a)

vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků;

b)

zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků;

c)

uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu;

d)

zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT;

e)

zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny;

f)

mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace.

a)

počet nebo význam dotčených klientů nebo finančních protistran a případně výše nebo počet transakcí dotčených incidentem souvisejícím s IKT, a zda incident související s IKT poškodil dobrou pověst;

b)

doba trvání incidentu souvisejícího s IKT, včetně doby odstávky služby;

c)

územní rozsah, pokud jde o oblasti dotčené incidentem souvisejícím s IKT, zejména má-li incident dopad na více než dva členské státy;

d)

ztráty údajů, které incident související s IKT způsobil, pokud jde o dostupnost, hodnověrnost, integritu nebo důvěrnost údajů;

e)

význam dotčených služeb, včetně transakcí a operací finančního subjektu;

f)

ekonomický dopad incidentu souvisejícího s IKT, zejména přímé a nepřímé náklady a ztráty, v absolutním i relativním vyjádření.

a)

zavede ukazatele včasného varování;

b)

stanoví postupy k identifikaci, sledování, evidenci, kategorizaci a klasifikaci incidentů souvisejících s IKT podle jejich priority a závažnosti a podle toho, jak zásadní jsou zasažené služby v souladu s kritérii vymezenými v čl. 18 odst. 1;

c)

přiřadí úlohy a odpovědnosti, které je třeba aktivovat u různých typů a scénářů incidentů souvisejících s IKT;

d)

stanoví plány komunikace pro zaměstnance, externí zainteresované strany a média podle článku 14 a pro informování klientů, postupy interní eskalace, včetně stížností klientů souvisejících s IKT, a případně rovněž pro poskytování informací finančním subjektům jednajícím jako protistrany;

e)

zajistí, aby byly přinejmenším závažné incidenty související s IKT hlášeny příslušným vedoucím pracovníkům, a přinejmenším o závažných incidentech souvisejících s IKT informuje vedoucí orgán s vysvětlením dopadů, reakce a dalších kontrol, jež budou zavedeny v důsledku takových incidentů souvisejících s IKT;

f)

zavede postupy reakce na incidenty související s IKT ke zmírnění dopadů a zajistí, aby služby byly včas a bezpečně obnoveny.