(1)

šis reglamentas parengtas pagal sistemą TIBER-ES ir atspindi grėsmėmis grindžiamo skverbimosi testavimo (toliau – TLPT, angl. threat-led penetration testing) metodiką, procesą ir struktūrą, apibūdintus TIBER-ES. Finansų sektoriaus subjektai, kuriems būtina atlikti TLPT, gali remtis sistema TIBER-ES arba viena iš jos nacionalinių įgyvendinimo priemonių ir jas taikyti, jei ta sistema ar priemonės atitinka Reglamento (ES) 2022/2554 26 ir 27 straipsniuose ir šiame reglamente nustatytus reikalavimus. Vienos finansų sektoriaus valdžios institucijos, atsakingos už su TLPT susijusius klausimus nacionaliniu lygmeniu, paskyrimas pagal Reglamento (ES) 2022/2554 26 straipsnio 9 dalį neturėtų daryti poveikio Sąjungos lygmeniu kompetentingoms institucijoms suteiktai kompetencijai prižiūrėti tam tikrus finansų sektoriaus subjektus pagal to reglamento 46 straipsnį, pavyzdžiui, Europos Centrinio Banko kompetencijai prižiūrėti svarbias kredito įstaigas, kurios turi būti laikomos kompetentingomis su TLPT susijusių klausimų srityje. Jeigu pagal Reglamento (ES) 2022/2554 26 straipsnio 10 dalį kitai nacionalinei finansų sektoriaus institucijai perduodamos tik kai kurios su TLPT susijusios užduotys, to reglamento 46 straipsnyje nurodyto finansų sektoriaus subjekto kompetentinga institucija turėtų ir toliau būti institucija, kuri atsako už neperduotas su TLPT susijusias užduotis;

(2)

atsižvelgiant į TLPT sudėtingumą ir su juo susijusią riziką, jį turėtų vykdyti tik tie finansų sektoriaus subjektai, kuriems jis yra pagrįstai reikalingas. Taigi už TLPT klausimus atsakingos institucijos (Sąjungos arba nacionalinio lygmens TLPT institucijos) į TLPT aprėptį neturėtų įtraukti tų finansų sektoriaus subjektų, kurie veikia pagrindinių finansinių paslaugų subsektoriuose ir kurių TLPT būtų nepagrįstas. Tai reiškia, kad kredito įstaigoms, mokėjimų ir elektroninių pinigų įstaigoms, centriniams vertybinių popierių depozitoriumams, pagrindinėms sandorių šalims, prekybos vietoms, draudimo ir perdraudimo įmonėms TLPT reikalavimas galėtų būti netaikomas, net jeigu šie subjektai ir atitinka kiekybinius kriterijus, atsižvelgiant į bendrą jų IRT rizikos profilio ir brandos, poveikio finansų sektoriui ir susijusių finansinio stabilumo problemų vertinimą;

(3)

TLPT institucijos, atsižvelgdamos į bendrą IRT rizikos profilio ir brandos, poveikio finansų sektoriui ir susijusių finansinio stabilumo problemų vertinimą, turėtų įvertinti, ar TLPT reikalavimas turėtų būti taikomas kurios nors rūšies finansų sektoriaus subjektams, kurie nėra kredito įstaigos, mokėjimų įstaigos, elektroninių pinigų įstaigos, pagrindinės sandorių šalys, centriniai vertybinių popierių depozitoriumai, prekybos vietos, draudimo ir perdraudimo įmonės. Vertinant, ar tokie finansų sektoriaus subjektai atitinka tuos kokybinius kriterijus, turėtų būti siekiama naudojant tarpsektorinius ir objektyvius rodiklius nustatyti finansų sektoriaus subjektus, kuriems turėtų būti taikomas TLPT. Be to, vertinant, ar finansų sektoriaus subjektas atitinka tuos kokybinius kriterijus, TLPT reikalavimas turėtų būti taikomas tik tiems subjektams, kurių testavimas būtų pagrįstas. Tai, ar finansų sektoriaus subjektas atitinka tuos kokybinius kriterijus, taip pat turėtų būti vertinama atsižvelgiant į naujus rinkų pokyčius ir į didėjančią naujų rinkos dalyvių, įskaitant kriptoturto paslaugų teikėjus, kuriems veiklos leidimai suteikiami pagal Europos Parlamento ir Tarybos reglamento (ES) 2023/1114 (2) 59 straipsnį, svarbą finansų sektoriui ateityje;

