(1)

Tämä asetus on laadittu TIBER-EU-kehyksen mukaisesti, ja se vastaa TIBER-EU-kehyksessä kuvattua uhkaperusteisen tunkeutumistestauksen menetelmää, prosessia ja rakennetta. Finanssiyhteisöt, joiden on tehtävä uhkaperusteinen tunkeutumistestaus, voivat hyödyntää ja soveltaa TIBER-EU-kehystä tai jotain sen kansallista täytäntöönpanovälinettä, jos kyseinen kehys ja kyseiset kansalliset täytäntöönpanovälineet ovat asetuksen (EU) 2022/2554 26 ja 27 artiklassa ja tässä asetuksessa säädettyjen vaatimusten mukaisia. Asetuksen (EU) 2022/2554 26 artiklan 9 kohdan mukaan voidaan nimetä yksi rahoitusalan viranomainen, joka vastaa rahoitusalalla uhkaperusteiseen tunkeutumistestaukseen kansallisella tasolla liittyvistä asioista. Tämä ei kuitenkaan saa vaikuttaa tiettyjen finanssiyhteisöjen valvontaa koskevaan toimivaltaan, joka kyseisen asetuksen 46 artiklan nojalla on annettu unionin tasolla toimivaltaisille viranomaisille, joiden katsotaan olevan toimivaltaisia uhkaperusteiseen tunkeutumistestaukseen liittyvissä asioissa, kuten Euroopan keskuspankille merkittävien luottolaitosten osalta. Jos vain osa uhkaperusteiseen tunkeutumistestaukseen liittyvistä tehtävistä on siirretty toiselle finanssialan kansalliselle viranomaiselle asetuksen (EU) 2022/2554 26 artiklan 10 kohdan nojalla, finanssiyhteisön mainitun asetuksen 46 artiklassa tarkoitetun toimivaltaisen viranomaisen olisi pysyttävä toimivaltaisena viranomaisena niiden uhkaperusteiseen tunkeutumistestaukseen liittyvien tehtävien osalta, joita ei ole delegoitu.

(2)

Kun otetaan huomioon uhkaperusteisen tunkeutumistestauksen monitahoisuus ja siihen liittyvät riskit, sen käyttö olisi rajoitettava niihin finanssiyhteisöihin, joiden osalta se on perusteltua. Näin ollen uhkaperusteiseen tunkeutumistestaukseen liittyvistä asioista vastaavien viranomaisten (joko unionin tai kansallisella tasolla) ei pitäisi edellyttää uhkaperusteisen tunkeutumistestauksen tekemistä finanssiyhteisöiltä, jotka toimivat rahoituspalvelualan keskeisillä alasektoreilla, joiden osalta uhkaperusteinen tunkeutumistestaus ei ole perusteltua. Tämä tarkoittaa, että vaikka luottolaitokset, maksulaitokset ja sähköisen rahan liikkeeseenlaskijalaitokset, arvopaperikeskukset, keskusvastapuolet, kauppapaikat sekä vakuutus- ja jälleenvakuutusyritykset täyttävät määrälliset kriteerit, ne voitaisiin vapauttaa vaatimuksesta tehdä uhkaperusteinen tunkeutumistestaus niiden TVT-riskiprofiilista ja TVT-valmiuksien tasosta, rahoitusalaan kohdistuvista vaikutuksista ja rahoitusvakauteen liittyvistä huolenaiheista tehdyn kokonaisarvioinnin perusteella.

(3)

Uhkaperusteisesta tunkeutumistestauksesta vastaavien viranomaisten olisi TVT-riskiprofiilin ja TVT-valmiuksien tason, rahoitusalaan kohdistuvien vaikutusten ja rahoitusvakauteen liittyvien huolenaiheiden kokonaisarvioinnin perusteella arvioitava, olisiko uhkaperusteista tunkeutumistestausta vaadittava muuntyyppisiltä finanssiyhteisöiltä kuin luottolaitoksilta, maksulaitoksilta, sähköisen rahan liikkeeseenlaskijalaitoksilta, keskusvastapuolilta, arvopaperikeskuksilta, kauppapaikoilta sekä vakuutus- ja jälleenvakuutusyrityksiltä. Kun arvioidaan sitä, täyttävätkö tällaiset finanssiyhteisöt laadulliset kriteerit, olisi käytettävä monialaisia ja objektiivisia indikaattoreita sellaisten finanssiyhteisöjen tunnistamiseen, joiden osalta uhkaperusteisen tunkeutumistestauksen tekeminen on tarkoituksenmukaista. Arvioimalla sitä, täyttääkö tietty finanssiyhteisö laadulliset kriteerit, uhkaperusteisen tunkeutumistestauksen tekeminen voidaan rajoittaa yhteisöihin, joiden osalta testaus on perusteltua. Laadullisten kriteerien täyttymistä yksittäisen finanssiyhteisön tapauksessa olisi arvioitava myös markkinoiden uuden kehityksen ja uusien markkinatoimijoiden, mukaan lukien Euroopan parlamentin ja neuvoston asetuksen (EU) 2023/1114 (2) 59 artiklan mukaisesti toimiluvan saaneet kryptovarapalvelun tarjoajat, tulevaisuudessa kasvavan merkityksen perusteella.

