Článek 21 Kybernetické riziko

1.   Provozovatel SIPS zavede komplexní rámec kybernetické odolnosti s vhodnými opatřeními v oblasti správy a řízení, která mu umožní účinně a účelně řídit kybernetická rizika, jakož i strategii kybernetické odolnosti, která zohledňuje rizikovou toleranci provozovatele SIPS a jeho ochotu podstupovat riziko.

2.   Rámec kybernetické odolnosti uvedený v odstavci 1 zajistí alespoň:

3.   Provozovatel SIPS zavede program testování s cílem pravidelně testovat provozní účinnost všech procesů, postupů a kontrol rámce kybernetické odolnosti uvedených v odstavcích 1 a 2. V rámci tohoto programu testování provede provozovatel SIPS penetrační testy na základě hrozeb TIBER-EU, při nichž se použijí techniky k simulaci útoku na kritické funkce a základní systémy SIPS, jak je stanoveno v rámci TIBER-EU.

Je-li jako provozovatel SIPS určena pobočka, může příslušný orgán zohlednit výsledky penetračního testu provedeného právním subjektem, jehož je pobočka právně závislou součástí, pokud lze takový test považovat za srovnatelný s testem TIBER-EU a sleduje rovněž účinnost příslušných kontrol a systémů pobočky.

4.   Provozovatel SIPS zajistí, aby jeho rada a vedení, případně vedení pobočky, jakož i zaměstnanci provozovatele SIPS dobře chápali kybernetickou odolnost a měli náležitou úroveň situačního povědomí o prostředí kybernetických hrozeb, v němž působí, a to prostřednictvím účinného procesu získávání informací o hrozbách a sdílení informací v rámci své organizace a s dalšími propojenými subjekty v celém finančním systému.

5.   Provozovatel SIPS zavede vhodné systémy, politiky, postupy a kontroly, které mu umožní posoudit a pochopit účinnost provádění jeho strategie a rámce kybernetické odolnosti.

6.   Provozovatel SIPS musí mít zavedeny postupy, které zajistí, aby alespoň závažné kybernetické incidenty, které mají negativní dopad na systém SIPS, včetně incidentů, k nimž došlo u účastníků systému SIPS a poskytovatelů služeb z řad třetích stran, byly hlášeny a) radě, vedení a případně vedení pobočky a b) příslušnému orgánu. Provozovatel SIPS zavede procesy průběžného vzdělávání a zdokonalování v oblasti kybernetické bezpečnosti. Tyto procesy musí například zajistit, aby rámec kybernetické odolnosti zohledňoval vývoj hrozeb, jakož i přezkumy kybernetických incidentů a z nich získané poznatky.