Članak 28. 2.

snosi opću odgovornost za to da se pojednostavnjenim okvirom za upravljanje IKT rizicima provodi poslovna strategija financijskog subjekta u skladu s njegovom sklonošću preuzimanju rizika i da se u tom kontekstu uzima u obzir IKT rizik;

utvrđuje jasne uloge i odgovornosti za sve zadaće povezane s IKT-om;

utvrđuje jasne ciljeve u području informacijske sigurnosti i zahtjeve u području IKT-a;

odobrava, nadzire i periodički preispituje:

izrađuje i barem jednom godišnje preispituje proračun nužan za ispunjavanje potreba financijskog subjekta u pogledu digitalne operativne otpornosti, i to za sve vrste resursa, što uključuje relevantne programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti te stjecanje vještina u području IKT-a za sve članove osoblja;

utvrđuje i provodi politike i mjere iz poglavlja I., II. i III. ove glave kako bi utvrdilo i procijenilo IKT rizik kojem je financijski subjekt izložen te upravljalo tim rizikom;

utvrđuje i provodi postupke, IKT protokole i alate koji su potrebni za zaštitu sve informacijske imovine te IKT imovine;

osigurava da osoblje financijskog subjekta osvježava znanje i vještine koji su im dostatni kako bi mogli razumjeti i procijeniti IKT rizik i njegov učinak na poslovanje financijskog subjekta, razmjerno IKT riziku kojim se upravlja;

uspostavlja aranžmane za izvješćivanje, među ostalim učestalost, oblik i sadržaj izvješća o informacijskoj sigurnosti i digitalnoj operativnoj otpornosti za upravljačko tijelo.