(1)

Ova je Uredba izrađena u skladu s okvirom TIBER-EU i sadržava metodologiju, postupak i strukturu penetracijskog testiranja vođenog prijetnjama (TLPT) kako je opisano u tom okviru. Financijski subjekti koji imaju obvezu provedbe TLPT-a mogu primjenjivati i upućivati na okvir TIBER-EU ili jedan od oblika njegove provedbe na nacionalnoj razini pod uvjetom da su taj okvir ili provedba u skladu sa zahtjevima utvrđenima u člancima 26. i 27. Uredbe (EU) 2022/2554 i ovoj Uredbi. Imenovanje jedinstvenog tijela javne vlasti u financijskom sektoru koje je odgovorno za pitanja povezana s TLPT-om na nacionalnoj razini u skladu s člankom 26. stavkom 9. Uredbe (EU) 2022/2554 ne bi trebalo dovoditi u pitanje nadležnost tijela za nadzor određenih financijskih subjekata na razini Unije u skladu s člankom 46. te uredbe, kao što je, na primjer, nadležnost Europske središnje banke za značajne kreditne institucije koje se smatraju nadležnima za pitanja povezana s TLPT-om. Ako su samo neke zadaće koje su povezane s TLPT-ima delegirane drugom nacionalnom tijelu u financijskom sektoru u skladu s člankom 26. stavkom 10. Uredbe (EU) 2022/2554, tijelo nadležno nad financijskim subjektom iz članka 46. te uredbe trebalo bi ostati tijelo nadležno za zadaće povezane s TLPT-om koje nisu delegirane.

(2)

S obzirom na složenost TLPT-a i s njim povezane rizike, njegova bi primjena trebala biti ograničena na one financijske subjekte za koje je opravdana. Stoga bi tijela odgovorna za pitanja TLPT-a (tijela za TLPT na razini Unije ili na nacionalnoj razini) trebala iz opsega TLPT-a isključiti one financijske subjekte koji posluju u podsektorima ključnih financijskih usluga za koje TLPT nije opravdan. To znači da bi kreditne institucije, institucije za platni promet i elektronički novac, središnji depozitoriji vrijednosnih papira, središnje druge ugovorne strane, mjesta trgovanja, društva za osiguranje i društva za reosiguranje, iako ispunjavaju kvantitativne kriterije, mogli biti oslobođeni obveze provedbe TLPT-a na temelju opće procjene njihova profila IKT rizičnosti i stupnja zrelosti, učinka na financijski sektor i povezanih pitanja financijske stabilnosti.

(3)

Tijela za TLPT trebala bi na temelju opće procjene profila IKT rizičnosti i stupnja zrelosti, učinka na financijski sektor i povezanih pitanja financijske stabilnosti procijeniti bi li bilo koja vrsta financijskog subjekta osim kreditnih institucija, institucija za platni promet, institucija za elektronički novac, središnjih drugih ugovornih strana, središnjih depozitorija vrijednosnih papira, mjesta trgovanja, društava za osiguranje i društava za reosiguranje trebala imati obvezu provedbe TLPT-a. Procjena toga ispunjavaju li takvi financijski subjekti navedene kvalitativne kriterije trebala bi služiti za određivanje za koje je financijske subjekte TLPT primjeren korištenjem međusektorskih i objektivnih pokazatelja. Istodobno bi na temelju procjene toga ispunjava li financijski subjekt predmetne kvalitativne kriterije trebalo ograničiti obvezu provedbe TLPT-a na subjekte za koje je takvo testiranje opravdano. Ispunjava li financijski subjekt navedene kvalitativne kriterije trebalo bi procijeniti i s obzirom na razvoj novih tržišta i sve veću važnost novih sudionika na tržištu za financijski sektor u budućnosti, uključujući pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad u skladu s člankom 59. Uredbe (EU) 2023/1114 Europskog parlamenta i Vijeća (2).

(4)

Financijski subjekti mogu imati istog pružatelja IKT usluga unutar grupe ili mogu pripadati istoj grupi i oslanjati se na upotrebu zajedničkih IKT sustava. U tom je slučaju važno da tijela za TLPT pri procjeni bi li financijski subjekt trebao imati obvezu provedbe TLPT-a i bi li se TLPT trebao provoditi na razini subjekta ili na razini grupe (u okviru zajedničkog TLPT-a) uzmu u obzir strukturu i sistemsku prirodu ili značaj tog financijskog subjekta za financijski sektor na nacionalnoj razini ili na razini Unije.

