Artigo 21.o Risco cibernético

1.   O operador de SIPS deve estabelecer um quadro abrangente de ciber-resiliência com medidas de governação adequadas que lhe permitam gerir os riscos cibernéticos de forma eficaz e eficiente, e uma estratégia de ciber-resiliência que tenha em conta a tolerância ao risco e a apetência pelo risco do operador de SIPS.

2.   O quadro de ciber-resiliência a que o n.o 1 se refere deve assegurar, no mínimo:

3.   O operador de SIPS deve estabelecer um programa de testes destinado a testar regularmente a eficácia operacional de todos os processos, procedimentos e controlos do quadro de ciber-resiliência a que os n.os 1 e 2 se referem. No âmbito deste programa de testes, o operador de SIPS deve realizar testes de penetração baseados em ameaças (TIBER-EU threat-led penetration tests), com recurso a técnicas de simulação de um ataque às funções críticas e aos sistemas subjacentes ao SIPS, em conformidade com o quadro TIBER-EU.

Quando uma sucursal é identificada como operadora de SIPS, a autoridade competente pode levar em consideração os resultados de um teste de penetração realizado pela entidade jurídica da qual a sucursal é uma parte juridicamente dependente se esse teste de penetração puder ser considerado um exercício comparável a um teste TIBER-EU, e se capturar também a eficácia dos controlos e sistemas relevantes da sucursal.

4.   O operador de SIPS deve assegurar que o seu Conselho de Administração e a sua Direção e, se for caso disso, a Direção da Sucursal, bem como o pessoal do operador de SIPS, possuem uma boa compreensão da ciber-resiliência e um bom nível de conhecimento situacional do ambiente de ciberameaças em que opera através de um processo eficaz de informações sobre ameaças e da partilha de informações no âmbito da sua organização e com outras entidades interligadas em todo o sistema financeiro.

5.   O operador de SIPS deve dispor de sistemas, políticas, procedimentos e controlos adequados que lhe permitam avaliar e compreender a eficácia da execução da sua estratégia e quadro de ciber-resiliência.

6.   O operador de SIPS deve dispor de procedimentos para assegurar que, pelo menos, quaisquer ciberincidentes graves que tenham um impacto negativo no SIPS, incluindo incidentes com origem nos participantes no SIPS e prestadores de serviços terceiros, sejam reportados: a) ao Conselho de Administração, à Direção e, se for caso disso, a Direção da Sucursal; e b) à autoridade competente. O operador de SIPS deve dispor de processos de aprendizagem e melhoria contínuas no domínio da cibersegurança. Estes processos devem incluir, por exemplo, a garantia de que o quadro de ciber-resiliência tem em conta a evolução das ameaças, bem como a análise dos ciberincidentes com recurso à experiência adquirida.