a)

vypracúvajú a zdokumentujú politiku v oblasti informačnej bezpečnosti, v ktorej sa vymedzujú pravidlá na ochranu dostupnosti, pravosti, integrity a dôvernosti údajov, informačných aktív a IKT aktív vrátane prípadných údajov a aktív ich zákazníkov;

b)

na základe prístupu založeného na riziku zavedú spoľahlivé riadenie siete a infraštruktúry pomocou vhodných techník, metód a protokolov, ktoré môžu zahŕňať zavedenie automatizovaných mechanizmov na izolovanie dotknutých informačných aktív v prípade kybernetických útokov;

c)

vykonávajú politiky, ktoré obmedzujú fyzický alebo logický prístup k informačným aktívam a IKT aktívam len na to, čo je nevyhnutné pre legitímne a schválené funkcie a činnosti, a na tento účel zavedú súbor politík, postupov a kontrol, ktoré sa zaoberajú oprávneniami na prístup a zabezpečujú ich riadnu správu;

d)

vykonávajú politiky a protokoly pre silné mechanizmy autentifikácie založené na príslušných normách a špecializovaných kontrolných systémoch, ako aj ochranné opatrenia v podobe šifrovacích kľúčov, pričom údaje sú šifrované na základe výsledkov schválenej klasifikácie údajov a procesov posudzovania IKT rizika;

e)

vykonávajú zdokumentované politiky, postupy a kontroly riadenia zmien IKT vrátane zmien komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, ktoré sú založené na prístupe posudzovania rizík a sú neoddeliteľnou súčasťou celkového procesu riadenia zmien finančného subjektu s cieľom zabezpečiť, aby sa všetky zmeny IKT systémov zaznamenávali, testovali, posudzovali, schvaľovali, vykonávali a overovali kontrolovaným spôsobom;

f)

majú vhodné a komplexné zdokumentované politiky týkajúce sa opráv a aktualizácií.

a)

zavedú a udržiavajú spoľahlivý a zdokumentovaný rámec riadenia IKT rizika, v ktorom sa podrobne opisujú mechanizmy a opatrenia zamerané na rýchle, účinné a komplexné riadenie IKT rizika vrátane ochrany príslušných fyzických zložiek a infraštruktúr;

b)

neustále monitorujú bezpečnosť a fungovanie všetkých IKT systémov;

c)

minimalizujú vplyv IKT rizika využívaním spoľahlivých, odolných a aktualizovaných IKT systémov, protokolov a nástrojov, ktoré sú vhodné na podporu výkonu ich činností a poskytovania služieb a na primeranú ochranu dostupnosti, pravosti, integrity a dôvernosti údajov v sieťach a informačných systémoch;

d)

umožňujú rýchlo identifikovať a odhaľovať zdroje IKT rizika a anomálií v sieťach a informačných systémoch a rýchlo riešiť incidenty súvisiace s IKT;

e)

identifikujú kľúčové závislosti od externých poskytovateľov IKT služieb;

f)

zabezpečujú kontinuitu kritických alebo dôležitých funkcií prostredníctvom plánov kontinuity činností a opatrení reakcie a obnovy, ktoré zahŕňajú aspoň záložné a reštaurovacie opatrenia;

g)

pravidelne testujú plány a opatrenia uvedené v písmene f), ako aj účinnosť kontrol vykonaných v súlade s písmenami a) a c);

h)

náležite vykonávajú príslušné operatívne závery, ktoré vyplývajú z testov uvedených v písmene g) a z analýzy po incidente, do procesu posudzovania IKT rizika a v súlade s potrebami a rizikovým profilom v oblasti IKT vypracúvajú programy zvyšovania informovanosti v oblasti bezpečnosti IKT a školenia digitálnej prevádzkovej odolnosti pre zamestnancov a manažment.