(5)

Kako bi se preslikao okvir TIBER-EU, u metodologiji testiranja treba predvidjeti sudjelovanje sljedećih glavnih sudionika: financijskog subjekta, s kontrolnim timom (koji odgovara „kontrolnom timu” iz okvira TIBER-EU) i plavim timom (koji odgovara „plavom timu” iz okvira TIBER-EU) te tijela za TLPT, u obliku kibernetičkog tima za TLPT (koji odgovara „kibernetičkim timovima TIBER-a” iz okvira TIBER-EU), pružatelja saznanja o prijetnjama i provoditeljâ testiranja (koji odgovaraju „pružatelju crvenog tima” iz okvira TIBER-EU).

(6)

Kako bi se pri provedbi TLPT-a iskoristilo iskustvo stečeno u provedbi okvira TIBER-EU i kako bi se smanjili rizici povezani s provedbom TLPT-a, trebalo bi osigurati da se odgovornosti kibernetičkih timova za TLPT koji će se osnovati na razini tijela za TLPT što više podudaraju s odgovornostima kibernetičkih timova iz okvira TIBER-EU. Stoga bi kibernetički timovi za TLPT trebali imati voditelje testiranja koji su odgovorni za nadzor pojedinačnih TLPT-a te za planiranje i koordinaciju pojedinačnih testova. Kibernetički timovi za TLPT trebali bi funkcionirati kao jedinstvena kontaktna točka za komunikaciju s unutarnjim i vanjskim dionicima o testiranju, prikupljanju i obradi povratnih informacija i iskustava stečenih u prethodnim testiranjima te potpori financijskim subjektima koji se podvrgavaju TLPT-u.

(7)

Kako bi primjenjivali metodologiju iz okvira TIBER-EU, voditelji testiranja trebali bi imati vještine i sposobnosti potrebne za pružanje savjeta i odgovaranje na prijedloge provoditelja testiranja. Iskustvo stečeno u provedbi okvira TIBER-EU pokazalo je da je korisno imati tim od najmanje dva voditelja testiranja za svaki test. Kako bi se osiguralo da se TLPT upotrebljava za stjecanje iskustva i kako bi se zaštitila povjerljivost testova, tijelima za TLPT preporučuje se da, pod uvjetom da nemaju problema s resursima ili stručnošću, uzmu u obzir da tijekom trajanja TLPT-a voditelji testiranja ne bi trebali provoditi nadzorne aktivnosti nad financijskim subjektom koji se podvrgava TLPT-u.

(8)

Radi dosljednosti s okvirom TIBER-EU važno je da tijelo za TLPT pomno prati svaku fazu testiranja. S obzirom na prirodu testiranja i s njime povezane rizike, neophodno je da tijelo za TLPT sudjeluje u svakoj fazi testiranja. Konkretno, tijelo za TLPT trebalo bi biti dostupno za savjetovanje i potvrditi procjene ili odluke financijskih subjekata koje s jedne strane mogu utjecati na učinkovitost testiranja, a s druge na rizike povezane s testiranjem. Glavni koraci testiranja u kojima je potrebno posebno sudjelovanje tijela za TLPT jesu potvrđivanje određene temeljne dokumentacije o testiranju, odabir pružatelja saznanja o prijetnjama i provoditelja testiranja te donošenje mjera upravljanja rizicima. Sudjelovanje tijela za TLPT, posebno pri potvrđivanju dokumentacije, ne bi ih trebalo prekomjerno opteretiti te bi stoga trebala biti ograničena na dokumentaciju i odluke koje izravno utječu na provedbu TLPT-a. Aktivnim sudjelovanjem u svakoj fazi testiranja, tijela za TLPT mogu učinkovito procijeniti usklađenost financijskih subjekata s relevantnim zahtjevima, što bi tim tijelima trebalo omogućiti izdavanje potvrda u skladu s člankom 26. stavkom 7. Uredbe (EU) 2022/2554.

