第四条 《 信息安全技术信息系统灾难恢复规范》（GB/T20988－2007）中的条款通过本指引的引用而成为本指引的条款。
第二章 设立与变更
第五条 商业银行应于取得金融许可证后两年内，设立生产中心；生产中心设立后两年内，设立灾备中心。
第六条 商业银行数据中心应配置满足业务运营与管理要求的场地、基础设施、网络、信息系统和人员，并具备支持业务不间断服务的能力。
第七条 总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级农村信用联合社应设立异地模式灾备中心，重要信息系统灾难恢复能力应达到《 信息安全技术信息系统灾难恢复规范》 中定义的灾难恢复等级第5级（含）以上；其他法人商业银行应设立同城模式灾备中心并实现数据异地备份，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第4级（含）以上。
第八条 商业银行应就数据中心设立，数据中心服务范围、服务职能和场所变更，以及其他对数据中心持续运行具有较大影响的重大变更事项向中国银监会或其派出机构报告。
第九条 商业银行应在数据中心规划筹建阶段，以及在数据中心正式运营前至少20个工作日，向中国银监会或其派出机构报告。
第十条 商业银行变更数据中心场所时应至少提前2个月，其他重大变更应至少提前10个工作日向中国银监会或其派出机构报告。
第三章 风险管理
第十一条 商业银行信息科技风险管理部门应制定数据中心风险管理策略、风险识别和评估流程，定期开展风险评估工作，对风险进行分级管理，持续监督风险管理状况，及时预警，将风险控制在可接受水平。
第十二条 商业银行信息科技部门应指导、监督和协调数据中心明确信息系统运营维护管理策略，建立运营维护管理制度、标准和流程，落实信息科技风险管理措施。
第十三条 商业银行数据中心应建立健全各项管理与内控制度，从技术和管理等方面实施风险控制措施。
