(1)

Ez a rendelettervezet a TIBER-EU kerettel összhangban készült, és az ott ismertetett fenyegetés alapú behatolási tesztelés (TLPT) módszertanát, folyamatát és szerkezetét tükrözi. A TLPT hatálya alá tartozó pénzügyi szervezetek a TIBER-EU keretre vagy annak valamely nemzeti jogban végrehajtott változatára hivatkozhatnak, és azokat alkalmazhatják, amennyiben a keret vagy annak végrehajtott változata összhangban van az (EU) 2022/2554 rendelet 26. és 27. cikkében, valamint az e rendeletben meghatározott követelményekkel. A pénzügyi ágazatban a TLPT-vel kapcsolatos ügyekért nemzeti szinten felelős egyetlen hatóságnak az (EU) 2022/2554 rendelet 26. cikkének (9) bekezdésével összhangban történő kijelölése nem sértheti az említett rendelet 46. cikkével összhangban valamely illetékes hatóságra, például a TLPT-vel kapcsolatos ügyekben a jelentős hitelintézetek tekintetében illetékesnek tekintendő Európai Központi Bankra ruházott, bizonyos pénzügyi szervezetek felügyeletére vonatkozó, uniós szintű hatáskört. Amennyiben a TLPT-kkel kapcsolatos feladatoknak csak egy részét ruházzák át az (EU) 2022/2554 rendelet 26. cikkének (10) bekezdése alapján egy másik nemzeti hatóságra a pénzügyi szektorban, a TLPT-vel kapcsolatos át nem ruházott feladatok tekintetében a pénzügyi szervezet a szóban forgó rendelet 46. cikkében említett illetékes hatóságának kell maradnia az illetékes hatóságnak.

(2)

Figyelembe véve a TLPT összetettségét és a hozzá kapcsolódó kockázatokat, a TLPT alkalmazását azokra a pénzügyi szervezetekre kell korlátozni, amelyek esetében az indokolt. Ezért a TLPT-ügyekért felelős hatóságoknak (TLPT-hatóságok, akár uniós, akár nemzeti szinten) ki kell zárniuk a TLPT hatálya alól az olyan alapvető pénzügyi szolgáltatási alágazatokban működő pénzügyi szervezeteket, amelyek esetében a TLPT nem indokolt. Ez azt jelenti, hogy a hitelintézetek, a pénzforgalmi és elektronikuspénz-kibocsátó intézmények, a központi értéktárak, a központi szerződő felek, a kereskedési helyszínek, a biztosítók és a viszontbiztosítók – annak ellenére, hogy megfelelnek a mennyiségi kritériumoknak – mentesülhetnek a TLPT követelménye alól IKT-kockázati profiljuk és érettségük, a pénzügyi ágazatra gyakorolt hatásuk és a kapcsolódó pénzügyi stabilitási aggályok átfogó értékelése fényében.

(3)

A TLPT-hatóságoknak az IKT-kockázati profil és érettség, a pénzügyi ágazatra gyakorolt hatás és a kapcsolódó pénzügyi stabilitási aggályok átfogó értékelése fényében fel kell mérniük, hogy a hitelintézetektől, pénzforgalmi intézményektől, elektronikuspénz-kibocsátó intézményektől, központi szerződő felektől, központi értéktáraktól, kereskedési helyszínektől, biztosítóktól és viszontbiztosítóktól eltérő bármely egyéb típusú pénzügyi szervezeteket TLPT-re kell-e kötelezni. Annak értékelése során, hogy az ilyen pénzügyi szervezetek teljesítik-e ezeket a minőségi kritériumokat, ágazatközi és objektív mutatók alkalmazásával azonosítani kell azokat a pénzügyi szervezeteket, amelyek esetében a TLPT megfelelő. Ugyanakkor annak értékelése eredményeként, hogy valamely pénzügyi szervezet megfelel-e ezeknek a minőségi kritériumoknak, a TLPT-re kötelezett szervezeteket azokra kell korlátozni, amelyek esetében a tesztelés indokolt. Azt, hogy egy pénzügyi szervezet megfelel-e ezeknek a minőségi kritériumoknak, az új piaci fejlemények, valamint az új piaci szereplők – köztük az (EU) 2023/1114 európai parlamenti és tanácsi rendelet (2) 59. cikkével összhangban engedélyezett kriptoeszköz-szolgáltatók – pénzügyi ágazatbeli növekvő jelentősége fényében is értékelni kell.