(9)

Tajnost TLPT-a od izuzetne je važnosti kako bi se osiguralo da su uvjeti testiranja realistični. Zbog toga bi testiranje trebalo biti prikriveno te bi trebalo poduzeti mjere opreza kako bi TLPT bio povjerljiv, što uključuje odabir kodnih naziva koji bi trebali biti osmišljeni tako da se trećim stranama onemogući prepoznavanje TLPT-a. Ako bi članovi osoblja koji su odgovorni za sigurnost financijskog tima bili svjesni planiranog ili tekućeg TLPT-a, vjerojatno bi bili pažljiviji i oprezniji nego u uobičajenim radnim uvjetima, što bi utjecalo na ishod testiranja. Članovi osoblja financijskog subjekta izvan kontrolnog tima trebali bi stoga biti upoznati sa svim planiranim ili tekućim TLPT-ima samo ako za to postoje uvjerljivi razlozi i uz prethodnu suglasnost voditelja testiranja, među ostalim kako bi se osigurala tajnost testiranja u slučaju da član plavog tima otkrije da se provodi testiranje.

(10)

Kao što je vidljivo iz iskustva stečenog u pogledu „kontrolnog tima” u provedbi okvira TIBER-EU, odabir prikladnog voditelja kontrolnog tima neophodan je za sigurnu provedbu TLPT-a. Voditelj kontrolnog tima trebao bi u okviru financijskog subjekta imati potrebne ovlasti koje mu omogućuju usmjeravanje svih aspekata testiranja a da se ne ugrozi njegova povjerljivost. Zbog istog bi razloga članovi kontrolnog tima trebali dobro poznavati financijski subjekt i ulogu i stratešku poziciju voditelja kontrolnog tima te imati potreban senioritet i pristup upravnom odboru. Kako bi se smanjio rizik od ugrožavanja TLPT-a, kontrolni tim treba biti što manji.

(11)

S TLPT-om se povezuju određeni inherentni elementi rizika jer se ključne funkcije testiraju u produkcijskom okruženju, što znači da postoji mogućnost uzrokovanja incidenata uskraćivanja usluge, neočekivanih padova sustava, oštećenja ključnih produkcijskih sustava ili gubitka, izmjene ili otkrivanja podataka. Zbog tih su rizika potrebne snažne mjere upravljanja rizicima. Kako bi se osiguralo da se TLPT kontrolirano provodi tijekom cijelog testiranja, vrlo je važno da financijski subjekti u svakom trenutku budu svjesni konkretnih rizika koji se javljaju u okviru TLPT-a i da se ti rizici ublaže. Za te bi potrebe, ne dovodeći u pitanje unutarnje procese financijskog subjekta te odgovornosti i delegirane ovlasti koje su već dodijeljene voditelju kontrolnog tima, mogle biti primjerene informacije o mjerama upravljanja rizicima koji proizlaze iz TLPT-a ili, u posebnim slučajevima, odobrenje tih mjera upravljanja rizicima od strane upravljačkog tijela financijskog subjekta. Kako bi mogli pružati učinkovite i stručne profesionalne usluge te smanjiti te rizike, neophodno je i da provoditelji testiranja i pružatelji saznanja o prijetnjama (zajedno „pružatelji usluga TLPT-a”) posjeduju najvišu razinu vještina, stručnosti i odgovarajućeg iskustva u području saznanja o prijetnjama i TLPT-a u industriji financijskih usluga.

(12)

Konvencionalna penetracijska testiranja omogućuju detaljnu i korisnu procjenu tehničkih i konfiguracijskih ranjivosti, često pojedinačnog sustava ili okruženja, ali za razliku od testiranja koja provodi crveni tim i koja se temelje na saznanjima, njima se ne procjenjuje potpuni scenarij ciljanog napada na cijeli subjekt te na sve njegovo osoblje, procese i tehnologije. Financijski subjekti stoga bi u postupku odabira pružatelja usluga TLPT-a trebali osigurati da oni imaju potrebne vještine za provedbu testiranja crvenog tima koja se temelje na saznanjima, a ne samo penetracijskih testova. Stoga je potrebno utvrditi sveobuhvatne kriterije za unutarnje i vanjske provoditelje testiranja te za pružatelje saznanja o prijetnjama, koji su uvijek vanjski. Ako pružatelji usluga TLPT-a pripadaju istom društvu, osoblje kojem je povjerena provedba TLPT-a trebalo bi biti na odgovarajući način odvojeno.

