Artykuł 38 2.

Podmioty finansowe, o których mowa w ust. 1, opracowują, dokumentują i wdrażają procedurę zarządzania zmianą w systemach ICT w celu zapewnienia, aby wszystkie zmiany w systemach ICT były rejestrowane, testowane, oceniane, zatwierdzane, wdrażane i weryfikowane w sposób kontrolowany oraz przy zastosowaniu odpowiednich zabezpieczeń w celu zachowania operacyjnej odporności cyfrowej podmiotu finansowego.