in ﬁnancial and credit institutions.

text: GUIDELINE 5 - DEDUCTIONS IN RESPECT OF PARTICIPATIONS IN FINANCIAL AND CREDIT INSTITUTIONS

text: 27. Where deductions in accordance with

text: Article 68(1)

text: and (2) of Commission Delegated Regulation 2015/35 cannot be made from the corresponding tier as set out in Article 68(5) of Commission Delegated Regulation 2015/35, undertakings should adopt the following approaches: (a) where the items to be deducted are not classiﬁed into the tiers set out in Article 68(5) of Commission Delegated Regulation 2015/35, all deductions should be made from the amount of items included in

text: Article 69

text: (a)(i), (ii), (iv) and (vi) of Commission Delegated Regulation 2015/35; (b) where the amount of the deduction exceeds the amount from which it is required to be deducted in accordance with Article 68(5) of Commission Delegated Regulation 2015/35, the excess should be deducted as follows: (i) holdings of Additional Tier 1 instruments in excess of items included in

text: Article 69

text: (a)(iii), (v) and (b) of Commission Delegated Regulation 2015/35 are deducted from items included in

text: Article 69

text: (a)(i), (ii), (iv) and (vi) of Commission Delegated Regulation 2015/35; (ii) holdings of Tier 2 instruments in excess of basic own funds included in Article 72 of Commission Delegated Regulation 2015/35 are deducted ﬁrst from items included in

text: Article 69

text: (a)(iii), (v) and (b) of Commission Delegated Regulation 2015/35, and then from items included in

text: Article 69

text: (a)(i), (ii), (iv) and (vi) of Commission Delegated Regulation 2015/35 until the deduction is made in full. (c) notwithstanding points (a) and (b), supervisory authorities may permit a participating undertaking not to deduct the value of its participation in a credit or ﬁnancial institution, provided that the conditions set out in

text: Article 92

text: (1a) of Solvency II are met.

text: GUIDELINE 6 - ADJUSTMENTS DUE TO DEDUCTIONS OF INDIRECTLY-HELD PARTICIPATIONS IN FINANCIAL AND CREDIT INSTITUTIONS

text: 28. Where a deduction of the value of a participation in a ﬁnancial or credit institution held indirectly is required, in full or in part, in accordance with Article 68 of Commission Delegated Regulation 2015/35, participating undertakings should, only for the purposes of calculating the SCR: (a) reduce, by the amount of that deduction, the value of the directly-held related undertaking, which is an asset of the participating undertaking, through which the participation in the ﬁnancial or credit institution is held indirectly; (b) for the adjustment described in point (a), follow the approach set out in Article 68(5) of Commission Delegated Regulation 2015/35 and in Guideline 5. (c) notwithstanding points (a) and (b) above, supervisory authorities may permit a participating undertaking not to deduct the value of its participation in a credit or ﬁnancial institution, provided that the conditions set out in

text: Article 92

text: (1a) of Solvency II are met.

text: COMPLIANCE AND REPORTING RULES

text: 29. This document contains Guidelines issued under Article 16 of the EIOPA Regulation. In accordance with Article 16(3) of the EIOPA Regulation, competent authorities and ﬁnancial institutions are required to make every eﬀort to comply with guidelines and recommendations.

text: 30. Competent authorities that comply or intend to comply with these Guidelines should incorporate them into their regulatory or supervisory framework in an appropriate manner.

text: 31. Competent authorities are to conﬁrm to EIOPA whether they comply or intend to comply with these Guidelines, with reasons for non-compliance, within two months after the issuance of the translated versions.

text: 32. In the absence of a response by this deadline, competent authorities will be considered as noncompliant to the reporting and reported as such.

text: FINAL PROVISION ON REVIEWS

text: 33. These Guidelines will be subject to a review by EIOPA.