21 artikla Kyberturvallisuusriski

1.   SIPS-operaattorin on laadittava kattavat kyberuhkien sietokykyä koskevat periaatteet, jotka sisältävät asianmukaiset toimet kyberriskien tehokasta ja vaikuttavaa hallintaa varten, ja kyberuhkien sietokykyä koskeva strategia, jossa otetaan huomioon systeemisesti merkittävän maksujärjestelmän operaattorin riskitoleranssi ja riskinottohalu.

2.   Edellä 1 kohdassa tarkoitetuilla kyberuhkien sietokykyä koskevilla periaatteilla on vähintään varmistettava

3.   SIPS-operaattorin on laadittava testausohjelma, jolla testataan säännöllisesti kaikkien 1 ja 2 kohdassa tarkoitetun kyberuhkien sietokykyä koskevien periaatteiden kattamien prosessien, menettelyjen ja kontrollien toiminnallista tehokkuutta. Osana tätä testausohjelmaa SIPS-operaattorin on tehtävä uhkaperusteisia tunkeutumistestejä, joissa käytettävillä tekniikoilla simuloidaan systeemisesti merkittävän maksujärjestelmän kriittisiin toimintoihin ja taustalla oleviin järjestelmiin kohdistuvaa hyökkäystä TIBER-EU-järjestelmän mukaisesti.

Silloin kun sivuliike on nimetty SIPS-operaattoriksi, toimivaltainen viranomainen voi ottaa huomioon sen oikeushenkilön, jonka oikeudellisesti riippuvainen osa sivuliike on, toteuttaman tunkeutumistestin tulokset, jos tunkeutumistestiä voidaan pitää TIBER-EU-testiä vastaavana ja jos se kattaa myös sivuliikkeen asianomaisten kontrollien ja järjestelmien tehokkuuden.

4.   SIPS-operaattorin on varmistettava, että sen hallintoelimellä, johdolla ja soveltuvin osin sivuliikkeen johdolla sekä SIPS-operaattorin henkilöstöllä on kyberuhkien sietokyvystä hyvä käsitys sekä sen toimintaan liittyvän kyberuhkien ympäristön hyvä tilannekuva, joka saadaan tehokkaan uhkatiedusteluprosessin sekä organisaation sisäisen ja koko rahoitusjärjestelmän toisiinsa yhteydessä olevien toimijoiden välisen tietojenvaihdon keinoin.

5.   SIPS-operaattorilla on oltava käytössään asianmukaiset järjestelmät, toimintaperiaatteet, menettelyt ja kontrollit, joiden avulla se voi arvioida ja ymmärtää kyberuhkien sietokykyä koskevan strategian ja periaatteiden täytäntöönpanon tehokkuutta.

6.   SIPS-operaattorilla on oltava käytössä menettelyt, joiden avulla se varmistaa, että vähintään merkittävistä ja systeemisesti merkittävään maksujärjestelmään kielteisesti vaikuttavista kyberhäiriöistä, mukaan lukien häiriöt, jotka ovat lähtöisin sen osallistujista ja kolmansista palveluntarjoajista, ilmoitetaan a) sen hallintoelimelle, johdolle ja soveltuvin osin sivuliikkeen johdolle ja b) toimivaltaiselle viranomaiselle. SIPS-operaattorilla on oltava käytössä kyberturvallisuuteen liittyvät jatkuvan oppimisen ja kehittämisen prosessit. Näiden prosessien tulee sisältää esimerkiksi sen varmistaminen, että kyberuhkien sietokykyä koskevissa periaatteissa otetaan huomioon uhkien kehitys sekä kyberpoikkeamien tarkastelusta saadut kokemukset.