(4)

finansų sektoriaus subjektai gali turėti tą patį IRT paslaugų teikėją grupės viduje arba priklausyti tai pačiai grupei ir naudoti bendras IRT sistemas. Tokiu atveju svarbu, kad TLPT institucijos, vertindamos, ar finansų sektoriaus subjektui turėtų būti taikomas TLPT reikalavimas ir ar TLPT turėtų būti atliekamas subjekto ar grupės lygmeniu (vykdant jungtinį TLPT), atsižvelgtų į to finansų sektoriaus subjekto struktūrą ir sisteminį pobūdį arba svarbą finansų sektoriui nacionaliniu ar Sąjungos lygmeniu;

(5)

siekiant atspindėti sistemą TIBER-ES, būtina, kad testavimo metodikoje būtų numatomas šių pagrindinių subjektų dalyvavimas: finansų sektoriaus subjekto, turinčio kontrolės grupę (atitinkančią sistemos TIBER-ES kontrolės grupę) ir mėlynąją komandą (atitinkančią sistemos TIBER-ES mėlynąją komandą), ir TLPT institucijos, t. y. TLPT kibernetinės komandos (atitinkančios sistemos TIBER-ES TIBER kibernetinę komandą), žvalgybos informacijos apie grėsmes teikėjo ir testuotojų (testuotojai atitinka sistemos TIBER-ES raudonosios komandos paslaugų teikėją);

(6)

siekiant užtikrinti, kad atliekant TLPT būtų galima išnaudoti patirtį, įgytą įgyvendinant sistemą TIBER-ES, ir sumažinti riziką, susijusią su TLPT vykdymu, turėtų būti užtikrinama, kad TLPT kibernetinių komandų, kurios turi būti sudaromos TLPT institucijų lygmeniu, pareigos kuo labiau atitiktų sistemos TIBER-ES kibernetinių komandų pareigas. Taigi turėtų būti paskiriami TLPT kibernetinių komandų testavimo vadovai, atsakingi už atskirų TLPT priežiūrą ir atskirų testų planavimą bei koordinavimą. TLPT kibernetinės komandos turėtų veikti kaip vienas bendras kontaktinis punktas su testavimu susijusiai komunikacijai su vidaus ir išorės suinteresuotaisiais subjektais vykdyti, grįžtamajai informacijai ir patirčiai, įgytai atliekant ankstesnius testus, kaupti ir tvarkyti, taip pat finansų sektoriaus subjektams, kuriems taikomas TLPT, remti;

(7)

siekiant atspindėti sistemos TIBER-ES metodiką, testavimo vadovai turėtų turėti įgūdžių ir gebėjimų, kurių reikia, kad jie galėtų teikti konsultacijas ir ginčyti testuotojų pasiūlymus. Iš taikant sistemą TIBER-ES įgytos patirties matyti, kad naudinga kiekvienam testavimui paskirti ne mažiau kaip dviejų testavimo vadovų komandą. Atsižvelgiant į tai, kad TLPT naudojamas mokymosi patirčiai skatinti, ir siekiant užtikrinti testų konfidencialumą, TLPT institucijos (jeigu joms nekyla sunkumų dėl išteklių ar ekspertinių žinių) primygtinai raginamos užtikrinti, kad vykdant finansų sektoriaus subjekto TLPT, jo testavimo vadovai nevykdytų ir to paties finansų sektoriaus subjekto priežiūros veiklos;

