Erwägungsgrund 17 32025R1355

Für die Zwecke des umfassenden Managements operationeller Risiken und angesichts der zunehmenden Einführung und Nutzung technologischer Mittel beim Betrieb eines SIPS sowie der zunehmenden Bedrohung durch Cyberangriffe und Schäden, die ein erfolgreicher Cyberangriff für das Funktionieren eines SIPS verursachen könnte, sollte ein SIPS-Betreiber über eine Strategie und einen Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen mit angemessenen Verfahren, Prozessen und Kontrollen verfügen, um Cyberrisiken wirksam zu steuern und ein hohes Maß an Widerstandsfähigkeit gegenüber Cyberangriffen zu gewährleisten. Die Anforderungen im Zusammenhang mit einer solchen Strategie und einem solchen Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen sollten auf den Überwachungserwartungen hinsichtlich der Widerstandsfähigkeit gegenüber Cyberangriffen für Finanzmarktinfrastrukturen beruhen, um einige wichtige Erwartungen für SIPS-Betreiber rechtsverbindlich zu verankern. Darüber hinaus ist es von zentraler Bedeutung, dass ein SIPS-Betreiber die Wirksamkeit der SIPS-Kontrollen und -Systeme regelmäßig prüft, indem er bedrohungsorientierte Penetrationstests im Einklang mit dem Europäischen Rahmenwerk für ethisches Hacking auf Basis von Threat Intelligence (European Framework for Threat Intelligence based Ethical Red Teaming — TIBER-EU) (nachfolgend das „TIBER-EU-Rahmenwerk“) durchführt. Handelt es sich beim SIPS-Betreiber um eine Zweigstelle, kann die zuständige Behörde Tests akzeptieren, die von der juristischen Person durchgeführt werden, von der die Zweigstelle einen rechtlich abhängigen Teil bildet, wenn die Tests als mit einem TIBER-EU-Test vergleichbar angesehen werden können und wenn diese auch die Wirksamkeit der einschlägigen Kontrollen und Systeme der Zweigstelle erfassen.