Artikolu 21 Riskju ċibernetiku

1.   Operatur ta’ SIPS għandu jistabbilixxi qafas komprensiv ta’ reżiljenza ċibernetika b’miżuri ta’ governanza xierqa li jippermettulu jiġġestixxi b’mod effettiv u effiċjenti r-riskji ċibernetiċi, u strateġija ta’ reżiljenza ċibernetika li tqis it-tolleranza għar-riskju u l-predispożizzjoni għar-riskju tal-operatur ta’ SIPS.

2.   Il-qafas tar-reżiljenza ċibernetika msemmi fil-paragrafu 1, għandu jiżgura mill-inqas:

3.   Operatur ta’ SIPS għandu jistabbilixxi programm ta’ ttestjar biex jittestja regolarment l-effettività operazzjonali tal-proċessi, il-proċeduri u l-kontrolli kollha tal-qafas tar-reżiljenza ċibernetika msemmi fil-paragrafi 1 u 2. Bħala parti minn dan il-programm ta’ ttestjar, l-operatur ta’ SIPS għandu jwettaq testijiet tal-penetrazzjoni mmexxija mit-theddid TIBER-EU li jinvolvu l-użu ta’ tekniki biex jiġi simulat attakk fuq il-funzjonijiet kritiċi u s-sistemi sottostanti tas-SIPS kif stabbilit fil-qafas TIBER-EU.

Fejn fergħa hija identifikata bħala operatur ta’ SIPS, l-awtorità kompetenti tista’ tieħu kont tar-riżultati ta’ test ta’ penetrazzjoni mwettaq mill-entità ġuridika li tagħha l-fergħa hija parti legalment dipendenti jekk tali test ta’ penetrazzjoni jista’ jitqies eżerċizzju komparabbli ma’ test TIBER-EU, u jekk jikseb ukoll l-effikaċja tal-kontrolli u s-sistemi tal-fergħa rilevanti.

4.   Operatur ta’ SIPS għandu jiżgura li l-Bord u l-Maniġment tiegħu, u fejn applikabbli l-Maniġment tal-Fergħa tiegħu, kif ukoll il-persunal tal-operatur ta’ SIPS ikollhom fehim sod tar-reżiljenza ċibernetika u livell sod ta’ għarfien tas-sitwazzjoni tal-ambjent ta’ theddid ċibernetiku li fih jopera permezz ta’ proċess effettiv ta’ intelligence dwar it-theddid u kondiviżjoni ta’ informazzjoni fl-organizzazzjoni tiegħu u ma’ entitajiet interkonnessi oħra fis-sistema finanzjarja kollha.

5.   Operatur ta’ SIPS għandu jkollu fis-seħħ sistemi, politiki, proċeduri u kontrolli xierqa li jippermettulu jivvaluta u jifhem l-effettività tal-implimentazzjoni tal-istrateġija u l-qafas tiegħu dwar ir-reżiljenza ċibernetika.

6.   Operatur ta’ SIPS għandu jkollu proċeduri stabbiliti biex jiġi żgurat li mill-anqas kwalunkwe inċident ċibernetiku ewlieni li jolqot negattivament is-SIPS, inklużi inċidenti li joriġinaw minn parteċipanti tas-SIPS u fornituri terzi ta’ servizzi, huma rrrapportati lil: a) il-Bord, il-Maniġment, u, fejn applikabbli, il-Maniġment tal-Fergħa; u b) l-awtorità kompetenti. Operatur ta’ SIPS għandu jkollu fis-seħħ proċessi ta’ tagħlim u titjib kontinwu relatati maċ-ċibersigurtà. Dawn il-proċessi għandhom jinkludu, pereżempju, l-iżgurar li l-qafas tar-reżiljenza ċibernetika jqis żviluppi ta’ theddid kif ukoll rieżamijiet ta’ inċidenti ċibernetiċi bit-tagħlimiet meħuda.