Articolo 21 Rischio informatico

1.   Il gestore dello SPIS stabilisce un quadro integrato di resilienza informatica dotato di appropriate misure di in materia di governo societario che gli consenta di gestire in modo efficace ed efficiente i rischi informatici, nonché una strategia di resilienza informatica che tenga conto della tolleranza al rischio e della propensione al rischio del gestore dello SPIS.

2.   Il quadro di resilienza informatica di cui al paragrafo 1 garantisce almeno:

3.   Il gestore dello SPIS istituisce un programma di verifiche per testare periodicamente l’efficacia operativa di tutti i processi, le procedure e i controlli del quadro di resilienza informatica di cui ai paragrafi 1 e 2. Nell’ambito di tale programma di prove, il gestore dello SPIS effettua test di penetrazione basati sulle minacce conformemente al quadro TIBER-UE che comportano l’uso di tecniche per simulare un attacco alle funzioni essenziali e ai sistemi sottostanti dello SPIS, come stabilito dal quadro TIBER-UE.

Laddove una succursale sia identificata come gestore dello SPIS, l’autorità competente può tenere conto degli esiti di un test di penetrazione svolto dal soggetto giuridico di cui la succursale costituisce una parte giuridicamente dipendente e se tale test di penetrazione può essere considerato un esercizio analogo a un test TIBER-EU nonché se rileva anche l’efficacia dei pertinenti controlli e dei sistemi della succursale.

4.   Il gestore dello SPIS assicura che il proprio Consiglio, la propria dirigenza e, se del caso, la dirigenza della succursale, nonché il personale del gestore dello SPIS, abbiano una solida comprensione della resilienza informatica e un solido livello di consapevolezza situazionale del contesto di minacce informatiche in cui opera lo SPIS attraverso un efficace processo di raccolta dei dati sulle minacce e la condivisione delle informazioni all’interno della sua organizzazione e con altri soggetti interconnessi in tutto il sistema finanziario.

5.   Il gestore dello SPIS predispone sistemi, politiche, procedure e controlli appropriati che gli consentano di valutare e comprendere l’efficacia dell’attuazione della sua strategia e del suo quadro in materia di resilienza informatica.

6.   Il gestore dello SPIS dispone di procedure per garantire che almeno gli eventuali incidenti informatici rilevanti che incidono negativamente sullo SPIS, compresi incidenti che derivano dai partecipanti allo SPIS e da terzi fornitori di servizi, siano segnalati: a) al Consiglio, alla dirigenza e, se del caso, alla dirigenza della succursale e b) all’autorità competente. Il gestore dello SPIS dispone di processi di apprendimento continuo e di miglioramento relativi alla sicurezza informatica. Tali processi comprendono, ad esempio, la garanzia che il quadro per la resilienza informatica tenga conto degli sviluppi delle minacce e delle revisioni degli incidenti informatici, alla luce delle esperienze acquisite.