Artykuł 15

1. Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe opracowują, dokumentują i wdrażają politykę zarządzania projektami ICT.

2. W polityce zarządzania projektami ICT, o której mowa w ust. 1, określa się elementy, które zapewniają skuteczne zarządzanie projektami ICT związanymi z pozyskiwaniem, utrzymaniem i, w stosownych przypadkach, rozwojem systemów ICT podmiotu finansowego.

3. W polityce zarządzania projektami ICT, o której mowa w ust. 1, określa się wszystkie następujące elementy:

a) cele projektu ICT;

b) zarządzanie projektem ICT, w tym role i obowiązki;

c) planowanie projektu ICT, ramy czasowe i etapy;

d) ocenę ryzyka projektu ICT;

e) odpowiednie etapy pośrednie;

f) wymogi dotyczące zarządzania zmianą;

g) testowanie pod kątem wszystkich wymogów, w tym wymogów bezpieczeństwa, oraz odpowiedni proces zatwierdzania przy wdrażaniu systemu ICT w środowisku produkcyjnym.

4. Polityka zarządzania projektami ICT, o której mowa w ust. 1, zapewnia bezpieczną realizację projektu ICT dzięki dostarczeniu niezbędnych informacji i wiedzy fachowej z obszaru działalności lub funkcji, na które dany projekt ICT ma wpływ.

5. Zgodnie z oceną ryzyka projektu ICT, o której mowa w ust. 3 lit. d), w polityce zarządzania projektami ICT, o której mowa w ust. 1, przewiduje się konieczność informowania organu zarządzającego o ustanowieniu i postępach w realizacji projektów ICT mających wpływ na krytyczne lub istotne funkcje podmiotu finansowego oraz o związanym z nimi ryzyku w następujący sposób:

a) indywidualnie lub zbiorczo, w zależności od znaczenia i wielkości projektów ICT;

b) okresowo oraz, w razie potrzeby, doraźnie w związku z określonymi zdarzeniami.