21. cikk Kiberkockázat

(1)   A SIPS üzemeltető átfogó kiberrezilienciára vonatkozó keretrendszert hoz létre megfelelő irányítási intézkedésekkel, amely lehetővé teszi számára a kiberkockázatok hatékony és eredményes kezelését, valamint egy olyan kiberrezilienciára vonatkozó stratégiát hoz létre, amely figyelembe veszi a SIPS üzemeltető kockázattűrő képességét és kockázatvállalási hajlandóságát.

(2)   Az (1) bekezdésben említett kiberrezilienciára vonatkozó keretrendszer legalább a következőket biztosítja:

(3)   A SIPS üzemeltető tesztelési programot hoz létre az (1) és (2) bekezdésben említett kiberrezilienciára vonatkozó keretrendszer valamennyi folyamata, eljárása és ellenőrzése működési hatékonyságának rendszeres tesztelésére. E tesztelési program részeként a SIPS üzemeltető TIBER-EU fenyegetettségi szempontú behatolási teszteket végez a SIPS kritikus funkciói és mögöttes rendszerei elleni támadás szimulálására szolgáló technikák alkalmazásával, a TIBER-EU keretrendszerben meghatározottak szerint.

Amennyiben egy fióktelepet azonosítanak SIPS üzemeltetőként, a hatáskörrel rendelkező hatóság elfogadhatja az azon jogalany, amelynek a fióktelep jogilag függő részét képezi által végzett tesztelést, ha az a TIBER-EU teszteléssel egyenértékűnek tekinthető, és ha az a fióktelep vonatkozó ellenőrzéseinek és rendszereinek hatékonyságára is kiterjed.

(4)   A SIPS üzemeltető biztosítja azt, hogy az irányítási jogkörrel rendelkező vezető testülete és a vezetősége, és adott esetben a fióktelep vezetősége, valamint a SIPS üzemeltető személyzete alapos ismeretekkel rendelkezik a kiberrezilienciáról, és megbízható helyzetismerettel rendelkezik arról a kiberfenyegetettségi környezetről, amelyben működik, a szervezetén belüli és a pénzügyi rendszer más összekapcsolt szervezeteivel folytatott hatékony fenyegetésfelderítési folyamat és információmegosztás révén.

(5)   A SIPS üzemeltető olyan megfelelő rendszerekkel, politikákkal, eljárásokkal és ellenőrzésekkel rendelkezik, amelyek lehetővé teszik számára, hogy felmérje és megértse kiberrezilienciára vonatkozó stratégiája és keretrendszere végrehajtásának hatékonyságát.

(6)   A SIPS üzemeltető eljárásokkal rendelkezik annak biztosítására, hogy legalább azokat a főbb kiberbiztonsági eseményeket, amelyek negatív hatással vannak a SIPS-re, ideértve a SIPS résztvevőktől és harmadik fél szolgáltatóktól eredő eseményeket is, bejelentik a) az irányítási jogkörrel rendelkező vezető testületnek, a vezetőségnek és adott esetben a fióktelep vezetőségének, valamint b) a hatáskörrel rendelkező hatóságok felé. A SIPS üzemeltető rendelkezik a kiberbiztonsággal kapcsolatos folyamatos tanulási és fejlesztési folyamatokkal. Ezeknek a folyamatoknak magukban kell foglalniuk például annak biztosítását, hogy a kiberrezilienciára vonatkozó keretrendszer figyelembe veszi a fenyegetettségek alakulását, valamint a kiberbiztonsági eseményeknek a levont tanulságokkal történő felülvizsgálatát.