21 straipsnis Kibernetinė rizika

1.   SSMS operatorius sukuria išsamią kibernetinio atsparumo sistemą su tinkamomis valdymo priemonėmis, kad jis galėtų efektyviai ir veiksmingai valdyti kibernetinę riziką, ir kibernetinio atsparumo strategiją, kurioje atsižvelgiama į SSMS operatoriui priimtiną riziką ir rizikos apetitą.

2.   1 dalyje nurodyta kibernetinio atsparumo sistema užtikrinama bent:

3.   SSMS operatorius parengia testavimo programą, pagal kurią reguliariai tikrinamas visų 1 ir 2 dalyse nurodytų kibernetinio atsparumo sistemos procesų, procedūrų ir kontrolės priemonių veiklos veiksmingumas. Vykdydamas šią testavimo programą, SSMS operatorius atlieka TIBER-ES grėsmėmis grindžiamą skverbimosi testavimą, naudojant metodus, kuriais imituojamas išpuolis prieš SSMS ypatingos svarbos funkcijas ir pagrindines sistemas, kaip nustatyta TIBER-ES sistemoje.

Jeigu SSMR operatoriumi pripažįstamas filialas, kompetentinga institucija gali atsižvelgti į juridinio asmens, kuriam teisiškai priklauso filialas, atlikto skverbimosi testavimo rezultatus, jeigu toks skverbimosi testavimas gali būti laikomas panašiu į TIBER-ES testą ir jeigu jame taip pat yra atsižvelgiama į filialo atitinkamų kontrolės priemonių ir sistemų efektyvumą.

4.   Remdamasis veiksmingu žvalgybos informacijos procesu ir dalydamasis informacija savo organizacijoje ir su kitais tarpusavyje susijusiais subjektais visoje finansų sistemoje, SSMS operatorius užtikrina, kad jo valdyba ir vadovybė ir, kai taikytina, filialo vadovybė, taip pat SSMS operatoriaus darbuotojai gerai suprastų kibernetinį atsparumą ir būtų patikimai informuoti apie padėtį kibernetinių grėsmių aplinkoje, kurioje jis veikia.

5.   SSMS operatorius įdiegia tinkamas sistemas, politiką, procedūras ir kontrolės priemones, kad galėtų įvertinti ir suprasti savo kibernetinio atsparumo strategijos ir sistemos įgyvendinimo veiksmingumą.

6.   SSMS operatorius nustato procedūras, užtikrinančias, kad bent jau apie bet kuriuos rimtus kibernetinius incidentus, kurie daro neigiamą poveikį SSMS, įskaitant incidentus, kuriuos sukėlė SSMS dalyviai ir paslaugas teikiančios trečiosios šalys, būtų pranešama: a) valdybai, vadovybei ir, kai taikytina, filialo vadovybei ir b) kompetentingai institucijai. SSMS operatorius įdiegia nuolatinio mokymosi ir tobulinimo procesus, susijusius su kibernetiniu saugumu. Šie procesai apima, pavyzdžiui, užtikrinimą, kad kibernetinio atsparumo sistemoje būtų atsižvelgiama į grėsmių pokyčius, taip pat kibernetinių incidentų peržiūras atsižvelgiant į įgytą patirtį.