Artikel 21 Cyberrisiko

(1)   Ein SIPS-Betreiber legt einen umfassenden Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen mit geeigneten Steuerungsmaßnahmen, die ihm ein wirksames und effizientes Cyberrisikomanagement ermöglichen, sowie eine Strategie für die Widerstandsfähigkeit gegenüber Cyberangriffen fest, die der Risikotoleranz und der Risikobereitschaft des SIPS-Betreibers Rechnung trägt.

(2)   Der in Absatz 1 genannte Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen stellt mindestens Folgendes sicher:

(3)   Ein SIPS-Betreiber legt ein Testprogramm auf, um die operative Wirksamkeit aller in den Absätzen 1 und 2 genannten Prozesse, Verfahren und Kontrollen des Rahmens zur Widerstandsfähigkeit gegenüber Cyberangriffen regelmäßig zu überprüfen. Im Rahmen dieses Testprogramms führt der SIPS-Betreiber bedrohungsorientierte Penetrationstests (TLPT — Threat Led Penetration Testing) gemäß TIBER-EU durch, bei denen Techniken zur Simulation eines Angriffs auf die kritischen Funktionen und die zugrunde liegenden Systeme des SIPS gemäß dem TIBER-EU-Rahmenwerk zum Einsatz kommen.

Wird eine Zweigstelle als SIPS-Betreiber eingestuft, kann die zuständige Behörde die Ergebnisse eines von der juristischen Person, von der die Zweigstelle einen rechtlich abhängigen Teil bildet, durchgeführten Penetrationstests berücksichtigen, wenn dieser Penetrationstest als mit einem TIBER-EU-Test vergleichbar angesehen werden kann und wenn dieser auch die Wirksamkeit der einschlägigen Kontrollen und Systeme der Zweigstelle erfasst.

(4)   Ein SIPS-Betreiber stellt sicher, dass sein Rat und seine Geschäftsleitung und gegebenenfalls die Geschäftsleitung der Zweigstelle sowie die Mitarbeiter des SIPS-Betreibers über ein fundiertes Verständnis der Widerstandsfähigkeit gegenüber Cyberangriffen und eine solide Lageerfassung in Bezug auf das Cyberbedrohungsumfeld, in dem er tätig ist, verfügen, und sorgt diesbezüglich für einen wirksamen Bedrohungsanalyseprozess und Informationsaustausch innerhalb seiner Organisation sowie mit anderen verflochtenen Unternehmen im gesamten Finanzsystem.

(5)   Ein SIPS-Betreiber verfügt über angemessene Systeme, Grundsätze, Verfahren und Kontrollen, die es ihm ermöglichen, die Wirksamkeit der Umsetzung seiner Strategie und seines Rahmens zur Widerstandsfähigkeit gegenüber Cyberangriffen zu bewerten und zu verstehen.

(6)   Ein SIPS-Betreiber verfügt über Verfahren, die sicherstellen, dass zumindest größere Cybervorfälle, die sich negativ auf das SIPS auswirken, einschließlich solcher Vorfälle, die sich bei SIPS- Teilnehmern und Drittdienstleistern ereignen, a) dem Rat, der Geschäftsleitung und gegebenenfalls der Geschäftsleitung der Zweigstelle und b) der zuständigen Behörde gemeldet werden. Ein SIPS-Betreiber verfügt über Prozesse für kontinuierliches Lernen und die Verbesserung der Cybersicherheit. Diese Prozesse müssen beispielsweise sicherstellen, dass im Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen Bedrohungsentwicklungen sowie Überprüfungen von Cybervorfällen mit gewonnenen Erfahrungen berücksichtigt werden.