У розділі V:
1) пункт 42 викласти в такій редакції:
“42. Банк зобов’язаний проводити незалежний аудит інформаційної безпеки (далі - зовнішній аудит).
Банк самостійно встановлює періодичність проведення зовнішнього аудиту. Періодичність проведення зовнішнього аудиту для банку - оператора критичної інфраструктури залежить від категорії критичності ОКІ та становить:
1) не рідше ніж один раз на два роки для об’єктів I та II категорій критичності;
2) не рідше ніж один раз на три роки для об’єктів III категорії критичності.
Зовнішній аудит проводиться згідно з нормами законодавства України, національних стандартів та з урахуванням міжнародних стандартів аудиту. Програма аудиту формується, ураховуючи особливості діяльності банку, характер та обсяг банківських, фінансових послуг та інших видів діяльності.
Допускається проведення зовнішнього аудиту в межах аудиту щорічної перевірки фінансової звітності, консолідованої фінансової звітності та іншої інформації щодо фінансово-господарської діяльності аудиторською фірмою.”;
2) підпункт 1 пункту 43 викласти в такій редакції:
“1) аудиторську фірму для проведення зовнішнього аудиту серед юридичних осіб - резидентів України відповідно до законодавства України з урахуванням обмежень щодо заборони залучати до проведення незалежного аудиту:
одну і ту саму аудиторську фірму двічі поспіль;
аудиторську фірму - юридичну особу або фізичну особу-підприємця, що є резидентом держави-агресора чи держави, що здійснює / здійснювала збройну агресію проти України, або має кінцевих бенефіціарних власників, яка є резидентом держави-агресора або держави, що здійснює / здійснювала збройну агресію проти України, або здійснює обробку або зберігання даних за допомогою технології хмарних обчислень та центрів обробки даних, що розміщені на території держави-агресора, держави, що здійснює / здійснювала збройну агресію проти України, тимчасово окупованій території та/або належать суб’єктам, діяльність яких підпадає під дію Закону України “Про санкції” та стосовно яких прийнято рішення про застосування санкцій в Україні;”;
3) підпункт 2 пункту 44 викласти в такій редакції:
“2) відповідності впровадження СУІБ банку за стандартом Міжнародної організації зі стандартизації (ISO, англійською мовою International Organization for Standardization) / Міжнародної електротехнічної комісії (IEC, англійською мовою International Electrotechnical Commission) 27001.”.