Člen 21 Kibernetsko tveganje

1.   Upravljavec SPPS vzpostavi celovit okvir za kibernetsko odpornost z ustreznimi upravljavskimi ukrepi, ki mu omogočajo uspešno in učinkovito upravljanje kibernetskega tveganja, ter strategijo za kibernetsko odpornost, ki upošteva raven sprejemljivega tveganja upravljavca SIPS in njegovo nagnjenost k prevzemanju tveganj.

2.   Okvir za kibernetsko odpornost iz odstavka 1 zagotovi vsaj:

3.   Upravljavec SPPS vzpostavi program testiranja, po katerem redno preizkuša operativno učinkovitost vseh procesov, postopkov in kontrol okvira za kibernetsko odpornost iz odstavkov 1 in 2. Upravljavec SPPS v okviru tega programa testiranja izvaja penetracijske teste na podlagi analize groženj v skladu z okvirom TIBER-EU, pri katerih se uporabijo tehnike za simulacijo napada na kritične funkcije SPPS in sisteme SPPS, ki te funkcije podpirajo, kakor je določeno v okviru TIBER-EU.

Če je kot upravljavec SPPS določena podružnica, lahko pristojni organ upošteva rezultate penetracijskega testa, ki ga opravi pravni subjekt, katerega pravno odvisen del je podružnica, če se ta penetracijski test lahko šteje za primerljivega s testom v skladu z okvirom TIBER-EU in zajema tudi učinkovitost ustreznih kontrol in sistemov podružnice.

4.   Upravljavec SPPS zagotovi, da njegov odbor in poslovodstvo in po potrebi poslovodstvo podružnice ter njegovi zaposleni dobro razumejo kibernetsko odpornost in imajo ustrezno raven situacijskega zavedanja o okolju kibernetskih groženj, v katerem upravljavec SPPS deluje, in sicer z učinkovitim postopkom obravnave obveščevalnih podatkov o grožnjah ter izmenjavo informacij znotraj organizacije in z drugimi povezanimi subjekti v finančnem sistemu.

5.   Upravljavec SPPS ima vzpostavljene ustrezne sisteme, politike, postopke in kontrole, ki mu omogočajo, da oceni in razume, kako učinkovito se izvajata njegova strategija in okvir za kibernetsko odpornost.

6.   Upravljavec SPPS ima vzpostavljene postopke, s katerimi zagotavlja, da se vsaj večji kibernetski incidenti, ki negativno vplivajo na SPPS, vključno z incidenti, ki izvirajo od udeležencev SPPS in tretjih ponudnikov storitev, poročajo: (a) odboru, poslovodstvu in po potrebi poslovodstvu podružnice ter (b) pristojnemu organu. Upravljavec SPPS ima vzpostavljene procese za trajno učenje in izboljšave v zvezi s kibernetsko varnostjo. Ti procesi na primer vključujejo zagotavljanje, da se v okviru za kibernetsko odpornost upošteva razvoj groženj, in preglede kibernetskih incidentov z analizo pridobljenih izkušenj.