(4)

Finanssiyhteisöillä voi olla sama konsernin sisäinen TVT-palveluntarjoaja tai ne voivat saman konsernin sisällä käyttää yhteisiä TVT-järjestelmiä. Tällaisessa tapauksessa on tärkeää, että kun uhkaperusteisesta tunkeutumistestauksesta vastaavat viranomaiset arvioivat, olisiko finanssiyhteisöltä edellytettävä uhkaperusteista tunkeutumistestausta ja olisiko testaus tehtävä yhteisön vai konsernin tasolla (yhteisen uhkaperusteisen tunkeutumistestauksen avulla), ne ottavat huomioon finanssiyhteisön rakenteen ja systeemisen luonteen tai merkityksen finanssialan kannalta kansallisella tai unionin tasolla.

(5)

Jotta voidaan mukailla TIBER-EU-kehystä, testausmenetelmässä on määrättävä seuraavien pääasiallisten osallistujien mukana olosta: finanssiyhteisö, jolla on testaustoimintaa johtava ryhmä (vastaava kuin TIBER-EU-kehyksen ’testaustoimintaa johtava ryhmä’) ja sininen tiimi (vastaava kuin TIBER-EU-kehyksen ’sininen tiimi’), uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen uhkaperusteisen tunkeutumistestauksen kybertiimin (vastaava kuin TIBER-EU-kehyksen ’kybertiimit’) muodossa, uhkatiedustelutietojen tarjoaja ja testaajat (testaajat vastaavat TIBER-EU-kehyksen ’punaista tiimiä’).

(6)

Jotta varmistetaan, että uhkaperusteisessa tunkeutumistestauksessa hyödynnetään TIBER-EU-kehyksen täytäntöönpanosta saatua kokemusta ja vähennetään uhkaperusteisen tunkeutumistestauksen tekemiseen liittyviä riskejä, olisi varmistettava, että uhkaperusteisesta tunkeutumistestauksesta vastaavien viranomaisten tasolla perustettavien uhkaperusteisen tunkeutumistestauksen kybertiimien vastuut ovat mahdollisimman samankaltaiset kuin TIBER-EU-kehyksen kybertiimien vastuut. Näin ollen uhkaperusteisen tunkeutumistestauksen kybertiimeillä olisi oltava testauspäälliköt, jotka vastaavat yksittäisten testien valvonnasta, suunnittelusta ja koordinoinnista. Uhkaperusteisen tunkeutumistestauksen kybertiimien olisi toimittava keskitettynä yhteyspisteenä, jonka tehtävänä on testeihin liittyvä viestintä sisäisten ja ulkoisten sidosryhmien kanssa, aiemmin suoritetuista testeistä saadun palautteen ja kokemusten kerääminen ja käsittely sekä uhkaperusteisen tunkeutumistestauksen kohteena olevien finanssiyhteisöjen tukeminen.

(7)

TIBER-EU-kehyksen menetelmien mukaisesti testauspäälliköillä olisi oltava tarvittavat taidot ja valmiudet neuvonnan antamiseen ja testaajien ehdotusten kyseenalaistamiseen. TIBER-EU-kehyksen puitteissa saatu kokemus on osoittanut, että on hyödyllistä nimetä kuhunkin testiin vähintään kaksi testauspäällikköä. Koska uhkaperusteiseen tunkeutumistestaukseen kannustetaan suhtautumaan oppimiskokemuksena, testien luottamuksellisuuden turvaamiseksi ja olettaen, että uhkaperusteisesta tunkeutumistestauksesta vastaavilla viranomaisilla on asianmukaiset resurssit ja asiantuntemus, uhkaperusteisesta tunkeutumistestauksesta vastaavia viranomaisia kannustetaan voimakkaasti siihen, että testauspäälliköillä ei ole testien aikana valvontatoimia liittyen samaan finanssiyhteisöön, johon uhkaperusteinen tunkeutumistesti kohdistuu.

