a)

zajištění kontinuity zásadních nebo důležitých funkcí finančního subjektu;

b)

rychlou, vhodnou a účinnou reakci na všechny incidenty související s IKT a jejich vyřešení, a to tak, aby byly omezeny škody a byla prioritně obnovena činnost a aktivována opatření na obnovu;

c)

neprodlenou aktivaci specializovaných plánů uvádějících do chodu izolační opatření, procesy a technologie odpovídající různým typům incidentů souvisejících s IKT a zamezující dalším škodám, jakož i přizpůsobené postupy reakce a obnovy v souladu s článkem 12;

d)

odhad předběžných dopadů, škod a ztrát;

e)

zavedení opatření v oblasti komunikace a krizového řízení, která zajistí předání aktualizovaných informací všem příslušným interním zaměstnancům a externím zainteresovaným stranám podle článku 14 a jejich oznámení příslušným orgánům v souladu s článkem 19.

a)

alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce;

b)

testují plány krizové komunikace zavedené podle článku 14.

a)

politiky a postupy zálohování uvádějící rozsah dat, která se zálohují, a minimální frekvenci zálohování, a to na základě významu informací nebo úrovně důvěrnosti dat;

b)

postupy a metody obnovy.

a)

nese konečnou odpovědnost za řízení rizika finančního subjektu v oblasti IKT;

b)

zavádí postupy a strategie, jejichž cílem je zajistit zachování přísných norem v oblasti dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů;

c)

stanoví jasné úlohy a povinnosti pro všechny funkce související s IKT a zavádí vhodné mechanismy řízení s cílem zajistit účinnou a včasnou komunikaci, spolupráci a koordinaci mezi uvedenými funkcemi;

d)

nese celkovou odpovědnost za stanovení a schválení strategie digitální provozní odolnosti podle čl. 6 odst. 8, včetně stanovení přiměřené přípustné odchylky rizika v oblasti IKT u finančního subjektu podle čl. 6 odst. 8 písm. b);

e)

schvaluje provádění politiky zachování provozu IKT finančního subjektu a plány reakce a obnovy v oblasti IKT uvedené v čl. 11 odst. 1 a 3, které mohou být přijaty jako zvláštní konkrétní politika tvořící nedílnou součást celkové politiky zachování provozu a plánu reakce a obnovy finančního subjektu, dohlíží na ně a pravidelně je přezkoumává;

f)

schvaluje a pravidelně přezkoumává plány interních auditů IKT, které finanční subjekt vypracovává, audity IKT a jejich podstatné změny;

g)

přiděluje a pravidelně přezkoumává odpovídající rozpočtové prostředky na pokrytí potřeb finančního subjektu v oblasti digitální provozní odolnosti s ohledem na všechny typy zdrojů, včetně relevantních programů zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti uvedených v čl. 13 odst. 6 a dovedností v oblasti IKT pro všechny zaměstnance;

h)

schvaluje a pravidelně přezkoumává strategii finančního subjektu pro režimy využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran;

i)

na úrovni podniku zavede kanály pro oznamování, které mu umožní být řádně informován:

a)

zavedou a udržují spolehlivý a zdokumentovaný rámec pro řízení rizika v oblasti IKT, který podrobně popisuje mechanismy a opatření zaměřené na rychlé, účinné a komplexní řízení rizika v oblasti IKT, včetně ochrany příslušných fyzických součástí a infrastruktur;

b)

průběžně sledují bezpečnost a fungování všech systémů IKT;

c)

minimalizují dopad rizika v oblasti IKT používáním spolehlivých, odolných a aktualizovaných systémů, protokolů a nástrojů IKT, které jsou vhodné pro podporu výkonu jejich činností a poskytování služeb a které odpovídajícím způsobem chrání dostupnost, hodnověrnost, integritu a důvěrnost údajů v síti a informačních systémech;

d)

umožní rychlou identifikaci a detekci zdrojů rizik a anomálií v síti a informačních systémech a urychlené řešení incidentů souvisejících s IKT;

e)

určí klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran;

f)

zajistí zachování provozu zásadních nebo důležitých funkcí prostřednictvím plánů zachování provozu a opatření v oblasti reakce a obnovy, které zahrnují alespoň opatření týkající se zálohování a obnovy;

g)

pravidelně testují plány a opatření uvedené v písmenu f), jakož i účinnost kontrol prováděných v souladu s písmeny a) a c);

h)

podle potřeby provedou příslušné provozní závěry vyplývající z testů uvedených v písmenu g) a z analýzy po incidentu do postupu posuzování rizik v oblasti IKT a v souladu s potřebami a rizikovým profilem v oblasti IKT vypracují pro zaměstnance a vedení programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení týkající se digitální provozní odolnosti.