1. Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre une politique de gestion des actifs de TIC.
2. La politique de gestion des actifs de TIC visée au paragraphe 1:
a) prescrit le suivi et la gestion du cycle de vie des actifs de TIC identifiés et classés conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554;
b) prescrit la tenue par l’entité financière d’un registre de tous les éléments suivants:
i) l’identifiant unique de chaque actif de TIC;
ii) des informations sur la localisation, physique ou logique, de tous les actifs de TIC;
iii) le classement de tous les actifs de TIC, tel que prévu par l’article 8, paragraphe 1, du règlement (UE) 2022/2254;
iv) l’identité des propriétaires d’actifs de TIC;
v) les fonctions ou services «métiers» soutenus par l’actif de TIC;
vi) les exigences en matière de continuité des activités de TIC, notamment les objectifs en matière de délai de rétablissement et de point de rétablissement;
vii) une mention précisant si l’actif de TIC est ou peut être exposé à des réseaux externes, y compris l’internet;
viii) les liens et interdépendances existant entre les actifs de TIC et les fonctions «métiers» qui utilisent chacun de ces actifs;
ix) le cas échéant, pour tous les actifs de TIC, les dates d’expiration des services d’appui réguliers, étendus et sur mesure fournis par des prestataires tiers de services TIC, après lesquelles ces actifs de TIC ne sont plus pris en charge par leur fournisseur ou par un prestataire tiers de services TIC;
c) prescrit la tenue, par les entités financières autres que des microentreprises, d’un registre des informations nécessaires pour procéder à l’évaluation spécifique du risque lié aux TIC sur tous les systèmes de TIC hérités prévue par l’article 8, paragraphe 7, du règlement (UE) 2022/2554.