α)

καταρτίζουν και τεκμηριώνουν πολιτική ασφάλειας των πληροφοριών που καθορίζει κανόνες για την προστασία της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, των πληροφοριακών πόρων και των πόρων ΤΠΕ, συμπεριλαμβανομένων εκείνων των πελατών τους, κατά περίπτωση,

β)

ακολουθώντας μια προσέγγιση βάσει κινδύνων, θεσπίζουν δομή ορθής διαχείρισης δικτύων και υποδομών, χρησιμοποιώντας κατάλληλες τεχνικές, μεθόδους και πρωτόκολλα, που μπορούν να περιλαμβάνουν την εφαρμογή αυτοματοποιημένων μηχανισμών για την απομόνωση των πληροφοριακών πόρων που επηρεάζονται σε περίπτωση κυβερνοεπιθέσεων,

γ)

εφαρμόζουν πολιτικές που περιορίζουν την υλική ή λογική πρόσβαση σε πληροφοριακούς πόρους και πόρους ΤΠΕ στην πρόσβαση που είναι απολύτως αναγκαία για τις νόμιμες και εγκεκριμένες λειτουργίες και δραστηριότητες και θεσπίζουν, για τον σκοπό αυτόν, ένα σύνολο πολιτικών, διαδικασιών και δικλείδων ασφάλειας που αφορούν τα δικαιώματα πρόσβασης και διασφαλίζουν την ορθή διαχείρισή τους,

δ)

εφαρμόζουν πολιτικές και πρωτόκολλα για ισχυρούς μηχανισμούς αυθεντικοποίησης, με βάση σχετικά πρότυπα και ειδικά συστήματα ελέγχου, και προστατευτικά μέτρα κρυπτογραφικών κλειδιών με τα οποία κρυπτογραφούνται δεδομένα, βάσει αποτελεσμάτων εγκεκριμένων διαδικασιών κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ,

ε)

εφαρμόζουν τεκμηριωμένες πολιτικές, διαδικασίες και δικλείδες ασφάλειας για τη διαχείριση αλλαγών στις ΤΠΕ, συμπεριλαμβανομένων αλλαγών σε λογισμικό, υλισμικό, στοιχεία, συστήματα ή παράμετροι ασφάλειας υλικολογισμικού, που βασίζονται σε μια προσέγγιση αξιολόγησης κινδύνου και αποτελούν αναπόσπαστο μέρος της συνολικής διαδικασίας διαχείρισης αλλαγών της χρηματοοικονομικής οντότητας, ώστε να διασφαλιστεί ότι όλες οι αλλαγές στα συστήματα ΤΠΕ καταγράφονται, δοκιμάζονται, αξιολογούνται, εγκρίνονται, εφαρμόζονται και επαληθεύονται με ελεγχόμενο τρόπο,

στ)

διαθέτουν κατάλληλες και ολοκληρωμένες τεκμηριωμένες πολιτικές σχετικά με τις ενημερώσεις κώδικα και τις επικαιροποιήσεις.

α)

θεσπίζουν και διατηρούν ένα άρτιο και τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ, το οποίο περιγράφει λεπτομερώς τους μηχανισμούς και τα μέτρα που αποσκοπούν στην ταχεία, αποτελεσματική και ολοκληρωμένη διαχείριση των κινδύνων ΤΠΕ, μεταξύ άλλων για την προστασία των σχετικών υλικών συνιστωσών και υποδομών,

β)

παρακολουθούν συνεχώς την ασφάλεια και τη λειτουργία όλων των συστημάτων ΤΠΕ,

γ)

ελαχιστοποιούν τον αντίκτυπο των κινδύνων ΤΠΕ μέσω της χρήσης ορθών, ανθεκτικών και επικαιροποιημένων συστημάτων, πρωτοκόλλων και εργαλείων ΤΠΕ, τα οποία είναι κατάλληλα για την υποστήριξη της εκτέλεσης των δραστηριοτήτων τους και της παροχής υπηρεσιών και προστατεύουν επαρκώς τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων στα συστήματα δικτύου και πληροφοριών,

δ)

επιτρέπουν τον άμεσο εντοπισμό και την ανίχνευση πηγών κινδύνων και ανωμαλιών ΤΠΕ στα δικτυακά και πληροφοριακά συστήματα και τον άμεσο χειρισμό συμβάντων ΤΠΕ,

ε)

εντοπίζουν βασικές εξαρτήσεις από τρίτους παρόχους υπηρεσιών ΤΠΕ,

στ)

διασφαλίζουν τη συνέχεια κρίσιμων ή σημαντικών λειτουργιών, μέσω σχεδίων επιχειρησιακής συνέχειας και μέτρων αντιμετώπισης και ανάκαμψης, τα οποία περιλαμβάνουν, τουλάχιστον, μέτρα υποστήριξης και αποκατάστασης,

ζ)

δοκιμάζουν, σε τακτική βάση, τα σχέδια και τα μέτρα που αναφέρονται στο στοιχείο στ), καθώς και την αποτελεσματικότητα των ελέγχων που υλοποιούνται σύμφωνα με τα στοιχεία α) και γ),

η)

εφαρμόζουν, κατά περίπτωση, τα σχετικά επιχειρησιακά συμπεράσματα που προκύπτουν από τις δοκιμές οι οποίες αναφέρονται στο στοιχείο ζ) και από την ανάλυση κατόπιν συμβάντος στη διαδικασία αξιολόγησης κινδύνων ΤΠΕ και καταρτίζουν, σύμφωνα με τις ανάγκες και το προφίλ κινδύνου ΤΠΕ, προγράμματα ευαισθητοποίησης σε θέματα ασφάλειας των ΤΠΕ και προγράμματα κατάρτισης για την ψηφιακή επιχειρησιακή ανθεκτικότητα για το προσωπικό και τη διοίκηση στον τομέα της ασφάλειας ΤΠΕ.