Член 21 Киберриск

1.   Операторът на СВПС създава всеобхватна рамка за киберустойчивост с подходящи мерки за управление, които му позволяват да управлява ефективно и ефикасно киберрисковете, както и стратегия за киберустойчивост, която отчита толерантността към риск и склонността към поемане на риск на оператора на СВПС.

2.   Рамката за киберустойчивост, посочена в параграф 1, гарантира най-малко:

3.   Операторът на СВПС създава програма за тестване, за да тества редовно оперативната ефективност на всички процеси, процедури и контролни механизми в рамката за киберустойчивост, посочени в параграфи 1 и 2. Като част от тази програма за тестване операторът на СВПС провежда тестове за проникване TIBER-EU, включващи използването на техники за симулиране на атака срещу критичните функции и основните системи на СВПС, както е посочено в рамката TIBER-EU.

Когато за оператор на СВПС е определен клон, компетентният орган може да вземе предвид резултатите от теста за проникване, проведен от юридическото лице, от което клонът е юридически зависима част, ако той може да се счита за съпоставим с теста TIBER-EU и ако обхваща ефективността на контролните механизми и системи на клона.

4.   Операторът на СВПС гарантира, че неговият съвет и ръководство, и ако е приложимо — ръководството на клона, както и персоналът му са с добри познания за киберустойчивостта и поддържат добро ниво на ситуационна осведоменост за средата на киберзаплахи, в която операторът на СВПС действа, чрез ефективен процес за осигуряване на оперативни сведения за заплахите и обмен на информация в рамките на организационната си структура и с други взаимосвързани лица във финансовата система.

5.   Операторът на СВПС трябва да разполага с подходящи системи, политики, процедури и контролни механизми, които му позволяват да оцени и разбере ефективността на изпълнението на стратегията и рамката си за киберустойчивост.

6.   Операторът на СВПС трябва да разполага с процедури, за да гарантира, че най-малкото големите киберинциденти, които оказват отрицателно въздействие върху СВПС, включително инцидентите, произхождащи от участниците в СВПС и доставчиците на услуги — трети лица, се докладват на: а) съвета, ръководството и, когато е приложимо, ръководството на клона; и б) компетентния орган. Операторът на СВПС въвежда процеси на непрекъснато обучение и подобрения, свързани с киберсигурността. Тези процеси включват например гарантиране, че рамката за киберустойчивост отразява промените в заплахите и прегледи на киберинцидентите с извлечените поуки.