(8)

Jotta varmistetaan yhdenmukaisuus TIBER-EU-kehyksen kanssa, uhkaperusteisesta tunkeutumistestauksesta vastaavien viranomaisten on tärkeää seurata testausta tarkasti kaikissa vaiheissa. Kun otetaan huomioon testauksen luonne ja siihen liittyvät riskit, on olennaisen tärkeää, että uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen osallistuu testauksen kuhunkin vaiheeseen. Finanssiyhteisöjen olisi kuultava uhkaperusteisesta tunkeutumistestauksesta vastaavaa viranomaista erityisesti, kun ne laativat arviointeja tai tekevät päätöksiä, jotka voivat yhtäältä vaikuttaa testauksen tuloksellisuuteen ja toisaalta testaukseen liittyviin riskeihin, ja arvioinnit ja päätökset olisi annettava kyseisen viranomaisen hyväksyttäviksi. Keskeiset vaiheet, joihin uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on osallistuttava, ovat esimerkiksi tiettyjen testausta koskevien keskeisten asiakirjojen vahvistaminen sekä uhkatiedustelutietojen tarjoajien, testaajien ja riskinhallintatoimenpiteiden valinta. Osallistumisesta testaukseen, erityisesti osallistumisesta asiakirjojen vahvistamiseen, ei pitäisi aiheutua kohtuutonta rasitetta uhkaperusteisesta tunkeutumistestauksesta vastaaville viranomaisille. Sen vuoksi viranomaisten osallistuminen olisi rajoitettava asiakirjoihin ja päätöksiin, jotka vaikuttavat suoraan uhkaperusteisen tunkeutumistestauksen toteutukseen. Osallistumalla aktiivisesti testauksen kuhunkin vaiheeseen uhkaperusteisesta tunkeutumistestauksesta vastaavat viranomaiset voivat arvioida, noudattavatko finanssiyhteisöt tosiasiallisesti asiaankuuluvia vaatimuksia. Tämän perusteella kyseiset viranomaiset voivat antaa todistuksia asetuksen (EU) 2022/2554 26 artiklan 7 kohdan mukaisesti.

(9)

Uhkaperusteisen tunkeutumistestauksen salaaminen on välttämätöntä, jotta varmistetaan, että testausolosuhteet ovat realistiset. Tästä syystä testauksen olisi tapahduttava salassa ja uhkaperusteisen tunkeutumistestauksen luottamuksellisuus olisi varmistettava varotoimilla, kuten valitsemalla koodinimet, joiden tarkoituksena on estää kolmansia osapuolia tunnistamasta uhkaperusteista tunkeutumistestausta. Jos taloushallintoryhmän turvallisuudesta vastaavat henkilöstön jäsenet tietävät tulevasta tai meneillään olevasta uhkaperusteisesta tunkeutumistestauksesta, he ovat todennäköisesti tarkkaavaisempia ja valppaampia kuin tavanomaisissa työoloissa, mikä vaikuttaa testauksen tulokseen. Testaustoimintaa johtavan ryhmän ulkopuolisille finanssiyhteisön työntekijöille ei pitäisi tiedottaa suunnitelluista tai meneillään olevista uhkaperusteisista tunkeutumistesteistä muutoin kuin painavista syistä ja testauspäälliköiden ennakkosuostumuksella, jotta voidaan varmistaa, että testaus pysyy salassa esimerkiksi tilanteissa, joissa sinisen tiimin jäsen havaitsee testauksen.

(10)

TIBER-EU-kehyksen puitteissa ’testaustoimintaa johtavasta ryhmästä’ saadut kokemukset osoittavat, että asianmukaisen vetäjän valinta testaustoimintaa johtavalle ryhmälle on välttämätöntä, jotta uhkaperusteinen tunkeutumistestaus voidaan suorittaa turvallisesti. Testaustoimintaa johtavan ryhmän vetäjällä olisi oltava finanssiyhteisössä tarvittavat valtuudet ohjata testauksen kaikkia näkökohtia vaarantamatta kuitenkaan testauksen luottamuksellisuutta. Samasta syystä testaustoimintaa johtavan ryhmän jäsenillä olisi oltava perusteellinen tietämys finanssiyhteisöstä sekä ryhmän vetäjän tehtävästä ja strategisesta asemasta, vaadittu määrä työvuosia ja yhteys johtokuntaan. Jotta vähennetään riskiä uhkaperusteisen tunkeutumistestauksen paljastumisesta, testaustoimintaa johtavan ryhmän olisi oltava mahdollisimman pieni.