(4)

Előfordulhat, hogy a pénzügyi szervezetek ugyanazt a csoporton belüli IKT-szolgáltatót használják, vagy ugyanahhoz a csoporthoz tartoznak, és közös IKT-rendszereket használnak. Ebben az esetben fontos, hogy a TLPT-hatóságok figyelembe vegyék az adott pénzügyi szervezet szerkezetét és rendszerszintű jellegét vagy a pénzügyi ágazat szempontjából fennálló jelentőségét nemzeti vagy uniós szinten annak értékelése során, hogy a pénzügyi szervezetet TLPT-re kell-e kötelezni, és hogy a TLPT-t a szervezet szintjén vagy csoportszinten kell-e elvégezni (közös TLPT-n keresztül).

(5)

A tesztelési módszertannak, hogy tükrözze a TIBER-EU keretet, a következő fő résztvevők bevonását kell biztosítania: a pénzügyi szervezet egy ellenőrzést végző csapattal (a TIBER-EU szerinti „ellenőrzést végző csapatot” tükrözve) és egy kék csapattal (a TIBER-EU szerinti „kék csapatot” tükrözve), valamint a TLPT-hatóság egy TLPT-kibercsoport (a TIBER-EU szerinti „TIBER-kibercsoportokat” tükrözve), egy fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató és tesztelők formájában (a tesztelők a TIBER-EU „vörös csapatot biztosító szolgáltatóját” tükrözik).

(6)

Annak biztosítása érdekében, hogy a TLPT hasznosítsa a TIBER-EU végrehajtása keretében szerzett tapasztalatokat, valamint a TLPT elvégzésével kapcsolatos kockázatok csökkentése érdekében biztosítani kell, hogy a TLPT-hatóságok szintjén létrehozandó TLPT-kibercsoportok felelősségi köre a lehető legközelebb álljon a TIBER-EU-kibercsoportokéhoz. Ezért a TLPT-kibercsoportoknak tesztvezetőkkel kell rendelkezniük, akik felelősek az egyes TLPT-k felvigyázásáért, valamint az egyes tesztek tervezéséért és koordinálásáért. A TLPT-kibercsoportoknak egyedüli kapcsolattartó pontként kell szolgálniuk a belső és külső érdekelt felekkel a teszteléssel kapcsolatban folytatott kommunikáció, a visszajelzések és a korábban elvégzett tesztekből levont tanulságok összegyűjtése és feldolgozása, valamint azon pénzügyi szervezetek támogatása tekintetében, amelyek éppen TLPT-n esnek át.

(7)

A TIBER-EU keret módszertanának tükrözése érdekében a tesztvezetőknek rendelkezniük kell a tanácsadáshoz és a tesztelők javaslatainak kétségbe vonásához szükséges készségekkel és képességekkel. A TIBER-EU keretében szerzett tapasztalatok bebizonyították, hogy hasznos, ha minden egyes teszthez legalább két tesztvezetőből álló csapatot rendelnek. Annak tükrözése érdekében, hogy a TLPT a tanulási tapasztalat ösztönzésére szolgál, valamint a tesztek titkosságának megőrzése érdekében a TLPT-hatóságokat, hacsak nem rendelkeznek erőforrásbeli vagy szakértői problémákkal, határozottan bíztatni kell annak fontolóra vételére, hogy a TLPT időtartama alatt a tesztvezetők ne végezhessenek felügyeleti tevékenységeket a TLPT-re kötelezett ugyanazon pénzügyi szervezetnél.

