21. pants Kiberdrošības risks

1.   SNMS operators izveido visaptverošu kibernoturības regulējumu ar atbilstošiem pārvaldības pasākumiem, kas tam ļauj efektīvi un lietderīgi pārvaldīt kiberdrošības riskus, un kibernoturības stratēģiju, kurā ņemts vērā SNMS operatora pieļaujamais riska līmenis un vēlme uzņemties risku.

2.   Šī panta 1. punktā minētais kibernoturības regulējums nodrošina vismaz:

3.   SNMS operators izveido testēšanas programmu, lai regulāri pārbaudītu visu 1. un 2. punktā minētā kibernoturības regulējuma procesu, procedūru un kontroles darbību operacionālo efektivitāti. Šīs testēšanas programmas ietvaros SNMS operators veic TIBER-EU uz apdraudējumu balstītus ielaušanās testus, kuros izmanto paņēmienus, kas simulē uzbrukumu SNMS kritiski svarīgajām funkcijām un pamatā esošajām sistēmām, kā noteikts TIBER-EU regulējumā.

Ja kā SNMS operators identificēta filiāle, kompetentā iestāde var ņemt vērā tāda ielaušanās testa rezultātus, ko veikusi juridiskā persona, kuras juridiski atkarīga daļa ir filiāle, ja šādu ielaušanās testu var uzskatīt par līdzvērtīgu TIBER-EU testam un ja tas aptver arī filiāles attiecīgo kontroles mehānismu un sistēmu efektivitāti.

4.   SNMS operators nodrošina, ka tā valdei un vadībai, un attiecīgā gadījumā filiāles vadībai, kā arī SNMS operatora personālam ir laba izpratne par kibernoturību un pietiekama situācijas apzināšanās attiecībā uz kiberdraudu vidi, kurā SNMS operators darbojas, izmantojot efektīvu apdraudējuma izlūkošanas procesu un informācijas apmaiņu savā organizācijā un ar citām savstarpēji saistītām struktūrām visā finanšu sistēmā.

5.   SNMS operators ieviesis atbilstošas sistēmas, politiku, procedūras un kontroles mehānismus, kas tam ļauj novērtēt un gūt izpratni par savas kibernoturības stratēģijas un regulējuma īstenošanas efektivitāti.

6.   SNMS operators ieviesis procedūras, kas nodrošina, ka vismaz par jebkuriem būtiskiem kiberincidentiem, kas negatīvi ietekmē SNMS, tostarp incidentiem, kuru pamatā ir SNMS dalībnieki un trešās personas, kas sniedz pakalpojumus, tiek ziņots: a) valdei, vadībai un attiecīgos gadījumos filiāles vadībai, un b) kompetentajai iestādei. SNMS operators attiecībā uz kiberdrošību ieviesis pastāvīgas apmācības un uzlabojumu procesus. Šie procesi, piemēram, nodrošina, ka kibernoturības regulējumā tiek ņemta vērā apdraudējuma attīstība, kā arī kiberincidentu izvērtēšana, ņemot vērā gūto pieredzi.