Člen 28 2.

nosi splošno odgovornost za zagotavljanje, da poenostavljen okvir za obvladovanje tveganj na področju IKT omogoča doseganje poslovne strategije finančnega subjekta v skladu z nagnjenostjo tega finančnega subjekta k prevzemanju tveganj, in zagotavlja, da se v tem kontekstu upošteva tveganje na področju IKT;

določi jasne vloge in odgovornosti za vse naloge v zvezi z IKT;

določi cilje glede informacijske varnosti in zahteve v zvezi z IKT;

odobri, nadzoruje in redno pregleduje:

dodeli in vsaj enkrat letno pregleda proračun, ki je potreben, da lahko finančni subjekt izpolnjuje potrebe po digitalni operativni odpornosti v zvezi z vsemi vrstami virov, vključno z ustreznimi programi ozaveščanja o varnosti IKT in usposabljanjem o digitalni operativni odpornosti ter spretnostmi na področju IKT za vse zaposlene;

določi in izvaja politike in ukrepe iz poglavij I, II in III tega naslova za identifikacijo, oceno in obvladovanje tveganja na področju IKT, ki mu je izpostavljen finančni subjekt;

opredeli in izvaja postopke, protokole in orodja IKT, ki so potrebni za zaščito vseh informacijskih sredstev in sredstev IKT;

zagotovi, da zaposleni v finančnem subjektu obnavljajo zadostno znanje in spretnosti, da lahko razumejo in ocenijo tveganje na področju IKT ter njegov učinek na poslovanje finančnega subjekta, in sicer sorazmerno s tveganjem na področju IKT, ki se obvladuje;

določi ureditve poročanja, vključno s pogostostjo, obliko in vsebino poročanja upravljalnemu organu o informacijski varnosti in digitalni operativni odpornosti.