(8)

A TIBER-EU kerettel való összhang érdekében fontos, hogy a TLPT-hatóság annak minden szakaszában szorosan figyelemmel kísérje a tesztelést. Figyelembe véve a tesztelés jellegét és az ahhoz kapcsolódó kockázatokat, alapvető fontosságú, hogy a TLPT-hatóság közreműködjön a tesztelés minden egyes szakaszában. A TLPT-hatósággal különösen a pénzügyi szervezetek azon értékeléseit és döntéseit illetően kell konzultálni, amelyek egyrészt befolyásolhatják a teszt hatékonyságát, másrészt hatással lehetnek a teszthez kapcsolódó kockázatokra, és a hatóságnak az ilyen értékeléseket és döntéseket jóvá kell hagynia. A TLPT-hatóság konkrét közreműködését igénylő alapvető lépések közé tartozik a tesztelés egyes alapvető dokumentációinak, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók és tesztelők kiválasztásának, valamint a kockázatkezelési intézkedéseknek a validálása. A TLPT-hatóságok közreműködése, különösen a validálások tekintetében, nem róhat túlzott terhet e hatóságokra, ezért azokra a dokumentációkra és döntésekre kell korlátozódnia, amelyek közvetlenül érintik a TLPT lefolytatását. A tesztelés egyes szakaszaiban való aktív részvétel révén a TLPT-hatóságok hatékonyan értékelhetik, hogy a pénzügyi szervezetek megfelelnek-e a vonatkozó követelményeknek, aminek lehetővé kell tennie az említett hatóságok számára, hogy az (EU) 2022/2554 rendelet 26. cikkének (7) bekezdése szerinti igazolásokat bocsássanak ki.

(9)

A TLPT titkossága rendkívül fontos annak biztosításához, hogy a tesztelés körülményei valósághűek legyenek. Ezért a tesztelésnek titkosnak kell lennie, és óvintézkedéseket kell tenni a TLPT bizalmas jellegének megőrzése érdekében, beleértve az olyan kódnevek kiválasztását, amelyek meggátolják a TLPT harmadik felek általi azonosítását. Amennyiben a pénzügyi csapat biztonságáért felelős személyzet tagjai tudomással bírnak egy tervezett vagy folyamatban lévő TLPT-ről, valószínű, hogy figyelmesebbek és éberebbek lennének, mint rendes munkakörülmények között, ami megváltoztatná a tesztelés eredményét. A pénzügyi szervezet személyzetének ellenőrzést végző csapaton kívüli tagjait ezért csak nyomós okok fennállása esetén és a tesztvezetők előzetes beleegyezésével szabad tájékoztatni valamely tervezett vagy folyamatban lévő TLPT-ről, többek között a teszt titkosságának biztosítása érdekében abban az esetben, ha a tesztet a kék csapat egy tagja észlelte.

(10)

Amint azt a TIBER-EU keretében az „ellenőrzést végző csapat” tekintetében gyűjtött tapasztalatok is bizonyítják, a TLPT biztonságos lefolytatásához elengedhetetlen a megfelelő vezető kiválasztása az ellenőrzést végző csapat élére. Az ellenőrzést végző csapat vezetőjének a pénzügyi szervezeten belül rendelkeznie kell a szükséges felhatalmazással ahhoz, hogy a tesztelés valamennyi aspektusát irányítsa, anélkül, hogy ez veszélyeztetné a tesztelés bizalmas jellegét. Ugyanezen okból az ellenőrzést végző csapat tagjainak alapos ismeretekkel kell rendelkezniük a pénzügyi szervezetről, az ellenőrzést végző csapat vezetőjének munkaköréről és stratégiai pozíciójáról, rendelkezniük kell az előírt szolgálati idővel és hozzáféréssel kell rendelkezniük az igazgatótanácshoz. A TLPT veszélyeztetése kockázatának csökkentése érdekében az ellenőrzést végző csapatnak a lehető legkisebbnek kell lennie.

