У розділі IV:
1) у назві розділу слова та літери “критичної інформаційної інфраструктури банків ОКІ” замінити словами “критичної інфраструктури банків - операторів критичної інфраструктури”;
2) пункти 30-33 викласти в такій редакції:
“30. Банк - оператор критичної інфраструктури зобов’язаний віднести до об’єктів критичної інформаційної інфраструктури (далі - ОКІІ) інформаційні системи об’єкта критичної інфраструктури, які відповідають двом критеріям:
1) порушення функціонування інформаційних систем внаслідок кіберінциденту, кібератаки безпосередньо вплине на стале функціонування об’єкта критичної інфраструктури банку - оператора критичної інфраструктури;
2) у банку - оператора критичної інфраструктури немає альтернативних за функціональними можливостями інформаційних систем для забезпечення сталого функціонування об’єкта критичної інфраструктури банку - оператора критичної інфраструктури.
31. Банк - оператор критичної інфраструктури має право віднести до ОКІІ інші інформаційні системи, що безпосередньо забезпечують автоматизацію процесів надання банком - оператором критичної інфраструктури банківських, фінансових послуг та здійснення інших видів його діяльності відповідно до статті 47 Закону України “Про банки і банківську діяльність”, надання кваліфікованих електронних довірчих послуг за умови відповідності критеріям, викладеним у підпункті 2 пункту 30 розділу IV цього Положення.
32. Банк - оператор критичної інфраструктури зобов’язаний протягом місяця з дня отримання повідомлення від Національного банку про внесення відомостей про його об’єкти критичної інфраструктури до реєстру об’єктів критичної інфраструктури:
1) сформувати та затвердити перелік інформаційних систем банку - оператора критичної інфраструктури, віднесених до ОКІІ (далі - перелік ОКІІ), відповідно до пунктів 30, 31 розділу IV цього Положення;
2) надати затверджений перелік ОКІІ Національному банку в спосіб, установлений у пункті 41 розділу IV цього Положення.
33. Банк - оператор критичної інфраструктури зобов’язаний підтримувати в актуальному стані перелік ОКІІ та надавати Національному банку в спосіб, установлений у пункті 41 розділу IV цього Положення, оновлений перелік ОКІІ протягом місяця з дня його затвердження.”;
3) у пункті 34:
підпункт 1 після слова “щороку” доповнити словами та цифрами “станом на 01 листопада”;
у підпункті 2 слова та цифри “до 20 грудня” замінити словами та цифрами “до 01 грудня та надає актуалізований перелік ОКІІ (у разі його оновлення) у спосіб, установлений у пункті 41 розділу IV цього Положення.”;
4) у пункті 35:
в абзаці першому слова та літери “власного переліку ОКІІ:” замінити словами та літерами “переліку ОКІІ або його оновлення:”;
у підпункті 3 слова “в банківській системі України шляхом завантаження через портал Центру кіберзахисту” замінити словами “в спосіб, установлений у пункті 41 розділу IV цього Положення”;
5) у пункті 36:
абзац перший доповнити словами “та надавати Національному банку ці відомості протягом місяця з дня їх актуалізації у спосіб, установлений у пункті 41 розділу IV цього Положення.”;
в абзаці третьому слово “термін” замінити словом “строк”;
6) у підпункті 1 пункту 37 слова, літери та цифри “, що визначені в додатку А до Національного стандарту України ДСТУ ISO/IEC 27001:2015” виключити;
7) підпункт 4 пункту 38 викласти в такій редакції:
“4) пріоритетної реалізації заходів кіберзахисту критичної інформаційної інфраструктури банку - оператора критичної інфраструктури відповідно до розробленого Плану реагування в разі кібератаки (спроби реалізації кіберзагрози) на об’єкти кіберзахисту банку - оператора критичної інфраструктури;”;
8) пункт 41 викласти в такій редакції:
“41. Відомості про ОКІІ є інформацією з обмеженим доступом. Банки - оператори критичної інфраструктури зобов’язані надавати інформацію (інформування про перегляд переліків ОКІІ, переліки ОКІІ, відомості про ОКІІ) у випадках, визначених у пунктах 32-36 розділу IV цього Положення, в електронній формі через АРМ-НБУ-інформаційний.”.