(13)

U iznimnim okolnostima financijski subjekti možda neće moći angažirati pružatelje usluga TLPT-a koji ispunjavaju sveobuhvatne kriterije. Stoga bi financijskim subjektima, nakon što dokažu nedostupnost takvih pružatelja saznanja o prijetnjama, trebalo dopustiti da angažiraju osobe koje ne ispunjavaju sve sveobuhvatne kriterije, pod uvjetom da na odgovarajući način ublaže sve povezane dodatne rizike i da tijelo za TLPT procijeni sve te kriterije.

(14)

Ako u TLPT-u sudjeluje nekoliko financijskih subjekata i nekoliko tijela za TLPT, trebalo bi odrediti uloge svih strana u postupku TLPT-a kako bi testiranje bilo što učinkovitije i sigurnije. Za skupno testiranje potrebno je utvrditi posebne zahtjeve kako bi se odredila uloga imenovanog financijskog subjekta, odnosno kako bi se utvrdilo da bi on trebao biti zadužen za dostavu sve potrebne dokumentacije vodećem tijelu za TLPT i za praćenje postupka testiranja. Imenovani financijski subjekt trebao bi biti zadužen i za zajedničke aspekte procjene upravljanja rizicima. Neovisno o ulozi imenovanog financijskog subjekta, obveze svakog financijskog subjekta koji sudjeluje u postupku skupnog TLPT-a trebale bi ostati nepromijenjene za vrijeme provedbe skupnog testiranja. Isto načelo trebalo bi se primjenjivati i na zajedničke TLPT-e.

(15)

Kao što je vidljivo iz iskustva stečenog u provedbi okvira TIBER-EU, održavanje sastanaka uživo ili virtualnim putem sa svim uključenim dionicima (financijskim subjektima, nadležnim tijelima, provoditeljima testiranja i pružateljima saznanja o prijetnjama) najučinkovitiji je način osiguravanja odgovarajuće provedbe testiranja. Stoga bi se sastanci uživo i virtualni sastanci trebali održavati u različitim fazama postupka, a posebno u pripremnoj fazi prije pokretanja TLPT-a radi utvrđivanja njegova opsega, u fazi testiranja radi dovršetka izvješća o saznanjima o prijetnjama i plana testiranja crvenog tima te tjednih razmjena novosti i u završnoj fazi radi ponavljanja testova i aktivnosti plavog tima, provedbe zajedničkih aktivnosti u okviru ljubičastog tima i razmjene povratnih informacija o TLPT-u.

(16)

Kako bi se osigurala neometana provedba TLPT-a, tijelo za TLPT trebalo bi financijskom subjektu jasno iznijeti svoja očekivanja u pogledu testiranja. U tom bi pogledu voditelji testiranja trebali osigurati uspostavu odgovarajućeg protoka informacija s kontrolnim timom unutar financijskog subjekta i s pružateljima usluga TLPT-a.

(17)

Financijski subjekt trebao bi odabrati ključne ili važne funkcije koje će biti obuhvaćene TLPT-om. Odabir tih funkcija trebao bi temeljiti na različitim kriterijima koji se odnose na važnost svake funkcije za financijski subjekt i financijski sektor, na razini Unije i na nacionalnoj razini, ne samo u gospodarskom smislu, nego uzimajući u obzir i simbolički ili politički status funkcije. Kako bi se omogućio neometan prijelaz na fazu prikupljanja saznanja o prijetnjama, kontrolni tim trebao bi provoditeljima testiranja i pružatelju saznanja o prijetnjama koji nisu uključeni u postupak utvrđivanja opsega testiranja pružiti detaljne informacije o dogovorenom opsegu.