(11)

Uhkaperusteiseen tunkeutumistestaukseen liittyy luontaisia riskitekijöitä sen vuoksi, että kriittisiä toimintoja testataan toiminnassa olevassa tuotantoympäristössä. Tämä voi aiheuttaa palvelunestohäiriöitä, järjestelmän odottamatonta kaatuilua, vaurioita toiminnassa oleville kriittisille tuotantojärjestelmille tai tietojen häviämisen, muuttumisen tai paljastumisen. Näiden riskien vuoksi tarvitaan vankkoja riskinhallintatoimenpiteitä. Jotta varmistetaan, että uhkaperusteinen tunkeutumistestaus toteutetaan kokonaisuudessaan hallitusti, on erittäin tärkeää, että finanssiyhteisöt ovat kaikissa vaiheissa tietoisia uhkaperusteiseen tunkeutumistestaukseen liittyvistä erityisistä riskeistä ja että näitä riskejä lievennetään. Tältä osin voi olla asianmukaista, että finanssiyhteisön ylimmälle hallintoelimelle annetaan tiedot uhkaperusteiseen tunkeutumistestaukseen liittyvistä riskinhallintatoimenpiteistä ja tietyissä tilanteissa kyseiset riskinhallintatoimenpiteet annetaan finanssiyhteisön ylimmän hallintoelimen hyväksyttäviksi, sanotun kuitenkaan rajoittamatta finanssiyhteisön sisäisiä prosesseja tai testaustoimintaa johtavan ryhmän vetäjän velvollisuuksia ja toimivaltaa. Jotta asiantuntijapalveluja voidaan tarjota kaikkein tuloksellisimmalla ja pätevimmällä tavalla ja jotta voidaan lieventää mainittuja riskejä, on myös olennaisen tärkeää, että testaajilla ja uhkatiedustelutietojen tarjoajilla (yhdessä ’uhkaperusteisen tunkeutumistestauksen palveluntarjoajat’) on mahdollisimman hyvät taidot, asiantuntemus ja asianmukainen kokemus rahoituspalvelualan uhkatiedustelusta ja uhkaperusteisesta tunkeutumistestauksesta.

(12)

Perinteisistä tunkeutumistesteistä saadaan yksityiskohtainen ja hyödyllinen arvio usein yksittäisen järjestelmän tai ympäristön teknisistä ja kokoonpanoon liittyvistä haavoittuvuuksista. Toisin kuin tiedusteluun perustuvassa punaisen tiimin testissä, niissä ei arvioida skenaariota, jossa kokonaiseen yhteisöön kohdistuu kohdennettu hyökkäys, eikä oteta huomioon yhteisön työntekijöitä, prosesseja ja teknologioita niiden koko laajuudelta. Sen vuoksi kun finanssiyhteisöt valitsevat uhkaperusteisen tunkeutumistestauksen palveluntarjoajia, niiden olisi varmistettava, että kyseisillä palveluntarjoajilla on tarvittava osaaminen tiedusteluun perustuvien punaisen tiimin testien, eikä ainoastaan tunkeutumistestien, suorittamiseen. Sen vuoksi on tarpeen vahvistaa kattavat kriteerit sekä sisäisille että ulkoisille testaajille ja uhkatiedustelutietojen tarjoajille, jotka ovat aina ulkoisia palveluntarjoajia. Jos uhkaperusteisen tunkeutumistestauksen palveluntarjoajat kuuluvat samaan yritykseen, uhkaperusteiseen tunkeutumistestaukseen osoitettu henkilöstö olisi erotettava asianmukaisesti muusta henkilöstöstä.

(13)

Poikkeuksellisissa olosuhteissa finanssiyhteisöt eivät välttämättä voi tehdä sopimuksia sellaisten uhkaperusteisen tunkeutumistestauksen palveluntarjoajien kanssa, jotka täyttävät kattavat kriteerit. Sen vuoksi finanssiyhteisöjen olisi voitava ottaa mukaan henkilöitä, jotka eivät täytä kaikkia kattavia kriteerejä, jos finanssiyhteisöt osoittavat, että kriteerit täyttäviä uhkatiedustelutietojen tarjoajia ei ole käytettävissä ja edellyttäen, että finanssiyhteisöt lieventävät tästä mahdollisesti aiheutuvia lisäriskejä asianmukaisesti ja että uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen arvioi kaikki kyseiset kriteerit.

(14)

Jos uhkaperusteiseen tunkeutumistestaukseen osallistuu useita finanssiyhteisöjä ja useita uhkaperusteisesta tunkeutumistestauksesta vastaavia viranomaisia, kaikkien osapuolten roolit olisi täsmennettävä, jotta testi voidaan suorittaa mahdollisimman tuloksellisesti ja turvallisesti. Erityisiä vaatimuksia tarvitaan täsmentämään nimetyn finanssiyhteisön rooli yhdistetyssä testauksessa. Kyseisen finanssiyhteisön olisi oltava vastuussa testausprosessin seurannasta ja tarvittavan dokumentaation toimittamisesta johtavalle uhkaperusteisesta tunkeutumistestauksesta vastaavalle viranomaiselle. Nimetyn finanssiyhteisön olisi myös vastattava riskinhallinnan arvioinnin yleisistä näkökohdista. Huolimatta siitä, mitä nimetyn finanssiyhteisön roolista säädetään, muiden yhdistettyyn uhkaperusteiseen tunkeutumistestaukseen osallistuvien finanssiyhteisöjen yhdistetyn testauksen aikaisiin velvoitteisiin ei pitäisi tehdä muutoksia. Samaa periaatetta olisi sovellettava yhteisiin uhkaperusteisiin tunkeutumistesteihin.

