+Článok 21 Kybernetické riziko
---+Článok 21 1
---+Článok 21 2
---+Článok 21 3
---+Článok 21 4
---+Článok 21 5
---+Článok 21 6

Článok 21 Kybernetické riziko

1. Prehľad

,
Článok 21 1

1.   Prevádzkovateľ SDPS zavedie komplexný rámec kybernetickej odolnosti s vhodnými riadiacimi opatreniami v oblasti správy a riadenia, ktoré mu umožnia účinne a efektívne riadiť kybernetické riziká, ako aj stratégiu kybernetickej odolnosti, ktorá zohľadňuje toleranciu rizika a ochotu prevádzkovateľa SDPS podstupovať riziká.
Článok 21 2

2.   Rámec kybernetickej odolnosti uvedený v odseku 1 zabezpečuje aspoň:

a)

identifikáciu a klasifikáciu kľúčových úloh vrátane zodpovednosti za rozhodovanie v rámci organizácie, procesov, operácií, služieb a informačných aktív, ktoré podporujú kritické operácie a služby SDPS, s cieľom zabezpečiť zavedenie vhodných opatrení na ich ochranu a včasnú obnovu v prípade kybernetického útoku;

b)

primeranú ochranu SDPS pred kybernetickými rizikami, a to aj vykonávaním účinných bezpečnostných kontrol a vykonávaním kontrolných činností týkajúcich sa fungovania a bezpečnosti hlavných systémov informačných a komunikačných technológií, spracúvania alebo uchovávania citlivých informácií;

c)

včasné a primerané odhaľovanie akéhokoľvek kybernetického incidentu alebo jeho znakov, a to aj prostredníctvom monitorovania neobvyklých činností;

d)

včasnú a primeranú reakciu na akýkoľvek kybernetický incident alebo akúkoľvek nepriaznivú udalosť a zotavenie sa z nich včas a vhodným spôsobom, čo umožní SDPS rýchlo obnoviť kritické operácie a obmedziť tak prípadné škody pre SDPS.
Článok 21 3

3.   Prevádzkovateľ SDPS zavedie program testovania na pravidelné testovanie prevádzkovej účinnosti všetkých procesov, postupov a kontrol rámca kybernetickej odolnosti uvedeného v odsekoch 1 a 2. V rámci tohto programu testovania prevádzkovateľ SDPS vykonáva penetračné testy na základe konkrétnej hrozby TIBER-EU, ktoré zahŕňajú používanie techník simulácie útoku na kritické funkcie SDPS a základné systémy v súlade s rámcom TIBER-EU.

Ak je ako prevádzkovateľ SDPS určená pobočka, príslušný orgán môže zohľadniť výsledky penetračného testu vykonaného právnym subjektom, ktorého je pobočka právne závislou časťou, ak sa takýto penetračný test môže považovať za porovnateľný s testom TIBER-EU a ak zachytáva aj účinnosť príslušných kontrol a systémov pobočky.
Článok 21 4

4.   Prevádzkovateľ SDPS zabezpečí, aby jeho rada a vedenie, a prípadne vedenie pobočky, ako aj zamestnanci prevádzkovateľa SDPS, dôkladne rozumeli kybernetickej odolnosti a aby ich situačná informovanosť v oblasti kybernetických hrozieb, v ktorej pôsobia, bola na náležitej úrovni, a to prostredníctvom účinného procesu spravodajských informácií o hrozbách a výmeny informácií v rámci jeho organizácie a s inými prepojenými subjektmi v rámci finančného systému.
Článok 21 5

5.   Prevádzkovateľ SDPS zavedie vhodné systémy, politiky, postupy a kontroly, ktoré mu umožnia posúdiť a pochopiť účinnosť vykonávania svojej stratégie a rámca kybernetickej odolnosti.
Článok 21 6

6.   Prevádzkovateľ SDPS zavedie postupy, ktoré zabezpečia, aby aspoň všetky závažné kybernetické incidenty, ktoré majú nepriaznivý vplyv na SDPS, vrátane incidentov, ku ktorým došlo u účastníkov SDPS a poskytovateľov služieb, ktorí sú tretími osobami, boli oznámené: a) rade, vedeniu, a prípadne vedeniu pobočky; a b) príslušnému orgánu. Prevádzkovateľ SDPS zavedie postupy kontinuálneho vzdelávania a zlepšovania v oblasti kybernetickej bezpečnosti. Tieto procesy musia napríklad zabezpečiť, aby sa v rámci kybernetickej odolnosti zohľadňoval vývoj hrozieb, ako aj preskúmania kybernetických incidentov so získanými ponaučeniami.

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy
  • Builddate: 14.07.2025 00:00:00 -Doknr: CELEX:32025R1355
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.