(11)

A TLPT-hez szervesen kapcsolódnak kockázatok, mivel a kritikus funkciókat éles környezetben tesztelik, ami szolgáltatásmegtagadási eseményeket, váratlan rendszerleállásokat, a kritikus éles rendszerek károsodását vagy az adatok elvesztését, módosítását vagy közzétételét okozhatja. Ezek a kockázatok rávilágítanak arra, hogy hatékony kockázatkezelési intézkedésekre van szükség. Annak biztosítása érdekében, hogy a TLPT a tesztelés során mindvégig ellenőrzött módon folyjon, nagyon fontos, hogy a pénzügyi szervezetek minden ponton tisztában legyenek a TLPT-vel kapcsolatban felmerülő sajátos kockázatokkal, és hogy e kockázatokat csökkentsék. E tekintetben – a pénzügyi szervezet belső folyamatainak, valamint az ellenőrzést végző csapat vezetőjének már átadott felelősség és felhatalmazás sérelme nélkül – helyénvaló lehet a TLPT kockázatkezelési intézkedéseire vonatkozó információk megosztása a pénzügyi szervezet vezető testületével, vagy adott esetben az említett kockázatkezelési intézkedéseknek e vezető testület általi jóváhagyása. A hatékony és legmagasabb színvonalú szakmai szolgáltatások nyújtása és e kockázatok csökkentése érdekében az is alapvető fontosságú, hogy a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók (együttesen a TLPT-szolgáltatók) a legmagasabb szintű készségekkel, szakértelemmel és megfelelő tapasztalattal rendelkezzenek a fenyegetettséggel kapcsolatos hírszerzés és a TLPT terén a pénzügyi szolgáltatási ágazatban.

(12)

A hagyományos behatolási tesztek részletes és hasznos értékelést nyújtanak gyakran egyetlen elszigetelt rendszer vagy környezet műszaki és konfigurációs sérülékenységeiről, de ellentétben a hírszerzésen alapuló, vörös csapat által végzett tesztekkel, nem értékelik az egész szervezet elleni célzott támadás teljes forgatókönyvét, beleértve a szervezet embereinek, folyamatainak és technológiáinak teljes körét. A TLPT-szolgáltatók kiválasztási folyamata során a pénzügyi szervezeteknek ezért biztosítaniuk kell, hogy ezek a szolgáltatók rendelkezzenek ne csak a behatolási tesztek, de a hírszerzésen alapuló, vörös csapat által végzett tesztek elvégzéséhez szükséges készségekkel is. Ezért átfogó kritériumokat kell megállapítani mind a belső, mind a külső tesztelők, valamint a fenyegetettséggel kapcsolatos hírszerzést nyújtó, minden esetben külső szolgáltatók számára. Amennyiben a TLPT-szolgáltatók ugyanahhoz a vállalathoz tartoznak, a TLPT-re kijelölt személyzetet megfelelően el kell különíteni.

(13)

Előfordulhatnak olyan kivételes körülmények, amikor a pénzügyi szervezetek nem tudnak az átfogó kritériumoknak megfelelő TLPT-szolgáltatókkal szerződést kötni. Ezért a pénzügyi szervezetek számára lehetővé kell tenni olyan személyek bevonását, akik nem felelnek meg az összes átfogó kritériumnak, amint a számukra nyilvánvalóvá válik, hogy nem állnak rendelkezésre megfelelő fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók, feltéve, hogy megfelelően csökkentik az ebből eredő további kockázatokat, és a TLPT-hatóság értékeli mindezeket a kritériumokat.

(14)

Amennyiben a TLPT-ben több pénzügyi szervezet és több TLPT-hatóság vesz részt, meg kell határozni a TLPT-folyamatban részt vevő valamennyi fél szerepét a leghatékonyabb és legbiztonságosabb teszt elvégzése érdekében. A csoportos tesztelés céljából egyedi követelményekre van szükség a kijelölt pénzügyi szervezet szerepének meghatározásához, nevezetesen arra, hogy ez a szervezet legyen felelős az összes szükséges dokumentációnak a vezető TLPT-hatóság rendelkezésére bocsátásáért és a tesztelési folyamat nyomon követéséért. A kijelölt pénzügyi szervezetnek kell felelnie a kockázatkezelési értékelés közös szempontjaiért is. A kijelölt pénzügyi szervezet szerepétől függetlenül a csoportos TLPT-folyamatban részt vevő egyes pénzügyi szervezetek kötelezettségei a csoportos teszt során változatlanok maradnak. Ugyanezt az elvet kell alkalmazni a közös TLPT-kre is.