(15)

TIBER-EU-kehyksen täytäntöönpanosta saadut kokemukset osoittavat, että tehokkain tapa varmistaa testauksen asianmukainen toteuttaminen on järjestää kaikkien asianomaisten sidosryhmien (finanssiyhteisöt, viranomaiset, testaajat ja uhkatiedustelutietojen tarjoajat) välisiä lähi- tai virtuaalikokouksia. Sen vuoksi lähi- tai virtuaalikokouksia olisi järjestettävä prosessin eri vaiheissa ja erityisesti uhkaperusteisen tunkeutumistestauksen valmisteluvaiheessa ja sen soveltamisalasta päätettäessä, testausvaiheen aikana uhkatiedusteluraportin ja punaisen tiimin testaussuunnitelman viimeistelemiseksi ja viikoittaisten päivitysten läpikäymiseksi sekä päättämisvaiheessa testaajien ja sinisen tiimin toimien läpikäyntiin, purppuran tiimin harjoitukseen ja testauspalautteen antamiseen.

(16)

Uhkaperusteisen tunkeutumistestauksen sujuvan toteutuksen varmistamiseksi uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen olisi selkeästi esitettävä finanssiyhteisölle testausta koskevat odotuksensa. Tältä osin testauspäälliköiden olisi varmistettava, että finanssiyhteisön testaustoimintaa johtavan ryhmän ja uhkaperusteisen tunkeutumistestauksen palveluntarjoajien kanssa varmistetaan asianmukainen tiedonkulku.

(17)

Finanssiyhteisön olisi valittava kriittiset tai tärkeät toiminnot, joihin uhkaperusteinen tunkeutumistestaus kohdistetaan. Finanssiyhteisön olisi käytettävä kyseisten toimintojen valitsemiseen useita kriteerejä sen perusteella, millainen merkitys kullakin toiminnolla on finanssiyhteisölle itselleen ja finanssialalle unionin ja kansallisella tasolla ei ainoastaan taloudelliselta kannalta vaan myös toiminnon symbolisen tai poliittisen aseman vuoksi. Jotta siirtyminen uhkatiedustelutietojen keräämisvaiheeseen sujuisi sujuvasti, testaustoimintaa johtavan ryhmän olisi annettava yksityiskohtaiset tiedot testauksen sovitusta soveltamisalasta testaajille ja uhkatiedustelutietojen tarjoajalle, jotka eivät osallistu soveltamisalan määrittelyyn.

(18)

Jotta testaajat saisivat tarvitsemansa tiedot voidakseen jäljitellä todellista ja realistista hyökkäystä finanssiyhteisön toiminnassa oleviin kriittisten tai tärkeiden toimintojen perustana käytettäviin järjestelmiin, uhkatiedustelutietojen tarjoajan olisi kerättävä tiedustelutietoja tai tietoja vähintään kahdesta keskeisestä seikasta: kohteista yksilöimällä mahdolliset hyökkäyspinnat finanssiyhteisössä ja uhkista yksilöimällä asiaan liittyvät uhkatoimijat ja todennäköiset uhkaskenaariot. Jotta varmistetaan, että uhkatiedustelutietojen tarjoaja ottaa huomioon finanssiyhteisön kannalta merkitykselliset uhat, testaajien, testaustoimintaa johtavan ryhmän ja testauspäälliköiden olisi annettava palautetta uhkatiedusteluraportin luonnoksesta. Uhkatiedustelutietojen tarjoaja voi käyttää kansallisen uhkaympäristön laadinnassa perustana uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen laatimaa finanssialan yleistä uhkaympäristöä, jos sellainen on saatavilla. TIBER-EU-kehyksen soveltamisesta saatujen kokemusten perusteella uhkatiedustelutietojen kerääminen kestää yleensä noin neljä viikkoa.

(19)

Testaajien on saatava käsitys testin soveltamisalan määrittelevästä asiakirjasta ja kohdennetusta uhkatiedusteluraportista ja voitava tarkastella niitä punaisen tiimin testaussuunnitelman laatimista varten. Sen vuoksi on olennaisen tärkeää, että testaajat saavat uhkatiedustelutietojen tarjoajalta yksityiskohtaiset selvitykset kohdennetusta uhkatiedusteluraportista ja analyysin mahdollisista uhkaskenaarioista ennen kuin punaisen tiimin testausvaihe uhkaperusteisessa tunkeutumistestauksessa alkaa.

