Artykuł 28 2.

ponosił ogólną odpowiedzialność za zapewnienie, aby uproszczone ramy zarządzania ryzykiem związanym z ICT umożliwiały realizację strategii biznesowej podmiotu finansowego zgodnie ze skłonnością tego podmiotu finansowego do podejmowania ryzyka, oraz zapewniały uwzględnienie ryzyka związanego z ICT w tym kontekście;

określał jasne role i obowiązki w odniesieniu do wszystkich zadań związanych z ICT;

określał cele w zakresie bezpieczeństwa informacji i wymogi dotyczące ICT;

zatwierdzał następujące elementy, nadzorował je i okresowo poddawał je przeglądowi:

przydzielał budżet niezbędny do zaspokojenia potrzeb podmiotu finansowego w zakresie operacyjnej odporności cyfrowej w odniesieniu do wszystkich rodzajów zasobów, w tym odpowiednich programów zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkoleń w zakresie operacyjnej odporności cyfrowej i umiejętności ICT dla wszystkich pracowników, i przynajmniej raz w roku dokonywał przeglądu tego budżetu;

określał i wdrażał polityki i środki zawarte w rozdziałach I, II i III niniejszego tytułu w celu identyfikacji i oceny ryzyka związanego z ICT, na które narażony jest podmiot finansowy, oraz zarządzania tym ryzykiem;

identyfikował i wdrażał procedury, protokoły i narzędzia ICT, które są niezbędne do ochrony wszystkich zasobów informacyjnych i zasobów ICT;

zapewniał, aby pracownicy podmiotu finansowego posiadali aktualną wiedzę i umiejętności wystarczające do zrozumienia i oceny ryzyka związanego z ICT i jego wpływu na działalność podmiotu finansowego, współmiernie do ryzyka związanego z ICT będącego przedmiotem zarządzania;

określał ustalenia w zakresie sprawozdawczości, w tym częstotliwość, formę i treść sprawozdań dla organu zarządzającego w zakresie bezpieczeństwa informacji i operacyjnej odporności cyfrowej.