Artikel 31 1.

een bepaling van de risicotolerantieniveaus voor ICT-risico, in overeenstemming met de risicobereidheid van de financiële entiteit;

de identificatie en beoordeling van de ICT-risico’s waaraan de financiële entiteit is blootgesteld;

de specificatie van strategieën voor het mitigeren van ten minste de ICT-risico’s die niet binnen de risicotolerantieniveaus van de financiële entiteit vallen;

de monitoring van de doeltreffendheid van de in punt c) bedoelde mitigatiestrategieën;

de identificatie en beoordeling van ICT- en informatiebeveiligingsrisico’s als gevolg van majeure wijzigingen in ICT-systemen of ICT-diensten, -processen of -procedures en van uitkomsten van tests van de ICT-beveiliging en na majeure ICT-incidenten.