§ 20.

1. W podmiocie funkcjonuje sformalizowany, skuteczny system zarządzania bezpieczeństwem środowiska teleinformatycznego, zapewniający adekwatny do poziomu ryzyka poziom bezpieczeństwa informacji.

2. Podmiot wprowadza zabezpieczenia urządzeń uniemożliwiające nieuprawniony dostęp do systemów teleinformatycznych i przetwarzania danych.

3. Systemy teleinformatyczne podmiotu są zabezpieczone przed nieuprawnionym dostępem do danych przetwarzanych przez te systemy.

4. Podmiot opracowuje i wdraża wewnętrzne procedury dostępu do jego systemów teleinformatycznych oraz stosuje sformalizowane zasady oraz mechanizmy techniczne zapewniające właściwy poziom kontroli dostępu logicznego do danych i informacji oraz dostępu fizycznego do kluczowych elementów infrastruktury teleinformatycznej, umożliwiające odtworzenie historii dostępu do systemów teleinformatycznych, wraz z historią modyfikacji i przetwarzania danych.

5. Urządzenia i systemy teleinformatyczne podmiotu powinny być zabezpieczone przed utratą danych spowodowaną awarią, zakłóceniami lub zdarzeniami losowymi. W celu zapewnienia ciągłości obsługi i pracy systemów teleinformatycznych podmiot, przynajmniej raz dziennie, tworzy kopię bazy danych lub stosuje inne środki techniczne umożliwiające odtworzenie danych oraz podjęcie pracy systemów teleinformatycznych w przypadku awarii lub utraty części lub całości danych w podstawowych bazach danych. Podmiot zapewnia poufność, integralność i dostępność kopii bazy danych.