Artykuł 23

(Artykuł 48 ust. 1 dyrektywy 2014/65/UE)

1. Systemy obrotu dysponują procedurami i mechanizmami w zakresie bezpieczeństwa fizycznego i elektronicznego opracowanymi w celu ochrony ich systemów przed nadużyciami lub nieuprawnionym dostępem oraz dla zapewnienia integralności danych, które stanowią część ich systemu lub są przez niego przetwarzane, w tym mechanizmami pozwalającymi zapobiec ryzyku lub ograniczyć ryzyko ataków na systemy informatyczne zdefiniowane w art. 2 lit. a) dyrektywy Parlamentu Europejskiego i Rady 2013/40/UE (6).

2. Systemy obrotu w szczególności określają i utrzymują środki i mechanizmy w zakresie bezpieczeństwa fizycznego i elektronicznego, aby szybko zidentyfikować i ograniczyć ryzyko lub zapobiec ryzyku związanemu z:

a) nieuprawnionym dostępem do ich systemu transakcyjnego lub do jego części, w tym z nieuprawnionym dostępem do przestrzeni do pracy i centrów danych;

b) ingerencjami w system, które poważnie naruszają lub przerywają funkcjonowanie systemu informacyjnego poprzez wprowadzanie danych, przekazywanie, uszkadzanie, usuwanie, niszczenie, zmienianie lub zatajanie danych, bądź przez uczynienie ich niedostępnymi;

c) ingerencjami w dane polegającymi na usuwaniu, uszkadzaniu, niszczeniu, zmienianiu lub zatajaniu danych w systemie informacyjnym lub na uczynieniu ich niedostępnymi;

d) przechwytywaniem, za pomocą środków technicznych, niepublicznych przekazów danych do, z lub w ramach systemu informacyjnego, w tym emisji elektromagnetycznych z systemu informacyjnego zawierającego takie dane.

3. Systemy obrotu niezwłocznie zawiadamiają właściwy organ o każdym przypadku nadużycia lub nieuprawnionego dostępu poprzez niezwłoczne przedstawienie sprawozdania dotyczącego takiego zdarzenia, wskazując jego charakter, środki zastosowane w odpowiedzi na to zdarzenie oraz inicjatywy podjęte, aby uniknąć podobnych zdarzeń w przyszłości.