(15)

Amint azt a TIBER-EU keret végrehajtásával kapcsolatos tapasztalatok is bizonyítják, a tesztelés megfelelő elvégzése biztosításának leghatékonyabb módja az összes érintett érdekelt fél (pénzügyi szervezetek, hatóságok, tesztelők és fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók) részvételével tartott személyes vagy virtuális találkozók megtartása. Ezért személyes és virtuális találkozókat kell tartani a folyamat különböző szakaszaiban, különösen az előkészítési szakaszban a TLPT elindításakor és a terjedelmének véglegesítése érdekében, a tesztelési szakaszban a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó jelentés és a vörös csapat által végzett teszt tervének véglegesítése, valamint a heti fejlemények megosztása céljából, valamint a lezárási szakaszban a tesztelők és a kék csapat intézkedéseinek visszajátszása, a közös tesztelés és a TLPT-vel kapcsolatos visszajelzések megosztása céljából.

(16)

A TLPT zökkenőmentes elvégzésének biztosítása érdekében a TLPT-hatóságnak egyértelműen be kell mutatnia a pénzügyi szervezet számára a teszteléssel kapcsolatos elvárásait. E tekintetben a tesztvezetőknek biztosítaniuk kell, hogy a pénzügyi szervezeten belül az ellenőrzést végző csapattal és a TLPT-szolgáltatókkal megfelelő információáramlás jöjjön létre.

(17)

A pénzügyi szervezetnek ki kell választania azokat a kritikus vagy fontos funkciókat, amelyekre a TLPT kiterjed. E funkciók kiválasztásakor a pénzügyi szervezetnek különböző kritériumokra kell támaszkodnia, amelyek az egyes funkcióknak a pénzügyi szervezet és a pénzügyi ágazat számára uniós és nemzeti szinten betöltött fontosságával kapcsolatosak, nemcsak gazdasági szempontból, hanem a funkció szimbolikus vagy politikai státuszát is figyelembe véve. A fenyegetettséggel kapcsolatos hírszerzési szakaszba való zökkenőmentes átmenet megkönnyítése érdekében az ellenőrzést végző csapatnak részletes információkkal kell ellátnia a terjedelem meghatározására irányuló folyamatban részt nem vevő tesztelőket és fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókat a megállapodás szerinti terjedelemről.

(18)

Annak érdekében, hogy a tesztelők számára biztosítva legyenek a pénzügyi szervezet kritikus vagy fontos funkcióit támogató éles rendszerek elleni életszerű és valósághű támadás szimulálásához szükséges információk, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatónak olyan információkat és adatokat kell gyűjtenie, amelyek legalább a két fő érdeklődési területet lefedik: a célpontok, a pénzügyi szervezeten belüli potenciális támadási felületek azonosítása révén, és a fenyegetések, a releváns fenyegető szereplők és a valószínű fenyegetettségi forgatókönyvek azonosítása révén. Annak biztosítása érdekében, hogy a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a pénzügyi szervezetet érintő releváns fenyegetéseket figyelembe vegye, a tesztelőknek, az ellenőrzést végző csapatnak és a tesztvezetőknek visszajelzést kell adniuk a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó jelentés tervezetéről. Amennyiben rendelkezésre áll, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a TLPT-hatóság által a tagállam pénzügyi ágazata számára biztosított általános fenyegetettségi helyzetet használhatja kiindulási alapként a nemzeti fenyegetettségi helyzetet illetően. A TIBER-EU keret alkalmazása alapján a fenyegetettséggel kapcsolatos hírszerzés folyamata jellemzően körülbelül 4 hétig tart.

(19)

Annak érdekében, hogy a tesztelők betekintést nyerhessenek a terjedelmet meghatározó dokumentumba és a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentésbe, illetve alaposabban felülvizsgálhassák ezeket a vörös csapat által végzett tesztelés tervének véglegesítése érdekében, alapvető fontosságú, hogy a TLPT vörös csapat által végzett tesztelési szakasza előtt a tesztelők részletes magyarázatot kapjanak a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatótól a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentésről és a lehetséges fenyegetettségi forgatókönyvek elemzéséről.

