Art. 21
Rischio informatico
In vigore dal 2 lug 2025
Rischio informatico
1. Il gestore dello SPIS stabilisce un quadro integrato di resilienza informatica dotato di appropriate misure di in materia di governo societario che gli consenta di gestire in modo efficace ed efficiente i rischi informatici, nonché una strategia di resilienza informatica che tenga conto della tolleranza al rischio e della propensione al rischio del gestore dello SPIS.
2. Il quadro di resilienza informatica di cui al paragrafo 1 garantisce almeno:
a)
l’individuazione e la classificazione dei ruoli fondamentali, compresa la responsabilità per il processo decisionale all’interno dell’organizzazione, dei processi, delle operazioni, dei servizi e delle attività informative a sostegno delle operazioni e dei servizi critici dello SPIS, al fine di garantire che siano messe in atto misure appropriate per la loro protezione e il loro tempestivo risanamento in caso di attacco informatico;
b)
l’adeguata protezione dello SPIS dai rischi informatici, anche mediante l’attuazione di controlli di sicurezza efficaci e lo svolgimento di attività di controllo sul funzionamento e sulla sicurezza dei principali sistemi TIC, sul trattamento o sulla conservazione di informazioni sensibili;
c)
il rilevamento tempestivo e appropriato di eventuali incidenti informatici o di loro indizi, anche attraverso il monitoraggio di attività anomale;
d)
la risposta e la ripresa da qualsiasi incidente informatico o evento avverso in modo tempestivo e appropriato, che consentano allo SPIS di riprendere rapidamente le operazioni critiche e in modo da limitare eventuali danni allo SPIS.
3. Il gestore dello SPIS istituisce un programma di verifiche per testare periodicamente l’efficacia operativa di tutti i processi, le procedure e i controlli del quadro di resilienza informatica di cui ai paragrafi 1 e 2. Nell’ambito di tale programma di prove, il gestore dello SPIS effettua test di penetrazione basati sulle minacce conformemente al quadro TIBER-UE che comportano l’uso di tecniche per simulare un attacco alle funzioni essenziali e ai sistemi sottostanti dello SPIS, come stabilito dal quadro TIBER-UE.
Laddove una succursale sia identificata come gestore dello SPIS, l’autorità competente può tenere conto degli esiti di un test di penetrazione svolto dal soggetto giuridico di cui la succursale costituisce una parte giuridicamente dipendente e se tale test di penetrazione può essere considerato un esercizio analogo a un test TIBER-EU nonché se rileva anche l’efficacia dei pertinenti controlli e dei sistemi della succursale.
4. Il gestore dello SPIS assicura che il proprio Consiglio, la propria dirigenza e, se del caso, la dirigenza della succursale, nonché il personale del gestore dello SPIS, abbiano una solida comprensione della resilienza informatica e un solido livello di consapevolezza situazionale del contesto di minacce informatiche in cui opera lo SPIS attraverso un efficace processo di raccolta dei dati sulle minacce e la condivisione delle informazioni all’interno della sua organizzazione e con altri soggetti interconnessi in tutto il sistema finanziario.
5. Il gestore dello SPIS predispone sistemi, politiche, procedure e controlli appropriati che gli consentano di valutare e comprendere l’efficacia dell’attuazione della sua strategia e del suo quadro in materia di resilienza informatica.
6. Il gestore dello SPIS dispone di procedure per garantire che almeno gli eventuali incidenti informatici rilevanti che incidono negativamente sullo SPIS, compresi incidenti che derivano dai partecipanti allo SPIS e da terzi fornitori di servizi, siano segnalati: a) al Consiglio, alla dirigenza e, se del caso, alla dirigenza della succursale e b) all’autorità competente. Il gestore dello SPIS dispone di processi di apprendimento continuo e di miglioramento relativi alla sicurezza informatica. Tali processi comprendono, ad esempio, la garanzia che il quadro per la resilienza informatica tenga conto degli sviluppi delle minacce e delle revisioni degli incidenti informatici, alla luce delle esperienze acquisite.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg:2025:1355:oj#art-21