8 straipsnis. Nustatymas

1. Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai nustato, klasifikuoja ir tinkamai pagrindžia dokumentais visas IRT palaikomas veiklos funkcijas, vaidmenis ir pareigas, informacinį turtą ir IRT turtą, kuriais palaikomos šios funkcijos, taip pat jų vaidmenis ir priklausomybę, kiek tai susiję su IRT rizika. Prireikus ir bent kartą per metus finansų sektoriaus subjektai peržiūri šio klasifikavimo ir atitinkamų dokumentų tinkamumą.

2. Finansų sektoriaus subjektai nuolat nustato visus IRT rizikos, visų pirma rizikos kitų finansų sektoriaus subjektų atžvilgiu ir pastarųjų keliamos rizikos, šaltinius ir vertina kibernetines grėsmes ir IRT pažeidžiamumus, susijusius su jų IRT palaikomomis veiklos funkcijomis, informaciniu turtu ir IRT turtu. Finansų sektoriaus subjektai reguliariai ir bent kartą per metus peržiūri jiems poveikį darančius rizikos scenarijus.

3. Finansų sektoriaus subjektai, išskyrus labai mažas įmones, atlieka rizikos vertinimą po kiekvieno svarbaus tinklų ir informacinių sistemų infrastruktūros, procesų ar procedūrų, turinčių įtakos jų IRT palaikomoms veiklos funkcijoms, informaciniam turtui ar IRT turtui, pakeitimo.

4. Finansų sektoriaus subjektai įvardija visą informacinį turtą ir IRT turtą, įskaitant esantį nutolusiose vietose, tinklo išteklius ir aparatinę įrangą ir pažymi tuos, kurie laikomi esančiais ypatingos svarbos. Jie pažymi informacinio turto ir IRT turto konfigūraciją ir skirtingo informacinio turto ir IRT turto sąsajas ir tarpusavio priklausomybę.

5. Finansų sektoriaus subjektai nustato ir dokumentais pagrindžia visus procesus, kurie priklauso nuo IRT paslaugas teikiančių trečiųjų šalių, ir nustato tarpusavio sąsajas su IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios teikia paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos.

6. 1, 4 ir 5 dalių tikslais finansų sektoriaus subjektai tvarko atitinkamus aprašus ir juos atnaujina reguliariai ir kiekvieną kartą, kai padaromas esminis pakeitimas, kaip nurodyta 3 dalyje.

7. Finansų sektoriaus subjektai, išskyrus labai mažas įmones, reguliariai ir bent kartą per metus atlieka specialų visų senųjų IRT sistemų IRT rizikos vertinimą; bet kuriuo atveju jis atliekamas prieš technologijų, programų ar sistemų sujungimą ir po jo.