a)

vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků;

b)

zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků;

c)

uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu;

d)

zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT;

e)

zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny;

f)

mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace.

a)

zavedou a udržují spolehlivý a zdokumentovaný rámec pro řízení rizika v oblasti IKT, který podrobně popisuje mechanismy a opatření zaměřené na rychlé, účinné a komplexní řízení rizika v oblasti IKT, včetně ochrany příslušných fyzických součástí a infrastruktur;

b)

průběžně sledují bezpečnost a fungování všech systémů IKT;

c)

minimalizují dopad rizika v oblasti IKT používáním spolehlivých, odolných a aktualizovaných systémů, protokolů a nástrojů IKT, které jsou vhodné pro podporu výkonu jejich činností a poskytování služeb a které odpovídajícím způsobem chrání dostupnost, hodnověrnost, integritu a důvěrnost údajů v síti a informačních systémech;

d)

umožní rychlou identifikaci a detekci zdrojů rizik a anomálií v síti a informačních systémech a urychlené řešení incidentů souvisejících s IKT;

e)

určí klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran;

f)

zajistí zachování provozu zásadních nebo důležitých funkcí prostřednictvím plánů zachování provozu a opatření v oblasti reakce a obnovy, které zahrnují alespoň opatření týkající se zálohování a obnovy;

g)

pravidelně testují plány a opatření uvedené v písmenu f), jakož i účinnost kontrol prováděných v souladu s písmeny a) a c);

h)

podle potřeby provedou příslušné provozní závěry vyplývající z testů uvedených v písmenu g) a z analýzy po incidentu do postupu posuzování rizik v oblasti IKT a v souladu s potřebami a rizikovým profilem v oblasti IKT vypracují pro zaměstnance a vedení programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení týkající se digitální provozní odolnosti.