Articolul 21 Riscul cibernetic

(1)   Operatorul SIPS instituie un cadru cuprinzător privind reziliența cibernetică cu măsuri de administrare adecvate care să îi permită să gestioneze în mod efectiv și eficient riscurile cibernetice, precum și o strategie privind reziliența cibernetică care să țină seama de toleranța la risc și de apetitul pentru risc al operatorului SIPS.

(2)   Cadrul privind reziliența cibernetică menționat la alineatul (1) asigură cel puțin:

(3)   Operatorul SIPS stabilește un program de testare pentru a testa periodic eficacitatea operațională a tuturor proceselor, procedurilor și controalelor cadrului de reziliență cibernetică menționate la alineatele (1) și (2). Ca parte a acestui program de testare, operatorul SIPS efectuează teste de penetrare bazate pe amenințări TIBER-EU care implică utilizarea unor tehnici de simulare a unui atac asupra funcțiilor de importanță critică și a sistemelor subiacente ale SIPS, astfel cum se prevede în Cadrul TIBER-EU.

În cazul în care o sucursală este identificată drept operator SIPS, autoritatea competentă poate ține seama de rezultatele testelor de penetrare efectuate de entitatea juridică a cărei parte dependentă juridic este sucursala dacă un astfel de test de penetrare poate fi considerat un exercițiu comparabil cu un test TIBER-EU, și dacă acestea acoperă și eficacitatea controalelor și sistemelor relevante ale sucursalei

(4)   Operatorul SIPS se asigură că personalul operatorului SIPS, precum și Consiliul și conducerea acestuia și, după caz, conducerea sucursalei, au cunoștințe solide cu privire la reziliența cibernetică și un grad înalt de conștientizare situațională cu privire la mediul amenințărilor cibernetice în care își desfășoară activitatea, prin intermediul unui proces eficace de colectare de date și informații operative privind amenințările și al schimbului de informații în cadrul organizației sale și cu alte entități interconectate din întregul sistem financiar.

(5)   Operatorul SIPS dispune de sisteme, politici, proceduri și controale adecvate care să îi permită să evalueze și să înțeleagă eficacitatea implementării strategiei și cadrului său de reziliență cibernetică.

(6)   Operatorul SIPS dispune de proceduri care să asigure că cel puțin incidentele cibernetice majore care afectează negativ SIPS, inclusiv incidentele care provin de la participanții la SIPS și furnizorii terți de servicii suntraportate a) Consiliului, conducerii și, după caz, conducerii sucursalei, și b) autorității competente. Operatorul SIPS dispune de procese de învățare și îmbunătățire continuă cu privire la securitatea cibernetică. Aceste procese includ, de exemplu, asigurarea faptului că în cadrul de reziliență cibernetică sunt avute în vedere evoluțiile amenințărilor, precum și revizuiri ale incidentelor cibernetice cu tragerea de concluzii.