Sekcja II

są odpowiednie do skali operacji wspierających prowadzenie ich działalności, zgodnie z zasadą proporcjonalności, o której mowa w art. 4;

są wiarygodne;

mają wystarczającą zdolność do dokładnego przetwarzania danych niezbędnych do prowadzenia działalności i terminowego świadczenia usług oraz do obsługi wolumenów zleceń, komunikatów lub transakcji występujących w okresach szczytowego obciążenia, w zależności od potrzeb, w tym w przypadku wprowadzenia nowej technologii;

są odporne pod względem technologicznym, aby odpowiednio poradzić sobie z dodatkowymi potrzebami w zakresie przetwarzania informacji wymaganymi w skrajnych warunkach rynkowych lub w innych niekorzystnych sytuacjach.

doprecyzowania elementów, które należy uwzględnić w politykach, procedurach, protokołach i narzędziach w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2, w celu zapewnienia bezpieczeństwa sieci, odpowiednich zabezpieczeń przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem, zachowania dostępności, autentyczności, integralności oraz poufności danych, w tym technik kryptograficznych, oraz zagwarantowania dokładnego i szybkiego przesyłania danych bez poważnych zakłóceń i zbędnych opóźnień;

doprecyzowania elementów kontroli praw zarządzania dostępem, o których mowa w art. 9 ust. 4 lit. c), oraz związanej z nimi polityki zasobów ludzkich określającej prawa dostępu, procedury przyznawania i cofania praw, monitorowanie nietypowych zachowań w odniesieniu do ryzyka związanego z ICT za pomocą odpowiednich wskaźników, w tym dotyczących wzorców wykorzystania sieci, godzin, działalności informatycznej i nieznanych urządzeń;

doprecyzowania elementów określonych w art. 10 ust. 1 umożliwiających szybkie wykrywanie nietypowych działań oraz określonych w art. 10 ust. 2 kryteriów uruchamiania procesów wykrywania incydentów związanych z ICT i reagowania na nie;

doprecyzowania elementów strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11 ust. 1;

doprecyzowania testowania planów ciągłości działania w zakresie ICT, o których mowa w art. 11 ust. 6, aby zapewnić, by w ramach takiego testowania w należyty sposób uwzględniono scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona, a także w należyty sposób uwzględniono potencjalny wpływ niewypłacalności lub innych rodzajów awarii któregokolwiek z odnośnych zewnętrznych dostawców usług ICT oraz, w stosownych przypadkach, ryzyko polityczne w jurysdykcjach odnośnych dostawców;

doprecyzowania elementów planów reagowania i przywracania sprawności ICT, o których mowa w art. 11 ust. 3;

doprecyzowania treści i formatu sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w art. 6 ust. 5.