1.   Finansų sektoriaus subjektai kaip savo bendros rizikos valdymo sistemos dalį turi turėti patikimą, išsamią ir gerai dokumentais pagrįstą IRT rizikos valdymo sistemą, kuri jiems leistų greitai, veiksmingai ir išsamiai mažinti IRT riziką ir užtikrinti aukšto lygio skaitmeninės veiklos atsparumą.

2.   IRT rizikos valdymo sistema apima bent strategijas, politiką, procedūras, IRT protokolus ir priemones, kurie yra būtini siekiant deramai ir tinkamai apsaugoti visą informacinį turtą ir IRT turtą, įskaitant kompiuterių programinę įrangą, aparatinę įrangą, serverius, taip pat apsaugoti visus atitinkamus fizinius komponentus ir infrastruktūras, tokius kaip patalpos, duomenų centrai ir jautrios specialios zonos, kad būtų užtikrinta, kad visas informacinis turtas ir IRT turtas būtų tinkamai apsaugotas nuo rizikos, įskaitant žalą ir neteisėtą prieigą ar naudojimą.

3.   Pagal savo IRT rizikos valdymo sistemą finansų sektoriaus subjektai kuo labiau sumažina IRT rizikos poveikį įgyvendindami atitinkamas strategijas, politiką, procedūras, IRT protokolus ir priemones. Jie kompetentingoms institucijoms jų prašymu pateikia išsamią ir atnaujintą informaciją apie IRT riziką ir apie savo IRT rizikos valdymo sistemą.

4.   Finansų sektoriaus subjektai, išskyrus labai mažas įmones, priskiria atsakomybę už IRT rizikos valdymą ir priežiūrą kontrolės funkcijai ir užtikrina tinkamą tokios kontrolės funkcijos nepriklausomumo lygį, kad būtų išvengta interesų konfliktų. Finansų sektoriaus subjektai užtikrina tinkamą IRT rizikos valdymo funkcijų, kontrolės funkcijų ir vidaus audito funkcijų atskyrimą ir nepriklausomumą pagal trijų gynybos linijų modelį arba vidaus rizikos valdymo ir kontrolės modelį.

5.   IRT rizikos valdymo sistema pagrindžiama dokumentais ir peržiūrima bent kartą per metus arba – labai mažų įmonių atveju – periodiškai, taip pat įvykus dideliems su IRT susijusiems incidentams ir laikantis priežiūros nurodymų ar išvadų, padarytų atlikus atitinkamus skaitmeninės veiklos atsparumo testavimo arba audito procesus. Ji nuolat tobulinama remiantis įgyvendinimo ir stebėsenos patirtimi. Kompetentingai institucijai paprašius, jai pateikiama IRT rizikos valdymo sistemos peržiūros ataskaita.

6.   Finansų sektoriaus subjektų, išskyrus labai mažas įmones, IRT rizikos valdymo sistemai taikomas vidaus auditas, kurį reguliariai atlieka auditoriai pagal finansų sektoriaus subjektų audito planą. Tie auditoriai turi turėti pakankamai žinių, įgūdžių ir patirties IRT rizikos srityje, taip pat jų nepriklausomumas turi būti tinkamo lygio. IRT auditų dažnumas ir tikrinami aspektai turi atitikti finansų sektoriaus subjekto IRT riziką.

7.   Remdamiesi vidaus audito peržiūros išvadomis, finansų sektoriaus subjektai nustato oficialų tolesnių veiksmų procesą, įskaitant taisykles, pagal kurias laiku patikrinami ir ištaisomi svarbiausi IRT audito nustatyti trūkumai.

8.   Į IRT rizikos valdymo sistemą įtraukiama skaitmeninės veiklos atsparumo strategija, kurioje nustatoma, kaip sistema turi būti įgyvendinama. Tuo tikslu skaitmeninės veiklos atsparumo strategija apima IRT rizikos mažinimo ir konkrečių IRT tikslų įgyvendinimo metodus:

9.   Finansų sektoriaus subjektai gali skaitmeninės veiklos atsparumo strategijos, nurodytos 8 dalyje, kontekste apibrėžti holistinę IRT kelių pardavėjų strategiją grupės ar subjekto lygmeniu, parodant pagrindinę priklausomybę nuo IRT paslaugas teikiančių trečiųjų šalių ir pateikiant pirkimo iš įvairių IRT paslaugas teikiančių trečiųjų šalių loginį pagrindimą.

10.   Finansų sektoriaus subjektai gali, laikydamiesi Sąjungos ir nacionalinės sektorių teisės, perduoti grupės vidaus arba išorės įmonėms užduotis tikrinti atitiktį IRT rizikos valdymo reikalavimams. Tokio užduočių perdavimo atveju finansų sektoriaus subjektas išlieka visiškai atsakingas už atitikties IRT rizikos valdymo reikalavimams tikrinimą.

6.   Vykdydami visapusišką IRT rizikos valdymą, finansų sektoriaus subjektai:

Pirmos pastraipos a punkto tikslais finansų sektoriaus subjektai, išskyrus labai mažas įmones, į testavimo planus įtraukia kibernetinių išpuolių ir pirminės IRT infrastruktūros pakeitimo atsarginiais pajėgumais, atsarginėmis kopijomis ir atsarginiais įrenginiais, būtinais 12 straipsnyje nustatytoms pareigoms įvykdyti, scenarijus.

Finansų sektoriaus subjektai reguliariai peržiūri savo IRT veiklos tęstinumo politiką ir IRT reagavimo ir veiklos atkūrimo planus, atsižvelgdami į pagal pirmą pastraipą atliktų testų rezultatus ir rekomendacijas, pateiktas atlikus audito patikras arba priežiūrinį tikrinimą.