6. O operador de SIPS deve dispor de procedimentos para assegurar que, pelo menos, quaisquer ciberincidentes graves que tenham um impacto negativo no SIPS, incluindo incidentes com origem nos participantes no SIPS e prestadores de serviços terceiros, sejam reportados: a) ao Conselho de Administração, à Direção e, se for caso disso, a Direção da Sucursal; e b) à autoridade competente. O operador de SIPS deve dispor de processos de aprendizagem e melhoria contínuas no domínio da cibersegurança. Estes processos devem incluir, por exemplo, a garantia de que o quadro de ciber-resiliência tem em conta a evolução das ameaças, bem como a análise dos ciberincidentes com recurso à experiência adquirida.