Банк зобов’язаний інформувати Національний банк про істотні зміни в організації інформаційної безпеки та кіберзахисту банку, пов’язані з:
1) звільненням або переміщенням на іншу посаду/призначенням CISO;
2) змінами в розподілі функцій, обов’язків і повноважень органів управління та контролю банку в частині питань інформаційної безпеки та кіберзахисту;
3) змінами в організаційній структурі банку в частині підрозділів, до функцій яких належить забезпечення інформаційної безпеки та кіберзахисту банку;
4) ухваленням рішення щодо запровадження нового продукту або значних змін у діяльності банку, що матимуть вплив на організацію інформаційної безпеки та кіберзахисту банку;
5) ухваленням рішення щодо передачі на аутсорсинг функцій із забезпечення інформаційної безпеки/кіберзахисту банку або зміни постачальника таких послуг.
Банк здійснює таке інформування шляхом подання повідомлення засобами системи електронної пошти Національного банку за формою згідно з додатком 1 до цього Положення протягом п’яти робочих днів із дня запровадження таких змін.