(20)

Jotta testaajat voivat suorittaa testit realistisesti ja kattavasti niin, että kaikki hyökkäysvaiheet toteutetaan ja liput saavutetaan, punaisen tiimin aktiiviseen testausvaiheeseen olisi varattava riittävästi aikaa. TIBER-EU-kehyksestä saatujen kokemusten perusteella aikaa olisi varattava vähintään 12 viikkoa. Määräaika olisi asetettava ottaen huomioon osapuolten lukumäärä, uhkaperusteisen tunkeutumistestauksen soveltamisala, asianomaisen finanssiyhteisön tai asianomaisten finanssiyhteisöjen resurssit, mahdolliset ulkoiset vaatimukset ja saatavilla olevat finanssiyhteisön toimittamat taustatiedot.

(21)

Punaisen tiimin aktiivisen testausvaiheen aikana testaajien olisi käytettävä erilaisia taktiikoita, tekniikoita ja menettelyjä finanssiyhteisön toiminnassa olevien tuotantojärjestelmien testaamiseksi asianmukaisella tavalla. Testaajien olisi käytettävä tapauksen mukaan seuraavia taktiikoita, tekniikoita ja menettelyjä: tiedustelu (mahdollisimman kattavien tietojen kerääminen kohteesta), varustautuminen (infrastruktuuria, tiloja ja työntekijöitä koskevien tietojen analysointi ja kohteen vaatimiin erityistoimiin valmistautuminen), toteutus (täysimittaisen toiminnan käynnistäminen kohdetta vastaan), hyödyntäminen (toimet, joilla testaajat pyrkivät vaarantamaan finanssiyhteisön palvelimet ja verkot ja manipuloimaan finanssiyhteisön henkilöstöä), hallinta ja eteneminen (pyrkimys siirtyä läpäistyistä järjestelmistä muihin haavoittuviin tai arvokkaisiin järjestelmiin) ja kohdetta koskevat toimet (kattavamman pääsyn saaminen läpäistyihin järjestelmiin ja pääsyn saaminen punaisen tiimin testaussuunnitelmassa ennalta sovittuihin kohdetietoihin).

(22)

Uhkaperusteista tunkeutumistestausta suorittaessaan testaajien olisi otettava huomioon hyökkäykseen käytettävissä oleva aika, resurssit sekä eettiset ja oikeudelliset rajat. Jos testaajat eivät pysty etenemään hyökkäyksen suunniteltuun seuraavaan vaiheeseen, testaustoimintaa johtavan ryhmän olisi uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen suostumuksella avustettava testaajia. Avustus voidaan karkeasti luokitella tietoihin liittyväksi avuksi ja pääsyoikeuksiin liittyväksi avuksi. Siihen voi kuulua pääsyn tarjoaminen TVT-järjestelmiin tai sisäisiin verkkoihin, jotta testausta voidaan jatkaa ja keskittyä hyökkäyksen seuraaviin vaiheisiin.

(23)

Hyökkäystestauksen aikana testit olisi tarpeen vaatiessa, jotta uhkaperusteista tunkeutumistestausta voidaan jatkaa, ja viimeisenä keinona poikkeuksellisissa olosuhteissa kun kaikki muut vaihtoehdot on käytetty, tehtävä testaajien ja sinisen tiimin yhteistyönä. Kun käytetään rajoitetusti tällaista purppuraa tiimiä, voidaan soveltaa seuraavia menetelmiä: ”catch and-release”, jossa testaajat jatkavat testausta sen jälkeen, kun heidät on havaittu heidän pyrkiessään jatkamaan skenaarioita; ”sotapeli”, joka mahdollistaa monimutkaisempien skenaarioiden käytön strategisen päätöksenteon testaamiseksi; ja ”yhteistoiminnallinen konseptin oikeaksi todistaminen”, jonka avulla testaajat ja sinisen tiimin jäsenet voivat yhteistyössä ja valvotusti tarkistaa tiettyjen turvatoimenpiteiden, välineiden tai tekniikoiden toimivuuden.

(24)

Uhkaperusteista tunkeutumistestausta olisi pidettävä oppimiskokemuksena, jonka avulla finanssiyhteisöjen digitaalista häiriönsietokykyä voidaan parantaa. Sinisen tiimin ja testaajien olisi tarkasteltava hyökkäystä ja toteutettuja toimia jälkikäteen uudelleen, jotta testauskokemuksesta voidaan oppia yhteistyössä testaajien kanssa. Tätä varten ja asianmukaisen valmistelun mahdollistamiseksi punaisen tiimin ja sinisen tiimin testiraportit olisi asetettava etukäteen kaikkien uudelleentarkasteluun osallistuvien osapuolten saataville. Lisäksi päättämisvaiheessa olisi toteutettava purppuran tiimin harjoitus oppimiskokemuksen maksimoimiseksi. Päättämisvaiheen purppuran tiimin harjoituksessa voidaan keskustella vaihtoehtoisista hyökkäysskenaarioista, tarkastella vaihtoehtoisia skenaarioita toiminnassa olevissa järjestelmissä tai tarkastella toiminnassa olevissa järjestelmissä uudelleen sellaisia skenaarioita, joita testaajat eivät saaneet valmiiksi tai kyenneet toteuttamaan testausvaiheen aikana.