(18)

Kako bi se provoditeljima testiranja pružile informacije potrebne za simulaciju stvarnog i realističnog napada na produkcijske sustave financijskog subjekta na kojima se temelje njegove ključne ili važne funkcije, pružatelj saznanja o prijetnjama trebao bi prikupljati saznanja ili informacije o najmanje dva ključna područja interesa: o metama utvrđivanjem potencijalnih površina napada u cijelom financijskom subjektu i o prijetnjama identifikacijom relevantnih aktera prijetnji i vjerojatnih scenarija prijetnji. Kako bi se osiguralo da pružatelj saznanja o prijetnjama razmatra prijetnje koje su relevantne za financijski subjekt, provoditelji testiranja, kontrolni tim i voditelji testiranja trebali bi dostaviti povratne informacije o nacrtu izvješća o saznanjima o prijetnjama. Ako je dostupno, pružatelj saznanja o prijetnjama kao osnovu za utvrđivanje stanja u pogledu prijetnji na nacionalnoj razini može iskoristiti opis općih prijetnji za financijski sektor države članice koje je dostavilo tijelo za TLPT. Na temelju primjene okvira TIBER-EU postupak prikupljanja saznanja o prijetnjama obično traje približno četiri tjedna.

(19)

Kako bi se provoditeljima testiranja omogućio uvid i dodatno preispitivanje dokumenta o utvrđivanju opsega testiranja i izvješća o posebnim saznanjima o prijetnjama radi dovršetka plana testiranja crvenog tima, ključno je da prije faze testiranja TLPT-a za koju je odgovoran crveni tim provoditelji testiranja od pružatelja saznanja o prijetnjama dobiju detaljna objašnjenja o izvješću o posebnim saznanjima o prijetnjama i analizi mogućih scenarija prijetnji.

(20)

Kako bi se provoditeljima testiranja omogućilo da provedu realistično i sveobuhvatno testiranje u kojem se izvode sve faze napada i ostvaruju utvrđene etape, za aktivnu fazu testiranja crvenog tima trebalo bi izdvojiti dovoljno vremena. Na temelju iskustva stečenog u provedbi okvira TIBER-EU izdvojeno razdoblje trebalo bi trajati najmanje 12 tjedana i trebalo bi ga utvrditi s obzirom na broj uključenih strana, opseg TLPT-a, resurse uključenog financijskog subjekta ili financijskih subjekata, sve vanjske zahtjeve i dostupnost popratnih informacija koje je dostavio financijski subjekt.

(21)

Tijekom aktivne faze testiranja crvenog tima provoditelji testiranja trebali bi primijeniti niz taktika, tehnika i postupaka kako bi na odgovarajući način testirali produkcijske sustave financijskog subjekta. Taktike, tehnike i postupci trebali bi, prema potrebi, obuhvaćati izviđanje (tj. prikupljanje što više informacija o meti), naoružanje (tj. analizu informacija o infrastrukturi, objektima i zaposlenicima te pripremu za operacije specifične za metu), provedbu (tj. aktivno pokretanje potpune operacije usmjerene na metu), otkrivanje i iskorištavanje ranjivosti (tj. radnje u kojima je cilj provoditelja testiranja ugroziti poslužitelje i mreže financijskog subjekta i iskoristiti njegovo osoblje uz pomoć socijalnog inženjeringa), kontrolu i kretanje (tj. pokušaje prelaska s kompromitiranih sustava na druge ranjive sustave ili sustave visoke vrijednosti) i izvođenje mjera protiv mete (tj. ostvarivanje daljnjeg pristupa kompromitiranim sustavima i ostvarivanje pristupa ciljnim informacijama i podacima kako je prethodno dogovoreno u planu testiranja crvenog tima).

(22)

Tijekom TLPT-a provoditelji testiranja trebali bi djelovati uzimajući u obzir vrijeme dostupno za izvođenje napada, resurse te etička i pravna ograničenja. Ako provoditelji testiranja ne mogu napredovati prema planiranoj sljedećoj fazi napada, kontrolni tim trebao bi, uz suglasnost tijela za TLPT, pružati povremenu pomoć. Takva pomoć općenito može biti u obliku informacija i olakšanog pristupa te se može sastojati od pružanja pristupa IKT sustavima ili internim mrežama kako bi provoditelji mogli nastaviti testiranje i usmjeriti se na sljedeće korake napada.