(8)

siekiant užtikrinti suderinamumą su sistema TIBER-ES, svarbu, kad TLPT institucija atidžiai stebėtų testavimą kiekviename jo etape. Atsižvelgiant į testavimo pobūdį ir su juo susijusią riziką, labai svarbu, kad TLPT institucija dalyvautų kiekviename konkrečiame testavimo etape. Visų pirma turėtų būti konsultuojamasi su TLPT institucija ir ji turėtų tvirtinti tuos finansų sektoriaus subjektų vertinimus ar sprendimus, kurie, viena vertus, gali turėti įtakos testo veiksmingumui ir, kita vertus, daryti poveikį su testu susijusiai rizikai. Pagrindiniai veiksmai, kuriuos atliekant turi konkrečiai dalyvauti TLPT institucija, yra tam tikrų esminių testavimo dokumentų tvirtinimas, žvalgybos informacijos apie grėsmes teikėjų ir testuotojų atranka ir rizikos valdymo priemonių nustatymas. TLPT institucijų dalyvavimas, visų pirma tvirtinimo tikslais, neturėtų tapti pernelyg didele našta toms institucijoms, todėl turėtų būti apsiribojama tik tais dokumentais ir sprendimais, kurie daro tiesioginį poveikį TLPT vykdymui. Aktyviai dalyvaudamos kiekviename testavimo etape TLPT institucijos gali veiksmingai įvertinti finansų sektoriaus subjektų atitiktį atitinkamiems reikalavimams, o šio vertinimo rezultatai turėtų padėti toms institucijoms išduoti pažymas pagal Reglamento (ES) 2022/2554 26 straipsnio 7 dalį;

(9)

siekiant užtikrinti, kad testavimo sąlygos būtų realistiškos, itin svarbus TLPT slaptumas. Todėl testavimas turėtų būti vykdomas slaptai ir turėtų būti imamasi atsargumo priemonių TLPT konfidencialumui užtikrinti, įskaitant kodinių pavadinimų, kurie turėtų būti kuriami taip, kad trečiosios šalys negalėtų atpažinti TLPT, parinkimą. Jeigu už finansų grupės saugumą atsakingi darbuotojai žinos apie planuojamą arba vykdomą TLPT, tikėtina, kad jie bus pastabesni ir budresni nei įprastomis darbo sąlygomis, todėl testavimo rezultatai gali būti kitokie. Dėl šios priežasties kontrolės grupei nepriklausantiems finansų sektoriaus subjekto darbuotojams apie planuojamą ar vykdomą TLPT turėtų būti pranešama tik esant nenuginčijamoms priežastims ir gavus išankstinį testavimo vadovų sutikimą, inter alia, siekiant užtikrinti testo slaptumą, jei mėlynosios komandos narys nustato, kad vykdomas testavimas;

(10)

kaip matyti iš su kontrolės grupe susijusios patirties, įgytos taikant sistemą TIBER-ES, siekiant užtikrinti saugų TLPT atlikimą, būtina parinkti tinkamą kontrolės grupės vadovą. Kontrolės grupės vadovui turi būti suteikiami reikiami įgaliojimai finansų sektoriaus subjekte vadovauti visiems testavimo aspektams, nepakenkiant jo konfidencialumui. Dėl tos pačios priežasties kontrolės grupės nariai turėtų turėti išsamių žinių apie finansų sektoriaus subjektą, kontrolės grupės vadovo pareigas ir strateginę poziciją, būti įgiję reikiamą darbo stažą ir turėti galimybę bendrauti su valdyba. Siekiant užtikrinti TLPT sėkmę, kontrolės grupė turėtų būti kuo mažesnė;

(11)