(25)

Jotta voidaan syventää edelleen kaikkien uhkaperusteiseen tunkeutumistestaukseen osallistuvien osapuolten oppimiskokemusta, mistä on hyötyä tulevien testien kannalta, ja kehittää finanssiyhteisöjen digitaalista häiriönsietokykyä, asianomaisten osapuolten olisi annettava toisilleen yleispalautetta testauksesta ja yksilöitävä erityisesti, mitkä toimet onnistuivat ja mitkä seikat uhkaperusteisen tunkeutumistestauksen prosessissa toimivat hyvin ja mitä olisi voitu parantaa.

(26)

Jos asetuksen (EU) 2022/2554 46 artiklassa tarkoitetut toimivaltaiset viranomaiset ja uhkaperusteisesta tunkeutumistestauksesta vastaavat viranomaiset ovat eri viranomaisia, niiden olisi tehtävä yhteistyötä uhkaperusteisen tunkeutumistestauksen avulla tehtävän kehittyneen testauksen sisällyttämiseksi olemassa oleviin valvontaprosesseihin. Tältä osin on aiheellista, että uhkaperusteiseen tunkeutumistestaukseen osallistuneet testauspäälliköt ja vastuussa olevat valvojat tekevät tiivistä yhteistyötä erityisesti testien tiivistelmäraportin ja korjaussuunnitelmien osalta, jotta kaikilla viranomaisilla olisi oikea käsitys uhkaperusteisen tunkeutumistestauksen tuloksista ja siitä, miten tuloksia olisi tulkittava.

(27)

Asetuksen (EU) 2022/2554 26 artiklan 8 kohdan ensimmäisessä alakohdassa edellytetään, että finanssiyhteisöt teettävät joka kolmannen testin ulkopuolisilla testaajilla. Jos finanssiyhteisöt toteuttavat testit käyttäen testaajien joukossa sekä sisäisiä että ulkoisia testaajia, tätä olisi kyseistä artiklaa sovellettaessa pidettävä sisäisiä testaajia käyttäen toteutettuna uhkaperusteisena tunkeutumistestauksena.

(28)

Tämä asetus perustuu teknisten sääntelystandardien luonnoksiin, jotka Euroopan pankkiviranomainen, Euroopan vakuutus- ja lisäeläkeviranomainen ja Euroopan arvopaperimarkkinaviranomainen, jäljempänä ’Euroopan valvontaviranomaiset’, ovat toimittaneet komissiolle yhteisymmärryksessä Euroopan keskuspankin kanssa.

(29)

Euroopan valvontaviranomaiset ovat järjestäneet avoimia julkisia kuulemisia teknisten sääntelystandardien luonnoksista, joihin tämä asetus perustuu, analysoineet niihin mahdollisesti liittyviä kustannuksia ja hyötyjä sekä pyytäneet lausuntoa Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1093/2010 (3) 37 artiklan mukaisesti perustetulta pankkialan osallisryhmältä, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1094/2010 (4) 37 artiklan mukaisesti perustetuilta vakuutus- ja jälleenvakuutusalan osallisryhmältä ja lisäeläkealan osallisryhmältä sekä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1095/2010 (5) 37 artiklan mukaisesti perustetulta arvopaperimarkkina-alan osallisryhmältä.

(30)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (6) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 20 päivänä elokuuta 2024,

1)

’testaustoimintaa johtavalla ryhmällä’ ryhmää, joka hallinnoi testiä ja joka koostuu testattavan finanssiyhteisön henkilöstöstä ja, jos se on tarpeen uhkaperusteisen tunkeutumistestauksen soveltamisalan perusteella, finanssiyhteisön palveluntarjoajien ja muiden osapuolten henkilöstöstä;

2)

’testaustoimintaa johtavan ryhmän vetäjällä’ finanssiyhteisön henkilöstön jäsentä, joka vastaa finanssiyhteisön kaikesta uhkaperusteiseen tunkeutumistestaukseen liittyvästä toiminnasta yksittäisen testin yhteydessä;

3)

’sinisellä tiimillä’ finanssiyhteisön henkilöstöä ja tarvittaessa finanssiyhteisön palveluntarjoajina olevien kolmansien osapuolten henkilöstöä sekä minkä tahansa muun osapuolen henkilöstöä, jota pidetään merkityksellisenä uhkaperusteisen tunkeutumistestauksen soveltamisalan perusteella, joka puolustaa finanssiyhteisön verkko- ja tietojärjestelmien käyttöä ylläpitämällä sen turvallisuustasoa simuloituja tai todellisia hyökkäyksiä vastaan ja joka ei ole tietoinen uhkaperusteisen tunkeutumistestauksen toteuttamisesta;