(20)

Annak érdekében, hogy a tesztelők valósághű és átfogó tesztelést végezhessenek, amelyben minden támadási fázist végrehajtanak és elérik a tesztcélokat, elegendő időt kell biztosítani a vörös csapat által végzett aktív tesztelési szakaszra. A TIBER-EU kerettel kapcsolatban szerzett tapasztalatok alapján az előirányzott időnek legalább 12 hétnek kell lennie, és azt az érintett felek számának, a TLPT terjedelmének, az érintett pénzügyi szervezet vagy szervezetek erőforrásainak, az esetleges külső követelményeknek és a pénzügyi szervezet által szolgáltatott alátámasztó információk rendelkezésre állásának figyelembevételével kell meghatározni.

(21)

A vörös csapat által végzett aktív tesztelési szakaszban a tesztelőknek számos taktikát, módszert és eljárást kell alkalmazniuk a pénzügyi szervezet éles rendszereinek megfelelő tesztelésére. A taktikáknak, módszereknek és eljárásoknak adott esetben tartalmazniuk kell a felderítést (azaz a célponttal kapcsolatos lehető legtöbb információ összegyűjtését), a fegyverként való felhasználást (azaz az infrastruktúrára, a létesítményekre és a munkavállalókra vonatkozó információk elemzését, valamint a célpontra vonatkozó műveletekre való felkészülést), a végrehajtást (azaz a célpontra irányuló teljeskörű művelet aktív elindítását), a sebezhetőségek kihasználását (amennyiben a tesztelők célja a pénzügyi szervezet szervereinek, hálózatainak veszélyeztetése és személyzetének kihasználása pszichológiai manipuláción keresztül), az ellenőrzést és mozgást (azaz kísérlet tételét arra, hogy a már nem biztonságos rendszerekről további sérülékeny vagy nagy értékű rendszerekre jussanak el) és a célponttal kapcsolatos műveleteket (azaz további hozzáférés szerzését a már nem biztonságos rendszerekhez és hozzáférés szerzését a korábban elfogadott célinformációkhoz és -adatokhoz, a vörös csapat által végzett teszt tervében korábban elfogadottak szerint).

(22)

A TLPT végrehajtása során a tesztelőknek figyelembe kell venniük a támadás végrehajtására rendelkezésre álló időt, az erőforrásokat, valamint az etikai és jogi korlátokat. Amennyiben a tesztelők nem tudnak továbbhaladni a támadás ütemterv szerinti következő szakaszába, az ellenőrzést végző csapatnak a TLPT-hatóság beleegyezésével eseti támogatást kell nyújtania „kisegítés” formájában. A kisegítések nagy vonalakban az információhoz és a hozzáféréshez kapcsolódó kisegítésként kategorizálhatók, és magukban foglalhatják az IKT-rendszerekhez vagy belső hálózatokhoz való hozzáférés biztosítását a teszt folytatása és a támadás következő lépéseire való összpontosítás érdekében.

(23)

A tesztelési szakaszban a vörös csapat által végzett aktív tesztelés során – amennyiben kivételes körülmények között és az összes alternatív lehetőség kimerítését követően végső megoldásként szükséges ahhoz, hogy a TLPT folytatódhasson – együttműködésen alapuló tesztelési tevékenységet kell alkalmazni, amelyben a tesztelők és a kék csapat egyaránt részt vesznek. Az ilyen korlátozott közös teszteléssel összefüggésben a következő módszerek alkalmazhatók: „macska-egér játék”, ahol a tesztelők megpróbálják folytatni a forgatókönyveket, észlelik őket, majd folytatják a tesztelést, „háborús játék”, amely összetettebb forgatókönyveket tesz lehetővé a stratégiai döntéshozatal teszteléséhez, vagy „együttműködésen alapuló igazoló teszt”, amely lehetővé teszi a tesztelők és a kék csapat tagjai számára, hogy ellenőrzött és együttműködésen alapuló környezetben közösen validáljanak konkrét biztonsági intézkedéseket, eszközöket vagy technikákat.

