Artykuł 18

(art. 17 ust. 1 dyrektywy 2014/65/UE)

1. Firma inwestycyjna wdraża strategię systemu informatycznego o określonych celach i środkach, która:

a) jest zgodna ze strategią biznesową i strategią zarządzania ryzykiem tej firmy inwestycyjnej oraz jest dostosowana do jej działalności operacyjnej i ryzyka, na które jest narażona;

b) opiera się na solidnej organizacji systemu informatycznego obejmującej usługi, produkcję i rozwój;

c) pozwala na efektywne zarządzanie bezpieczeństwem systemu informatycznego.

2. Firma inwestycyjna wprowadza i utrzymuje odpowiednie mechanizmy w zakresie bezpieczeństwa fizycznego i elektronicznego, które minimalizują ryzyko ataków na jej systemy informacyjne i które obejmują efektywne narzędzia ustalania tożsamości i zarządzania dostępem. Mechanizmy te zapewniają poufność, integralność, autentyczność i dostępność danych oraz niezawodność i solidność działania systemów informacyjnych danej firmy inwestycyjnej.

3. Firma inwestycyjna niezwłocznie zawiadamia właściwy organ o wszelkich istotnych naruszeniach jej środków bezpieczeństwa fizycznego i elektronicznego. Przedstawia ona właściwemu organowi sprawozdanie dotyczące zdarzenia, wskazując w nim charakter zdarzenia, środki zastosowane w następstwie tego zdarzenia oraz inicjatywy podjęte, aby uniknąć podobnych zdarzeń w przyszłości.

4. Firma inwestycyjna co roku przeprowadza testy penetracyjne i skanowanie podatności na zagrożenia, symulując cyberataki.

5. Firma inwestycyjna zapewnia, by miała możliwość wskazania wszystkich osób, które dysponują prawami dostępu użytkownika o krytycznym znaczeniu do jej systemów informatycznych. Firma inwestycyjna ogranicza liczbę takich osób i monitoruje ich dostęp do systemów informatycznych, aby móc go zawsze zidentyfikować.