Major change risk assessment

2.   Finanssiyhteisöjen on jatkuvasti yksilöitävä kaikki TVT-riskin lähteet, erityisesti muihin finanssiyhteisöihin liittyvät riskit, ja arvioitava niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen ja TVT-omaisuuteen liittyviä kyberuhkia ja TVT-haavoittuvuuksia. Finanssiyhteisöjen on tarkasteltava niihin vaikuttavia riskiskenaarioita säännöllisesti ja vähintään kerran vuodessa.

3.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä riskinarviointi aina kun verkko- ja tietojärjestelmäinfrastruktuurissa tai niiden TVT:n tukemiin liiketoimintoihin, tieto-omaisuuteen tai TVT-omaisuuteen vaikuttavissa prosesseissa tai menettelyissä tapahtuu merkittäviä muutoksia.

7.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on tehtävä säännöllisesti ja vähintään kerran vuodessa erityinen TVT-riskinarviointi, joka kattaa kaikki aiemman sukupolven TVT-järjestelmät, joka tapauksessa ennen teknologian, sovellusten tai järjestelmien yhteenliittämistä ja sen jälkeen.

4.   Finanssiyhteisöjen on yksilöitävä kaikki tieto-omaisuus ja TVT-omaisuus, myös etäkohteissa oleva, sekä verkkoresurssit ja laitteistot, ja kartoitettava ne, joita pidetään kriittisinä. Niiden on kartoitettava tieto-omaisuuden ja TVT-omaisuuden kokoonpano ja erilaisten tieto-omaisuus- ja TVT-omaisuustyyppien keskinäiset yhteydet ja riippuvuussuhteet.

1.   Finanssiyhteisöillä on oltava valmiudet ja henkilöstö, jotta ne voivat kerätä tietoa haavoittuvuuksista ja kyberuhkista, TVT:hen liittyvistä poikkeamista ja erityisesti kyberhyökkäyksistä, ja analysoida niiden todennäköistä vaikutusta digitaaliseen häiriönsietokykyynsä.