(24)

A TLPT-t tanulási tapasztalatként kell felhasználni a pénzügyi szervezetek digitális működési rezilienciájának fokozása érdekében. E tekintetben a kék csapatnak és a tesztelőknek vissza kell játszaniuk a támadást, és a tesztelőkkel együttműködve felül kell vizsgálniuk a megtett lépéseket, hogy tanuljanak a tesztelési tapasztalatokból. E célból és a megfelelő előkészítés lehetővé tétele érdekében a vörös csapat tesztjelentését és a kék csapat tesztjelentését a visszajátszási tevékenységekben részt vevő valamennyi fél rendelkezésére kell bocsátani, mielőtt bármilyen visszajátszásra irányuló tevékenységet végeznének. Emellett a tanulási tapasztalat maximalizálása érdekében a lezárási szakaszban közös tesztelést kell végezni. A lezárási szakaszban a közös teszteléshez használható módszereknek magukban kell foglalniuk az alternatív támadási forgatókönyvek megvitatását, alternatív forgatókönyvek feltárását az éles rendszereken vagy az olyan tervezett forgatókönyvek újbóli feltárását az éles rendszereken, amelyeket a tesztelők a tesztelési szakaszban nem tudtak befejezni vagy végrehajtani.

(25)

A TLPT-ben részt vevő valamennyi fél tanulási tapasztalatainak további megkönnyítése, a jövőbeli tesztek elősegítése, valamint a pénzügyi szervezetek digitális működési rezilienciájának előmozdítása érdekében az érintett feleknek visszajelzést kell adniuk egymásnak a teljes folyamatról és különösen meg kell határozniuk, hogy mely tevékenységek haladtak jól és melyek javíthatók, és hogy a TLPT-folyamat mely részei működtek jól és melyek javíthatók.

(26)

Amennyiben eltérőek, az (EU) 2022/2554 rendelet 46. cikkében említett illetékes hatóságoknak és a TLPT-hatóságoknak együtt kell működniük annak érdekében, hogy a TLPT révén végzett fejlett tesztelést beépítsék a meglévő felügyeleti folyamatokba. E tekintetben, és hogy azonosan és helyesen értelmezzék a TLPT eredményeit – különösen a teszt összefoglaló jelentése és a korrekciós tervek tekintetében –, helyénvaló szoros együttműködést kialakítani a TLPT-ben részt vevő tesztvezetők és a felelős felügyeletek között.

(27)

Az (EU) 2022/2554 rendelet 26. cikke (8) bekezdésének első albekezdése előírja a pénzügyi szervezetek számára, hogy három tesztenként külső tesztelőket bízzanak meg. Amennyiben a pénzügyi szervezetek belső és külső tesztelőket egyaránt alkalmaznak a csapatban, ezt az említett cikk alkalmazásában belső tesztelőkkel végzett TLPT-nek kell tekinteni.

(28)

Ez a rendelet az Európai Bankhatóság, az Európai Biztosítás- és Foglalkoztatóinyugdíj-hatóság és az Európai Értékpapírpiaci Hatóság (európai felügyeleti hatóságok) által az Európai Központi Bankkal egyetértésben a Bizottsághoz benyújtott szabályozástechnikai standardtervezeteken alapul.

(29)

Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznot, továbbá kikérték az 1093/2010/EU európai parlamenti és tanácsi rendelet (3) 37. cikkével összhangban létrehozott banki érdekképviseleti csoport, az 1094/2010/EU európai parlamenti és tanácsi rendelet (4) 37. cikkével összhangban létrehozott biztosítási és viszontbiztosítási érdekképviseleti csoport és foglalkoztatói-nyugdíj érdekképviseleti csoport, valamint az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 37. cikkével összhangban létrehozott értékpapírpiaci érdekképviseleti csoport véleményét.

(30)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. augusztus 20-án véleményt nyilvánított,

1.

„ellenőrzést végző csapat”: a tesztelést irányító, a tesztelt pénzügyi szervezet személyzetéből és – amennyiben a TLPT terjedelmét figyelembe véve releváns – harmadik fél szolgáltatóinak és bármely más félnek a személyzetéből álló csapat;

2.

„ellenőrzést végző csapat vezetője”: a pénzügyi szervezet személyzetének azon tagja, aki az adott teszttel összefüggésben a pénzügyi szervezet tekintetében a TLPT-vel kapcsolatos valamennyi tevékenység elvégzéséért felelős;

3.

