Artykuł 2

1. Polityki zarządzania ryzykiem, o których mowa w art. 19a ust. 1 rozporządzenia (UE) nr 910/2014, wyraźnie określają usługi zaufania, do których mają zastosowanie, dotyczą określonych usług zaufania i zatwierdza je organ zarządzający niekwalifikowanego dostawcy usług zaufania.

2. Polityki zarządzania ryzykiem obejmują co najmniej wszystkie następujące elementy:

a) ogólny poziom tolerancji ryzyka zgodnie z krytycznością i wymaganym poziomem bezpieczeństwa usług zaufania, z uwzględnieniem najnowszych osiągnięć technologicznych;

b) odpowiednie kryteria ryzyka, w tym co najmniej prawdopodobieństwo, wpływ i poziom ryzyka, z uwzględnieniem analizy zagrożeń cyberbezpieczeństwa i podatności na nie;

c) podejście do identyfikacji i dokumentowania ryzyka związanego ze świadczeniem usług zaufania, z uwzględnieniem pełnego zakresu systemu informacyjnego wykorzystywanego przez niekwalifikowanego dostawcę usług zaufania, w tym ryzyka związanego z elementami systemu, a także z wszelkimi aktywnymi lub biernymi stronami zaangażowanymi we wdrażanie systemu lub w świadczenie usług zaufania;

d) proces oceny zidentyfikowanego ryzyka w oparciu o kryteria ryzyka, o których mowa w lit. b);

e) proces identyfikacji, szeregowania pod względem ważności i stałego monitorowania wdrażania odpowiednich środków postępowania z ryzykiem;

f) proces stałego monitorowania wdrażania polityk zarządzania ryzykiem.

3. Niekwalifikowani dostawcy usług zaufania ustanawiają odpowiednie procedury i przechowują dokumenty w celu zapewnienia wdrożenia wymogów określonych w mających zastosowanie przepisach.

4. Niekwalifikowani dostawcy usług zaufania ustanawiają odpowiednie udokumentowane procedury zapewniające monitorowanie unijnych i krajowych zmian ustawodawczych i regulacyjnych, które mogą mieć wpływ na świadczenie usług zaufania.