a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.

a)

niiden asiakkaiden tai finanssialan vastapuolien lukumäärä ja/tai merkityksellisyys, ja tarvittaessa toteutuneiden liiketoimien määrä tai lukumäärä, joihin TVT:hen liittyvä poikkeama on vaikuttanut, ja tieto siitä, onko TVT:hen liittyvällä poikkeamalla ollut maineeseen liittyviä vaikutuksia;

b)

TVT:hen liittyvän poikkeaman kesto, palvelukatkos mukaan lukien;

c)

sen alueen maantieteellinen laajuus, johon TVT:hen liittyvä poikkeama vaikuttaa, varsinkin jos se vaikuttaa useampaan kuin kahteen jäsenvaltioon;

d)

TVT:hen liittyvän poikkeaman aiheuttamat datan menetykset datan saatavuuden, aitouden, eheyden tai luottamuksellisuuden osalta;

e)

vaikutusten kohteena olevien palvelujen kriittisyys, finanssiyhteisön liiketoimet ja toiminnot mukaan lukien;

f)

TVT:hen liittyvän poikkeaman taloudelliset vaikutukset, erityisesti välittömät ja välilliset kustannukset ja tappiot, sekä absoluuttisesti että suhteellisesti ilmaistuna.

a)

otettava käyttöön varhaisen varoituksen indikaattorit;

b)

vahvistettava menettelyt, joiden avulla TVT:hen liittyvät poikkeamat voidaan tunnistaa, jäljittää, kirjata lokiin ja luokitella niiden tärkeyden, vakavuuden ja sen palvelun kriittisyyden mukaan, johon ne vaikuttavat, 18 artiklan 1 kohdassa vahvistettujen kriteerien mukaisesti;

c)

osoitettava tehtävät ja vastuualueet, jotka erityyppisten TVT:hen liittyvien poikkeamien ja skenaarioiden osalta on aktivoitava;

d)

esitettävä 14 artiklan mukaisesti viestintäsuunnitelmat, jotka koskevat tiedottamista henkilöstölle, ulkoisille sidosryhmille ja tiedotusvälineille sekä asiakkaille, sisäisiä eskalointimenettelyjä, myös TVT:hen liittyvien asiakasvalitusten osalta, sekä tarpeen mukaan tiedottamista vastapuolina toimiville finanssiyhteisöille;

e)

varmistettava, että ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoidaan asiaankuuluvalle ylemmälle johdolle, ja tiedotettava ylimmälle hallintoelimelle ainakin laajavaikutteisista TVT:hen liittyvistä poikkeamista selittämällä niiden vaikutukset ja niiden vuoksi toteutettavat reagointitoimet ja lisävalvontatoimet;

f)

otettava käyttöön TVT:hen liittyviin poikkeamiin liittyvät reagointimenettelyt, jotta voidaan lieventää niiden vaikutuksia ja varmistaa oikea-aikaisesti, että palvelut alkavat jälleen toimia ja ovat turvallisia.