Artikel 21 Cyberrisiko

1.   En operatør af et systemisk vigtigt betalingssystem skal etablere en omfattende ramme for cyberrobusthed med passende styringsforanstaltninger, der sætter den i stand til effektivt at styre cyberrisici, og en strategi for cyberrobusthed, der tager hensyn til operatøren af et systemisk vigtigt betalingssystems risikotolerance og -villighed.

2.   Den ramme for cyberrobusthed, der er omhandlet i stk. 1, skal som minimum sikre:

3.   En operatør af et systemisk vigtigt betalingssystem skal udarbejde et testprogram for regelmæssigt at teste den operationelle effektivitet af alle processer, procedurer og kontroller af rammen for cyberrobusthed, der er omhandlet i stk. 1 og 2. Som led i dette testprogram skal operatøren af det systemisk vigtige betalingssystem gennemføre TIBER-EU-trusselsbaserede penetrationstest, der omfatter brug af teknikker til at simulere et angreb på det systemisk vigtige betalingssystems kritiske funktioner og underliggende systemer som fastsat i TIBER-EU-rammen.

Hvis en filial er identificeret som operatør af et systemisk vigtigt betalingssystem, kan den kompetente myndighed tage hensyn til resultaterne af en penetrationstest udført af den juridiske enhed, som filialen er en juridisk afhængig del af, hvis en sådan penetrationstest kan betragtes som værende sammenlignelig med en TIBER-EU-test, og hvis den også tester effektiviteten af filialens relevante kontroller og systemer.

4.   En operatør af et systemisk vigtigt betalingssystem skal sikre, at dens råd og ledelse og, hvor det er relevant, filialledelsen samt personalet hos operatøren af det systemisk vigtige betalingssystem har en solid forståelse af cyberrobusthed og et solidt niveau af situationsbevidsthed om det cybertrusselsmiljø, som operatøren opererer i, gennem en effektiv trusselsefterretningsproces og informationsudveksling inden for sin organisation og med andre sammenkoblede enheder i hele det finansielle system.

5.   En operatør af et systemisk vigtigt betalingssystem skal have passende systemer, politikker, procedurer og kontroller, der sætter den i stand til at vurdere og få forståelse af effektiviteten af gennemførelsen af sin strategi og ramme for cyberrobusthed.

6.   En operatør af et systemisk vigtigt betalingssystem skal have indført procedurer til at sikre, at som minimum større cyberhændelser, der har en negativ virkning på det systemisk vigtige betalingssystem, herunder hændelser, der hidrører fra dets deltagere og tredjepartsudbydere, indberettes til a) rådet, ledelsen og, hvor det er relevant, filialledelsen og b) den kompetente myndighed. En operatør af et systemisk vigtigt betalingssystem skal have indført processer for løbende læring og forbedring vedrørende cybersikkerhed. Disse processer skal f.eks. omfatte sikring af, at rammen for cyberrobusthed tager hensyn til trusselsudviklingen samt revisioner af cyberhændelser på grundlag af erfaringer.