(a)

jerfa’ r-responsabbiltà aħħarija għall-ġestjoni tar-riskji tal-ICT tal-entità finanzjarja;

(b)

jistabbilixxi politiki li għandhom l-għan li jiżguraw iż-żamma ta’ standards għolja ta’ disponibbiltà, awtentiċità, integrità u kunfidenzjalità tad-data;

(c)

jistabbilixxi rwoli u responsabbiltajiet ċari għall-funzjonijiet kollha marbuta mal-ICT u jistabbilixxi arranġamenti xierqa ta’ governanza sabiex jiżgura l-komunikazzjoni, il-kooperazzjoni u l-koordinazzjoni effettivi u f’waqthom fost dawk il-funzjonijiet;

(d)

jerfa’ r-responsabbiltà globali għall-istabbiliment u l-approvazzjoni tal-istrateġija ta’ reżiljenza operazzjonali diġitali kif imsemmija fl-Artikolu 6(8), inkluż id-determinazzjoni tal-livell xieraq ta’ tolleranza għar-riskju tal-ICT tal-entità finanzjarja, kif imsemmi fl-Artikolu 6(8), il-punt (b);

(e)

japprova, jissorvelja u jirrieżamina perjodikament l-implimentazzjoni tal-politika ta’ kontinwità ta’ negozju tal-ICT tal-entità finanzjarja u tal-pjanijiet ta’ rispons u ta’ rkupru għall-ICT, imsemmija, rispettivament, fl-Artikolu 11(1) u (3), li jistgħu jiġu adottati bħala politika speċifika ddedikata li tifforma parti integrali mill-politika globali ta’ kontinwità ta’ negozju tal-entità finanzjarja u mill-pjan ta’ rispons u ta’ rkupru;

(f)

japprova u jirrieżamina perjodikament il-pjanijiet tal-entità finanzjarja tal-awditu intern tal-ICT, l-awditi tal-ICT u l-modifiki materjali għalihom;

(g)

jalloka u jirrevedi perjodikament il-baġit xieraq biex jissodisfa l-ħtiġijiet ta’ reżiljenza operazzjonali diġitali tal-entità finanzjarja fir-rigward tat-tipi kollha ta’ riżorsi, inkluż programmi rilevanti ta’ sensibilizzazzjoni dwar is-sigurtà tal-ICT u taħriġ fir-reżiljenza operazzjonali diġitali kif imsemmi fl-Artikolu 13(6), u ħiliet fl-ICT għall-persunal kollu;

(h)

japprova u jirrieżamina perjodikament il-politika tal-entità finanzjarja dwar l-arranġamenti rigward l-użu tas-servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT;

(i)

jistabbilixxi, fil-livell korporattiv, kanali ta’ rapportar li permezz tagħhom jiġi infurmat kif xieraq dwar dan li ġej:

(a)

jiżviluppaw u jiddokumentaw politika tas-sigurtà tal-informazzjoni li tiddefinixxi r-regoli għall-protezzjoni tad-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-assi tal-informazzjoni u l-assi tal-ICT, inkluż dawk tal-klijenti tagħhom, fejn applikabbli;

(b)

waqt li jsegwu approċċ ibbażat fuq ir-riskju, jistabbilixxu struttura għaqlija għall-ġestjoni tan-netwerk u tal-infrastruttura bl-użu ta’ tekniki, metodi u protokolli xierqa li jistgħu jinkludu l-implimentazzjoni ta’ mekkaniżmi awtomatizzati biex jiżolaw l-assi tal-informazzjoni fil-każ li jintlaqtu minn ċiberattakki;

(c)

jimplimentaw politiki li jillimitaw l-aċċess fiżiku jew loġiku għall-assi tal-informazzjoni u għall-assi tal-ICT għal dak li huwa meħtieġ għall-funzjonijiet u l-attivitajiet leġittimi u approvati biss, u għal dak il-għan jistabbilixxu sett ta’ politiki, proċeduri u kontrolli li jindirizzaw id-drittijiet tal-aċċess u jiżguraw l-amministrazzjoni għaqlija tagħhom;

(d)

jimplimentaw politiki u protokolli għal mekkaniżmi ta’ awtentikazzjoni b’saħħithom, ibbażati fuq standards rilevanti u sistemi ta’ kontroll dedikati, u miżuri ta’ protezzjoni ta’ ċwievet kriptografiċi li bihom id-data tiġi kriptata abbażi tar-riżultati ta’ proċessi approvati ta’ klassifikazzjoni tad-data u ta’ valutazzjoni tar-riskju tal-ICT;

(e)

jimplimentaw politiki, proċeduri u kontrolli dokumentati għall-ġestjoni tal-bidliet fl-ICT, inkluż bidliet fis-software, fil-hardware, fil-komponenti tal-firmware, parametri ta’ sistemi jew sigurtà, li jkunu bbażati fuq approċċ ta’ valutazzjoni tar-riskju u li huma parti integrali mill-proċess globali ta’ ġestjoni tat-tibdil tal-entità finanzjarja, sabiex jiżguraw li l-bidliet kollha fis-sistemi tal-ICT jiġu rreġistrati, ittestjati, ivvalutati, approvati, implimentati u vverifikati b’mod ikkontrollat;

(f)

ikollhom politiki dokumentati xierqa u komprensivi għal software korrettiv u ta’ aġġornament.