a)

parengia ir dokumentais pagrindžia informacijos saugumo politiką, kurioje apibrėžiamos taisyklės, kaip apsaugoti duomenų, informacinio turto ir IRT turto, įskaitant, kai taikytina, jų klientų duomenų, informacinio turto ir IRT turto prieinamumą, autentiškumą, vientisumą ir konfidencialumą;

b)

taikydami rizika grindžiamą požiūrį, nustato patikimą tinklų ir infrastruktūros valdymo struktūrą, naudodamiesi tinkamais būdais, metodais ir protokolais; tai gali apimti automatizuotų mechanizmų paveiktam informaciniam turtui izoliuoti kibernetinių išpuolių atveju įgyvendinimą;

c)

įgyvendina politikos priemones, kuriomis fizinė ar loginė prieiga prie informacinio turto ir IRT turto apribojama tuo, kas reikalinga tik teisėtoms ir patvirtintoms funkcijoms ir veiklai, ir tuo tikslu parengia politikos priemonių, procedūrų ir kontrolės priemonių rinkinį dėl prieigos teisių ir patikimo jų administravimo;

d)

įgyvendina griežtų tapatumo nustatymo mechanizmų politikos priemones ir protokolus, pagrįstus atitinkamais standartais, specialiomis kontrolės sistemomis ir apsaugos priemonėmis dėl kriptografinių raktų, kuriais duomenys užšifruojami remiantis patvirtintų duomenų klasifikavimo ir IRT rizikos vertinimo procesų rezultatais;

e)

įgyvendina dokumentais pagrįstą IRT pakeitimų, įskaitant programinės įrangos, aparatinės įrangos, aparatinės programinės įrangos komponentų, sistemos ar saugumo nustatymus, valdymo politiką, procedūras ir kontrolės priemones, grindžiamas rizikos vertinimo požiūriu ir sudarančias neatsiejamą finansų sektoriaus subjekto bendro pakeitimų valdymo proceso dalį, siekiant užtikrinti, kad visi IRT sistemų pakeitimai būtų registruojami, testuojami, vertinami, tvirtinami, įgyvendinami ir tikrinami kontroliuojamu būdu;

f)

turi turėti tinkamą ir išsamią dokumentais pagrįstą pataisų ir atnaujinimų politiką.

a)

nustatomi ankstyvojo perspėjimo rodikliai;

b)

nustatomos procedūros dėl su IRT susijusių incidentų nustatymo, atsekimo, registravimo, kategorizavimo ir klasifikavimo pagal jų prioritetą ir rimtumą, taip pat paslaugų, kurioms daromas poveikis, ypatingą svarbą, remiantis 18 straipsnio 1 dalyje nurodytais kriterijais;

c)

priskiriamos pareigos ir atsakomybė, kurios turi būti pradėtos taikyti skirtingų rūšių su IRT susijusių incidentų ir scenarijų atvejais;

d)

atitinkamai nustatomi komunikacijos su darbuotojais, išorės suinteresuotaisiais subjektais ir žiniasklaida planai pagal 14 straipsnį ir pranešimo klientams planai, planai dėl sprendimo finansų sektoriaus subjekto viduje procedūrų, įskaitant su IRT susijusių klientų skundų nagrinėjimą, taip pat planai dėl informacijos teikimo finansų sektoriaus subjektams, kurie veikia kaip partneriai;

e)

užtikrinama, kad bent apie didelius su IRT susijusius incidentus būtų pranešama atitinkamai vyresniajai vadovybei, o valdymo organui būtų teikiama informacija bent apie didelius su IRT susijusius incidentus, paaiškinant poveikį, reagavimo veiksmus ir papildomas kontrolės priemones, kurios turi būti nustatytos dėl tokių su IRT susijusių incidentų;

f)

nustatomos reagavimo į su IRT susijusius incidentus procedūros, kad būtų sumažintas poveikis ir užtikrinta, kad laiku būtų atkurtas saugus paslaugų teikimas.