Artikel 21 Cyberrisico

1.   Een SIPS-exploitant stelt een uitgebreid cyberweerbaarheidskader met passende governancemaatregelen op die de SIPS-exploitant in staat stellen cyberrisico’s doeltreffend en doelmatig te beheren, en een cyberveerkrachtsstrategie die rekening houdt met de risicotolerantie en risicobereidheid van de SIPS-exploitant.

2.   Het in lid 1 genoemde cyberweerbaarheidskader waarborgt ten minste:

3.   Een SIPS-exploitant stelt een testprogramma op om regelmatig de operationele doeltreffendheid van alle processen, procedures en controles van het in de leden 1 en 2 genoemde cyberweerbaarheidskader te testen. Als onderdeel van dit testprogramma voert de SIPS-exploitant TIBER-EU dreigingsgestuurde penetratietests uit waarbij technieken worden gebruikt om een aanval op de kritieke functies en onderliggende systemen van het SIPS te simuleren, zoals bepaald in het TIBER-EU-kader.

Indien een bijkantoor als SIPS-exploitant wordt aangewezen, kan de bevoegde autoriteit rekening houden met de resultaten van een penetratietest uitgevoerd door de juridische entiteit waarvan het bijkantoor een juridisch afhankelijk onderdeel is en indien een dergelijke penetratietest kan worden beschouwd als een oefening die vergelijkbaar is met een TIBER-EU-test, en deze ook de effectiviteit van de relevante controles en systemen van het bijkantoor weergeeft.

4.   Een SIPS-exploitant zorgt ervoor dat het bestuur, de directie, en, indien van toepassing, de directie van een bijkantoor, alsook het personeel van de SIPS-exploitant, een goed inzicht hebben in de cyberweerbaarheid en een gedegen situationeel bewustzijn hebben van de cyberdreigingsomgeving waarbinnen de SIPS-exploitant opereert door middel van een doeltreffend dreigingsinformatieproces en informatie-uitwisseling binnen de organisatie van de SIPS-exploitant en met andere onderling verbonden entiteiten in het gehele financiële stelsel.

5.   Een SIPS-exploitant beschikt over passende systemen, beleidslijnen, procedures en controles die de SIPS-exploitant in staat stellen de doeltreffendheid van de uitvoering van het cyberweerbaarheidskader en de cyberweerbaarheidsstrategie te beoordelen en te begrijpen.

6.   Een SIPS-exploitant beschikt over procedures om ervoor te zorgen dat belangrijke cyberincidenten die een negatieve gevolgen hebben voor het SIPS, met inbegrip van incidenten die afkomstig zijn van SIPS- deelnemers en derde dienstverleners en meldt incidenten aan: a) het bestuur, de directie en, naargelang van het geval, de directie van het bijkantoor, en b) de bevoegde autoriteit. Een SIPS-exploitant beschikt over processen van permanente educatie en verbetering op het gebied van cyberbeveiliging. Deze processen omvatten bijvoorbeeld het waarborgen dat in het cyberweerbaarheidskader rekening wordt gehouden met dreigingsontwikkelingen en evaluaties van cyberincidenten aan de hand van opgedane ervaring.