(23)

Ako je to potrebno kako bi se omogućio nastavak TLPT-a i kao krajnja mjera u iznimnim okolnostima nakon što se iscrpe sve druge mogućnosti, tijekom aktivne faze testiranja crvenog tima trebalo bi provesti aktivnost zajedničkog testiranja koja podrazumijeva suradnju provoditelja testiranja i plavog tima. U kontekstu takve ograničene zajedničke aktivnosti u okviru ljubičastog tima mogu se primijeniti sljedeće metode: „hvatanje i puštanje”, pri čemu provoditelji testiranja pokušavaju nastaviti provoditi scenarije dok ih se ne otkrije i zatim nastaviti testiranje, „vojne vježbe”, koje omogućuju složenije scenarije u svrhu testiranja strateškog donošenja odluka, ili „zajedničku provjeru koncepta”, koja provoditeljima testiranja i članovima plavog tima omogućuje da zajednički potvrde konkretne sigurnosne mjere, alate ili tehnike u kontroliranom i suradničkom okruženju.

(24)

TLPT bi se trebao iskoristiti za stjecanje iskustva kako bi se poboljšala digitalna operativna otpornost financijskih subjekata. U tom smislu, plavi tim i provoditelji testiranja trebali bi ponoviti napad i preispitati korake koji su poduzeti kako bi članovi plavog tima stekli nova znanja iz iskustva testiranja u suradnji s provoditeljima testiranja. U tu svrhu i kako bi se omogućila odgovarajuća priprema, izvješća o testiranju crvenog i plavog tima trebala bi se staviti na raspolaganje svim stranama uključenima u aktivnosti ponavljanja testiranja prije njihove ponovne provedbe. Osim toga, u završnoj fazi trebalo bi provesti zajedničke aktivnosti ljubičastog tima kako bi se u najvećoj mjeri iskoristilo stečeno iskustvo. Metode koje se mogu primijeniti za zajedničke aktivnosti ljubičastog tima u završnoj fazi trebale bi uključivati rasprave o alternativnim scenarijima napada, istraživanje alternativnih scenarija na produkcijskim sustavima ili ponovno istraživanje planiranih scenarija na produkcijskim sustavima koje provoditelji testiranja nisu mogli dovršiti ili izvršiti tijekom faze testiranja.

(25)

Radi dodatnog stjecanja iskustva svih strana uključenih u TLPT, koje će se iskoristiti u budućim testovima, te kako bi se unaprijedila digitalna operativna otpornost financijskih subjekata, uključene strane trebale bi jedna drugoj dostaviti povratne informacije o cjelokupnom procesu, konkretno istaknuti aktivnosti koje su dobro napredovale i one koje se mogu poboljšati te koji su aspekti procesa TLPT-a dobro funkcionirali, a koji se mogu poboljšati.

(26)

Nadležna tijela iz članka 46. Uredbe (EU) 2022/2554 i tijela za TLPT, ako se razlikuju, trebala bi surađivati kako bi napredno testiranje TLPT-om uključila u postojeće nadzorne postupke. U tom pogledu i kako bi se podijelilo pravilno razumijevanje nalaza TLPT-a i načina na koji bi ih trebalo tumačiti, primjereno je uspostaviti blisku suradnju voditelja testiranja koji su sudjelovali u TLPT-u i odgovornih nadzornih tijela, posebno u vezi sa sažetim izvješćem o testiranju i planovima za ispravljanje nedostataka.

(27)

Člankom 26. stavkom 8. prvim podstavkom Uredbe (EU) 2022/2554 financijski se subjekti obvezuju na angažiranje vanjskih provoditelja testiranja za svaki treći test. Ako financijski subjekti u tim provoditelja testiranja uključe i unutarnje i vanjske provoditelje testiranja, to bi se trebalo smatrati TLPT-om koji provode unutarnji provoditelji testiranja za potrebe tog članka.

(28)

Ova Uredba se temelji na nacrtu regulatornih tehničkih standarda koji su Komisiji dostavili Europsko nadzorno tijelo za bankarstvo, Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje i Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala (europska nadzorna tijela) u dogovoru s Europskom središnjom bankom.

(29)

Europska nadzorna tijela provela su otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (3), Interesne skupine za osiguranje i reosiguranje i Interesne skupine za strukovno mirovinsko osiguranje osnovanih u skladu s člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (4) te Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (5).

(30)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (6) te je on dao mišljenje 20. kolovoza 2024.,

1.