4)

’sinisen tiimin tehtävillä’ tehtäviä, joita sininen tiimi tyypillisesti suorittaa, kuten turvaoperaatiokeskus, tieto- ja viestintätekniikan infrastruktuuripalvelut, neuvontapalvelut ja häiriöiden hallintapalvelut operatiivisella tasolla;

5)

’punaisella tiimillä’ sisäisiä tai ulkoisia testaajia, joiden kanssa on tehty sopimus uhkaperusteisen tunkeutumistestin toteuttamisesta tai joiden tehtäväksi on annettu uhkaperusteisen tunkeutumistestin toteuttaminen;

6)

’purppuran tiimin harjoituksella’ yhteistoiminnassa tehtyä testausta, johon osallistuvat sekä testaajat että sininen tiimi;

7)

’uhkaperusteisesta tunkeutumistestauksesta vastaavalla viranomaisella’ mitä tahansa seuraavista:

8)

’uhkaperusteisen tunkeutumistestauksen kybertiimillä’ tai ’kybertiimillä’ uhkaperusteisesta tunkeutumistestauksesta vastaavien viranomaisten henkilöstöä, joka vastaa uhkaperusteiseen tunkeutumistestaukseen liittyvistä asioista;

9)

’testauspäälliköillä’ henkilöstöä, joka on nimetty johtamaan uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen toimintaa tietyn uhkaperusteisen tunkeutumistestin yhteydessä tämän asetuksen noudattamisen valvomiseksi;

10)

’uhkatiedustelutietojen tarjoajalla’ finanssiyhteisön ja mahdollisten konsernin sisäisten TVT-palveluntarjoajien ulkopuolisia asiantuntijoita, joiden kanssa finanssiyhteisö on tehnyt sopimuksen kustakin uhkaperusteisesta tunkeutumistestauksesta ja jotka keräävät ja analysoivat tietyn uhkaperusteisen tunkeutumistestin yhteydessä finanssiyhteisöille merkityksellisiä uhkatiedustelutietoja ja laativat niihin liittyviä realistisia uhkaskenaarioita;

11)

’uhkaperusteisen tunkeutumistestauksen palveluntarjoajilla’ testaajia ja uhkatiedustelutietojen tarjoajia;

12)

’avustuksella’ tukea tai tietoja, joita testaustoimintaa johtava ryhmä antaa testaajille, jotta testaajat voivat jatkaa hyökkäystä valitsemaansa reittiä pitkin, jos he eivät pysty etenemään omin voimin johtuen uhkaperusteiseen tunkeutumistestaukseen varatusta riittämättömästä ajasta tai riittämättömistä resursseista ja jos muuta kohtuullista vaihtoehtoa ei ole olemassa;

13)

’hyökkäysreitillä’ reittiä, jota pitkin testaajat pyrkivät saavuttamaan uhkaperusteisen tunkeutumistestauksen liput punaisen tiimin aktiivisen testausvaiheen aikana;

14)

’lipuilla’ finanssiyhteisön kriittisiä tai tärkeitä toimintoja tukevissa TVT-järjestelmissä olevia keskeisiä pisteitä, jotka testaajat pyrkivät saavuttamaan testin aikana;

15)

’arkaluonteisilla tiedoilla’ tietoja, joita voidaan helposti hyödyntää finanssiyhteisön TVT-järjestelmiin kohdistuvien hyökkäysten tekemiseksi, teollis- ja tekijänoikeuksia, luottamuksellisia liiketoimintatietoja tai henkilötietoja, jotka vihamielisten toimijoiden käsiin päätyessään voivat vahingoittaa suoraan tai välillisesti finanssiyhteisöä ja sen ekosysteemiä;

16)

’poolilla’ kaikkia finanssiyhteisöjä, jotka osallistuvat asetuksen (EU) 2022/2554 26 artiklan 4 kohdassa tarkoitettuun yhdistettyyn uhkaperusteiseen tunkeutumistestaukseen;

17)

’vastaanottavalla jäsenvaltiolla’ kuhunkin finanssiyhteisöön sovellettavan unionin alakohtaisen lainsäädännön mukaista vastaanottavaa jäsenvaltiota;

18)

’yhteisellä uhkaperusteisella tunkeutumistestauksella’ muuta kuin asetuksen (EU) 2022/2554 26 artiklan 4 kohdassa tarkoitettua yhdistettyä uhkaperusteista tunkeutumistestausta, jossa on mukana useita finanssiyhteisöjä, joilla on sama konsernin sisäinen TVT-palveluntarjoaja tai jotka käyttävät konsernin sisällä yhteisiä TVT-järjestelmiä.