+Článek 21 Kybernetické riziko
---+Článek 21 1
---+Článek 21 2
---+Článek 21 3
---+Článek 21 4
---+Článek 21 5
---+Článek 21 6

Článek 21 Kybernetické riziko

1. Přehled

,
Článek 21 1

1.   Provozovatel SIPS zavede komplexní rámec kybernetické odolnosti s vhodnými opatřeními v oblasti správy a řízení, která mu umožní účinně a účelně řídit kybernetická rizika, jakož i strategii kybernetické odolnosti, která zohledňuje rizikovou toleranci provozovatele SIPS a jeho ochotu podstupovat riziko.
Článek 21 2

2.   Rámec kybernetické odolnosti uvedený v odstavci 1 zajistí alespoň:

a)

určení a klasifikaci klíčových úloh, včetně odpovědnosti za rozhodování v rámci organizace, procesů, operací, služeb a informačních aktiv, které podporují kritické operace a služby systému SIPS, s cílem zajistit, aby byla zavedena vhodná opatření na jejich ochranu a včasnou obnovu v případě kybernetického útoku;

b)

přiměřenou ochranu systému SIPS před kybernetickými riziky, mimo jiné zavedením účinných bezpečnostních kontrol a prováděním kontrolních činností týkajících se fungování a bezpečnosti hlavních systémů IKT, jakož i zpracování nebo uchovávání citlivých informací;

c)

včasné a náležité odhalování kybernetických incidentů nebo známek těchto incidentů, mimo jiné sledováním neobvyklých aktivit;

d)

včasnou a přiměřenou reakci na kybernetické incidenty nebo nepříznivé události, jakož i včasné a náležité zotavení z nich, což systému SIPS umožní rychle obnovit kritické operace způsobem, který omezí případné škody pro tento systém.
Článek 21 3

3.   Provozovatel SIPS zavede program testování s cílem pravidelně testovat provozní účinnost všech procesů, postupů a kontrol rámce kybernetické odolnosti uvedených v odstavcích 1 a 2. V rámci tohoto programu testování provede provozovatel SIPS penetrační testy na základě hrozeb TIBER-EU, při nichž se použijí techniky k simulaci útoku na kritické funkce a základní systémy SIPS, jak je stanoveno v rámci TIBER-EU.

Je-li jako provozovatel SIPS určena pobočka, může příslušný orgán zohlednit výsledky penetračního testu provedeného právním subjektem, jehož je pobočka právně závislou součástí, pokud lze takový test považovat za srovnatelný s testem TIBER-EU a sleduje rovněž účinnost příslušných kontrol a systémů pobočky.
Článek 21 4

4.   Provozovatel SIPS zajistí, aby jeho rada a vedení, případně vedení pobočky, jakož i zaměstnanci provozovatele SIPS dobře chápali kybernetickou odolnost a měli náležitou úroveň situačního povědomí o prostředí kybernetických hrozeb, v němž působí, a to prostřednictvím účinného procesu získávání informací o hrozbách a sdílení informací v rámci své organizace a s dalšími propojenými subjekty v celém finančním systému.
Článek 21 5

5.   Provozovatel SIPS zavede vhodné systémy, politiky, postupy a kontroly, které mu umožní posoudit a pochopit účinnost provádění jeho strategie a rámce kybernetické odolnosti.
Článek 21 6

6.   Provozovatel SIPS musí mít zavedeny postupy, které zajistí, aby alespoň závažné kybernetické incidenty, které mají negativní dopad na systém SIPS, včetně incidentů, k nimž došlo u účastníků systému SIPS a poskytovatelů služeb z řad třetích stran, byly hlášeny a) radě, vedení a případně vedení pobočky a b) příslušnému orgánu. Provozovatel SIPS zavede procesy průběžného vzdělávání a zdokonalování v oblasti kybernetické bezpečnosti. Tyto procesy musí například zajistit, aby rámec kybernetické odolnosti zohledňoval vývoj hrozeb, jakož i přezkumy kybernetických incidentů a z nich získané poznatky.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy