(a)

jiżviluppaw u jiddokumentaw politika tas-sigurtà tal-informazzjoni li tiddefinixxi r-regoli għall-protezzjoni tad-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-assi tal-informazzjoni u l-assi tal-ICT, inkluż dawk tal-klijenti tagħhom, fejn applikabbli;

(b)

waqt li jsegwu approċċ ibbażat fuq ir-riskju, jistabbilixxu struttura għaqlija għall-ġestjoni tan-netwerk u tal-infrastruttura bl-użu ta’ tekniki, metodi u protokolli xierqa li jistgħu jinkludu l-implimentazzjoni ta’ mekkaniżmi awtomatizzati biex jiżolaw l-assi tal-informazzjoni fil-każ li jintlaqtu minn ċiberattakki;

(c)

jimplimentaw politiki li jillimitaw l-aċċess fiżiku jew loġiku għall-assi tal-informazzjoni u għall-assi tal-ICT għal dak li huwa meħtieġ għall-funzjonijiet u l-attivitajiet leġittimi u approvati biss, u għal dak il-għan jistabbilixxu sett ta’ politiki, proċeduri u kontrolli li jindirizzaw id-drittijiet tal-aċċess u jiżguraw l-amministrazzjoni għaqlija tagħhom;

(d)

jimplimentaw politiki u protokolli għal mekkaniżmi ta’ awtentikazzjoni b’saħħithom, ibbażati fuq standards rilevanti u sistemi ta’ kontroll dedikati, u miżuri ta’ protezzjoni ta’ ċwievet kriptografiċi li bihom id-data tiġi kriptata abbażi tar-riżultati ta’ proċessi approvati ta’ klassifikazzjoni tad-data u ta’ valutazzjoni tar-riskju tal-ICT;

(e)

jimplimentaw politiki, proċeduri u kontrolli dokumentati għall-ġestjoni tal-bidliet fl-ICT, inkluż bidliet fis-software, fil-hardware, fil-komponenti tal-firmware, parametri ta’ sistemi jew sigurtà, li jkunu bbażati fuq approċċ ta’ valutazzjoni tar-riskju u li huma parti integrali mill-proċess globali ta’ ġestjoni tat-tibdil tal-entità finanzjarja, sabiex jiżguraw li l-bidliet kollha fis-sistemi tal-ICT jiġu rreġistrati, ittestjati, ivvalutati, approvati, implimentati u vverifikati b’mod ikkontrollat;

(f)

ikollhom politiki dokumentati xierqa u komprensivi għal software korrettiv u ta’ aġġornament.

(a)

jistabbilixxi indikaturi ta’ twissija bikrija;

(b)

jistabbilixxi proċeduri biex jidentifikaw, jittraċċaw, jirreġistraw, jikkategorizzaw u jikklassifikaw inċidenti relatati mal-ICT skont il-prijorità tagħhom u s-severità u skont il-kritikalità tas-servizzi milquta, f’konformità mal-kriterji stabbiliti fl-Artikolu 18(1);

(c)

jassenja rwoli u responsabbiltajiet li jeħtieġ li jiġu attivati għal tipi u xenarji differenti ta’ inċidenti relatati mal-ICT;

(d)

jistabbilixxi pjanijiet għall-komunikazzjoni mal-persunal, mal-partijiet ikkonċernati esterni u mal-media f’konformità mal-Artikolu 14, u għan-notifika lill-klijenti, għall-proċeduri interni ta’ eskalazzjoni, inkluż ilmenti tal-klijenti relatati mal-ICT, kif ukoll għall-għoti ta’ informazzjoni lill-entitajiet finanzjarji li jaġixxu bħala kontropartijiet, kif xieraq;

(e)

jiżgura li mill-inqas l-inċidenti l-kbar relatati mal-ICT jiġu rrappurtati lill-maniġment superjuri rilevanti u li l-korp maniġerjali jiġi infurmat dwar inċidenti relatati mal-ICT, mill-inqas dawk kbar, filwaqt li jispjega l-impatt, ir-rispons u l-kontrolli addizzjonali li għandhom jiġu stabbiliti bħala riżultat ta’ inċidenti bħal dawn relatati mal-ICT;

(f)

jistabbilixxi proċeduri ta’ rispons għal inċidenti relatati mal-ICT biex jittaffu l-impatti u jiżgura li s-servizzi jsiru operazzjonali u siguri fil-waqt.