„kék csapat”: a pénzügyi szervezet személyzete, valamint adott esetben a pénzügyi szervezet harmadik fél szolgáltatóinak, valamint a TLPT hatókörére tekintettel relevánsnak ítélt bármely más félnek a személyzete, akik a hálózati és információs rendszerek pénzügyi szervezet általi használatát védik a szimulált vagy valós támadásokkal szembeni biztonsági helyzetének fenntartásával, és akiknek nincs tudomásuk a TLPT-ről;

4.

„kék csapat feladatai”: jellemzően a kék csapat által végzendő feladatok, például a biztonsági műveleti központ (SOC) szolgáltatásai, IKT-infrastruktúra-szolgáltatások, ügyfélszolgálati szolgáltatások, operatív szintű eseménykezelési szolgáltatások;

5.

„vörös csapat”: a TLPT elvégzésére szerződtetett vagy arra kirendelt belső vagy külső tesztelők;

6.

„közös tesztelés”: olyan együttműködésen alapuló tesztelési tevékenység, amelyben a tesztelők és a kék csapat egyaránt részt vesznek;

7.

„TLPT-hatóság”: a következők bármelyike:

8.

„TLPT-kibercsoport” vagy „TCT”: a TLPT-hatóságok TLPT-vel kapcsolatos ügyekért felelős személyzete;

9.

„tesztvezetők”: a TLPT-hatóság adott TLPT tekintetében e rendeletnek való megfelelés nyomon követésére irányuló tevékenységeinek vezetésére kijelölt személyzet;

10.

„fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató”: a pénzügyi szervezet által az egyes TLPT-k tekintetében szerződtetett, a pénzügyi szervezeten és adott esetben a csoporton belüli IKT-szolgáltatókon kívüli szakértők, akik összegyűjtik és elemzik az adott TLPT-gyakorlat hatókörébe tartozó pénzügyi szervezetek szempontjából releváns, célzott fenyegetettségi információkat, és megfelelő releváns és valósághű fenyegetettségi forgatókönyveket dolgoznak ki;

11.

„TLPT-szolgáltatók”: a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók;

12.

„kisegítés”: az ellenőrzést végző csapat által a tesztelőknek nyújtott támogatás vagy tájékoztatás annak érdekében, hogy a tesztelők folytathassák a támadás végrehajtását, amennyiben egyedül nem tudnak továbblépni, és nincs más észszerű alternatíva, beleértve azt is, ha egy adott TLPT-ben nem áll rendelkezésre elegendő idő vagy erőforrás;

13.

„támadási útvonal”: a TLPT vörös csapat által végzett aktív tesztelési szakaszában az adott TLPT-hez meghatározott tesztcélok elérése érdekében a tesztelők által követett útvonal;

14.

„tesztcélok”: a pénzügyi szervezet kritikus vagy fontos funkcióit támogató IKT-rendszerekben található kulcsfontosságú célok, amelyeket a tesztelők a teszt során megpróbálnak elérni;

15.

„érzékeny információ”: olyan információ, amely könnyen felhasználható a pénzügyi szervezet IKT-rendszerei elleni támadásokhoz, szellemi tulajdon, bizalmas üzleti adatok vagy személyes adatok, amelyek közvetlenül vagy közvetve kárt okozhatnak a pénzügyi szervezetnek és ökoszisztémájának, ha rosszindulatú szereplők kezébe kerülnének;

16.

„tesztcsoport”: az (EU) 2022/2554 rendelet 26. cikkének (4) bekezdése szerinti csoportos TLPT-ben részt vevő valamennyi pénzügyi szervezet;

17.

„fogadó tagállam”: a fogadó tagállam az egyes pénzügyi szervezetekre alkalmazandó uniós ágazati joggal összhangban;

18.

„közös TLPT”: az (EU) 2022/2554 rendelet 26. cikkének (4) bekezdésében említett csoportos TLPT-től eltérő olyan TLPT, amelyben ugyanazon csoporton belüli IKT-szolgáltatót igénybe vevő vagy ugyanazon csoporthoz tartozó és közös IKT-rendszereket használó több pénzügyi szervezet vesz részt.