Major change risk assessment

2.   Finanční subjekty nepřetržitě identifikují všechny zdroje rizika v oblasti IKT, zejména rizika vzájemné expozice s jinými finančními subjekty, a vyhodnocují kybernetické hrozby a zranitelnosti IKT relevantní pro jejich obchodní funkce podporované IKT, informační aktiva a aktiva v oblasti IKT. Finanční subjekty pravidelně, přinejmenším však jednou ročně, revidují scénáře rizik, které jsou pro ně relevantní.

3.   Finanční subjekty, jiné než mikropodniky, vyhodnocují rizika po každé velké změně v infrastruktuře sítě a informačního systému a v procesech nebo postupech ovlivňujících jejich podnikové funkce podporované IKT, informační aktiva či aktiva v oblasti IKT.

7.   Finanční subjekty jiné než mikropodniky pravidelně, přinejmenším však jednou ročně, provádějí zvláštní posouzení rizika v oblasti IKT u všech původních systémů IKT, a to vždy před propojením a po propojení technologií, aplikací nebo systémů.

4.   Finanční subjekty identifikují všechna informační aktiva a aktiva v oblasti IKT, včetně těch na vzdálených pracovištích, síťové zdroje a hardwarové vybavení a evidují ta, která jsou považovaná za kritická. Evidují konfiguraci informačních aktiv a aktiv v oblasti IKT a propojení a vzájemné závislosti různých informačních aktiv a aktiv v oblasti IKT.

1.   Finanční subjekty disponují prostředky a pracovníky, aby mohly shromažďovat informace o zranitelnostech a kybernetických hrozbách a o incidentech souvisejících s IKT, zejména kybernetických útocích, a analyzovat jejich pravděpodobný dopad na svoji digitální provozní odolnost.