Artikel 21 Cyberrisk

1.   En operatör av ett systemviktigt betalningssystem ska upprätta ett omfattande ramverk för cyberresiliens med lämpliga styrningsåtgärder, som gör att operatören kan hantera cyberrisker på ett effektivt och ändamålsenligt sätt, samt en strategi för cyberresiliens, med beaktande av risktolerans och riskaptit för operatören av det systemviktiga betalningssystemet.

2.   Det ramverk för cyberresiliens som avses i punkt 1 ska säkerställa åtminstone

3.   En operatör av ett systemviktigt betalningssystem ska upprätta ett testprogram för att regelbundet testa att samtliga processer, förfaranden och kontroller i ramverket för cyberresiliens enligt punkterna 1 och 2 fungerar effektivt. Som en del av detta testprogram ska operatören av ett systemviktigt betalningssystem genomföra hotbildsstyrda penetrationstester inom TIBER-EU, vilket inbegriper att använda metoder för att simulera ett angrepp på det systemviktiga betalningssystemets kritiska funktioner och underliggande system i enlighet med TIBER-EU-ramverket.

Om en filial har identifierats som operatör av ett systemviktigt betalningssystem, får den behöriga myndigheten beakta resultaten av ett penetrationstest som har utförts av den juridiska person som filialen utgör en rättsligt beroende del av, om detta penetrationstest kan anses vara jämförbart med ett TIBER-EU-test och om det även ger en bild av hur effektiva filalens relevanta kontroller och system är.

4.   En operatör av ett systemviktigt betalningssystem ska säkerställa att dess styrelse och ledning och, om tillämpligt filialledningen, samt operatörens personal har en god förståelse av vad cyberresiliens innebär och en god nivå av situationsmedvetenhet om cyberhotmiljön där den bedriver sin verksamhet genom en effektiv hotunderrättelseprocess samt informationsutbyte inom organisationen samt med andra sammanflätade enheter inom det finansiella systemet.

5.   En operatör av ett systemviktigt betalningssystem ska ha lämpliga system, riktlinjer, förfaranden och kontroller för att kunna bedöma och få en uppfattning av hur effektivt dess strategi och ramverk för cyberresiliens genomförs.

6.   En operatör av ett systemviktigt betalningssystem ska ha förfaranden för att säkerställa att åtminstone större cyberincidenter som inverkar negativt på det systemviktiga betalningssystemet, inklusive incidenter från betalningssystemets deltagare och tredjepartsleverantörer av tjänster inrapporteras till a) styrelsen, ledningen och om tillämpligt filialledningen och b) den behöriga myndigheten. En operatör av ett systemviktigt betalningssystem ska ha processer för kontinuerligt lärande och kontinuerlig förbättring vad gäller cybersäkerhet. Inom ramen för dessa processer ska det t.ex. säkerställas att hotutveckling och genomgångar av cyberincidenter med de erfarenheter som dragits beaktas inom ramverket för cyberresiliens.