„kontrolni tim” znači tim koji čini osoblje financijskog subjekta nad kojim se provodi testiranje i, ako je to relevantno s obzirom na opseg TLPT-a, osoblje njegovih trećih strana pružatelja usluga i svih drugih strana koje upravljaju testom;

2.

„voditelj kontrolnog tima” znači član osoblja financijskog subjekta koji je odgovoran za provedbu svih aktivnosti povezanih s TLPT-om za financijski subjekt u kontekstu određenog testa;

3.

„plavi tim” znači osoblje financijskog subjekta i, prema potrebi, osoblje trećih strana pružatelja usluga financijskog subjekta i bilo koje druge strane koja se smatra relevantnom s obzirom na opseg TLPT-a trećih strana pružatelja usluga financijskog subjekta, koje štiti upotrebu mrežnih i informacijskih sustava financijskog subjekta tako što održava njegov sigurnosni status pod simuliranim ili stvarnim napadima i koje nije upoznato s TLPT-om;

4.

„zadaće plavog tima” znači zadaće koje obično obavlja plavi tim, kao što su aktivnosti centra za sigurnosne operacije, usluge IKT infrastrukture, aktivnosti službe za korisnike i usluge upravljanja incidentima na operativnoj razini;

5.

„crveni tim” znači unutarnji ili vanjski provoditelji testiranja, koji su angažirani za provedbu TLPT-a ili kojima je povjerena provedba TLPT-a;

6.

„zajednička aktivnost u okviru ljubičastog tima” znači aktivnost zajedničkog testiranja u kojoj sudjeluju provoditelji testiranja i plavi tim;

7.

„tijelo za TLPT” znači bilo koje od sljedećeg:

8.

„kibernetički tim za TLPT” ili „TCT” znači osoblje tijela za TLPT koje je odgovorno za pitanja povezana s TLPT-om;

9.

„voditelji testiranja” znači osoblje kojem je povjereno vođenje aktivnosti tijela za TLPT za određeni TLPT radi praćenja usklađenosti s ovom Uredbom;

10.

„pružatelj saznanja o prijetnjama” znači stručnjaci koje je financijski subjekt angažirao za određeni TLPT i koji djeluju kao vanjski suradnici financijskog subjekta i pružatelja IKT usluga unutar grupe, ako postoje, koji prikupljaju i analiziraju posebna saznanja o prijetnjama relevantna za financijske subjekte u okviru određenog TLPT-a te izrađuju odgovarajuće relevantne i realistične scenarije prijetnji;

11.

„pružatelji usluga TLPT-a” znači provoditelji testiranja i pružatelji saznanja o prijetnjama;

12.

„pomoć” znači pomoć ili informacije koje kontrolni tim pruža provoditeljima testiranja kako bi im omogućio daljnje izvršavanje puta napada ako ne mogu samostalno napredovati i ako ne postoji druga razumna alternativa, među ostalim zbog nedovoljno vremena ili resursa u određenom TLPT-u;

13.

„put napada” znači put koji provoditelji testiranja slijede pri provedbi TPLT-a tijekom aktivne faze testiranja crvenog tima kako bi ostvarili etape utvrđene za taj TLPT;

14.

„etape” su ključni ciljevi u IKT sustavima kojima se podupiru ključne ili važne funkcije financijskog subjekta koje provoditelji testiranja nastoje ostvariti u okviru testa;

15.

„osjetljive informacije” znači informacije koje se mogu lako iskoristiti za napade na IKT sustave financijskog subjekta, intelektualno vlasništvo, povjerljivi poslovni podaci ili osobni podaci, koji mogu izravno ili neizravno naštetiti financijskom subjektu i njegovu ekosustavu ako ih se domognu zlonamjerni akteri;

16.

„skup” znači svi financijski subjekti koji sudjeluju u skupnom TLPT-u u skladu s člankom 26. stavkom 4. Uredbe (EU) 2022/2554;

17.

„država članica domaćin” znači država članica domaćin u skladu sa sektorskim pravom Unije koje se primjenjuje na svaki financijski subjekt;

18.

„zajednički TLPT” znači TLPT, osim skupnog TLPT-a iz članka 26. stavka 4. Uredbe (EU) 2022/2554, koji uključuje nekoliko financijskih subjekata koji angažiraju istog pružatelja IKT usluga unutar grupe ili pripadaju istoj grupi i dijele IKT sustave.