Article considérant 17

(17) Aux fins de la gestion globale des risques opérationnels et compte tenu de la mise en œuvre et de l’utilisation croissantes de moyens technologiques lors de l’exploitation d’un SPIS, ainsi que de la menace accrue que représentent les cyberattaques et les dommages qu’une cyberattaque réussie pourrait causer au fonctionnement d’un SPIS, un opérateur de SPIS devrait mettre en place une stratégie et un cadre de cyberrésilience dotés de procédures, de processus et de contrôles adéquats pour gérer efficacement les cyberrisques et garantir un niveau élevé de cyberrésilience. Les exigences relatives à cette stratégie et ce cadre de cyberrésilience devraient se fonder sur les Cyber resilience oversight expectations for financial market infrastructures («attentes en matière de surveillance de la cyberrésilience destinées aux infrastructures de marché financier»), afin de rendre certaines attentes principales juridiquement contraignantes pour les opérateurs de SPIS. Il est par ailleurs essentiel qu’un opérateur de SPIS teste régulièrement l’efficacité des contrôles et des systèmes des SPIS en effectuant des tests d’intrusion fondés sur la menace, conformément au cadre européen de tests pour un cyberpiratage éthique fondé sur les renseignements sur les menaces (European Framework for Threat Intelligence-based Ethical Red Teaming, TIBER-UE) (ci-après le «cadre TIBER-UE»). Lorsqu’un opérateur de SPIS est une succursale, l’autorité compétente peut accepter un test effectué par l’entité juridique dont la succursale est une partie juridiquement dépendante, s’il peut être considéré comme un exercice comparable à un test TIBER-UE et s’il rend également bien compte de l’efficacité des contrôles et systèmes concernés de la succursale.