esama būdingų su TLPT susijusios rizikos elementų, nes ypatingos svarbos funkcijos išbandomos tikralaikėje produkcinėje aplinkoje, o dėl to gali kilti paslaugų trikdymo incidentų, atsirasti netikėtų sistemų gedimų, gali būti padaroma žala ypatingos svarbos tikralaikėms produkcijos sistemoms arba būti prarasti, pakeisti ar atskleisti duomenys. Šios rizikos rodo, kad reikia taikyti patikimas rizikos valdymo priemones. Siekiant užtikrinti, kad TLPT būtų kontroliuojamas viso testavimo metu, labai svarbu, kad finansų sektoriaus subjektai visada žinotų apie konkrečią vykdant TLPT kylančią riziką ir kad tą rizika būtų galima sumažinti. Šiuo atžvilgiu, nedarant poveikio finansų sektoriaus subjekto vidaus procesams ir kontrolės grupės vadovui jau priskirtoms atsakomybės sritims ir užduotims, gali būti tikslinga pateikti informaciją apie TLPT rizikos valdymo priemones arba tam tikrais atvejais tas rizikos valdymo priemones turėtų patvirtinti pats finansų sektoriaus subjekto valdymo organas. Siekiant teikti veiksmingas ir aukščiausios kvalifikacijos specialistų teikiamas paslaugas ir sumažinti šią riziką, taip pat labai svarbu, kad testuotojai ir žvalgybos informacijos apie grėsmes teikėjai (kartu – TLPT paslaugų teikėjai) turėtų aukščiausio lygio įgūdžių, ekspertinių žinių ir tinkamos patirties žvalgybos informacijos apie grėsmes teikimo ir TLPT finansinių paslaugų sektoriuje srityse;

(12)

įprastiniai skverbimosi testai suteikia galimybę išsamiai ir naudingai įvertinti techninius ir konfigūracijos pažeidžiamumus, kurie dažnai būna susiję su viena sistema ar atskira aplinka, tačiau, kitaip nei atliekant žvalgybine informacija grindžiamą raudonosios komandos testavimą, juos atliekant nevertinamas visas tikslinio išpuolio prieš visą subjektą scenarijus, įskaitant visą jo žmonių, procesų ir technologijų aprėptį. Todėl TLPT paslaugų teikėjų atrankos proceso metu finansų sektoriaus subjektai turėtų užtikrinti, kad tie paslaugų teikėjai turėtų reikiamų įgūdžių ir galėtų vykdyti žvalgybos duomenimis grindžiamą raudonosios komandos testavimą, o ne tik skverbimosi testus. Taigi būtina nustatyti išsamius kriterijus, taikomus testuotojams (tiek vidaus, tiek išorės) ir žvalgybos informacijos apie grėsmes teikėjams, kurie visada yra išorės subjektai. Jeigu TLPT paslaugų teikėjai yra iš tos pačios bendrovės, TLPT vykdyti paskirti darbuotojai turėtų būti tinkamai atskiriami;

(13)

gali būti išimtinių aplinkybių, kai finansų sektoriaus subjektai negali sudaryti sutarčių su išsamius kriterijus atitinkančiais TLPT paslaugų teikėjais. Todėl finansų sektoriaus subjektams, įrodžiusiems, kad tokie žvalgybos informacijos apie grėsmes teikėjai neprieinami, turėtų būti leidžiama įtraukti asmenis, kurie neatitinka visų išsamių kriterijų, su sąlyga, kad jie tinkamai sumažins bet kokią dėl to kylančią papildomą riziką ir kad visus tuos kriterijus įvertins TLPT institucija;

(14)

jeigu vykdant TLPT dalyvauja keli finansų sektoriaus subjektai ir kelios TLPT institucijos, turėtų būti nurodomi visų TLPT proceso šalių vaidmenys, kad būtų galima atlikti veiksmingiausią ir saugiausią testą. Vykdant bendrą testavimą būtina nustatyti konkrečius reikalavimus, kad būtų galima apibrėžti paskirto finansų sektoriaus subjekto vaidmenį, t. y. kad jis turėtų būti atsakingas už visų būtinų dokumentų pateikimą pagrindinei TLPT institucijai ir už testavimo proceso stebėseną. Paskirtas finansų sektoriaus subjektas taip pat turėtų atsakyti už bendrus rizikos valdymo vertinimo aspektus. Nepaisant paskirto finansų sektoriaus subjekto vaidmens, atliekant bendrą testą neturėtų būti daromas poveikis kiekvieno finansų sektoriaus subjekto, dalyvaujančio bendro TLPT procese, pareigoms. To paties principo turėtų būti laikomasi ir vykdant jungtinį TLPT;

(15)

kaip matyti iš sistemos TIBER-ES įgyvendinimo patirties, veiksmingiausias būdas užtikrinti tinkamą testavimą yra rengti fizinius arba virtualius susitikimus, kuriuose dalyvauja visi susiję suinteresuotieji subjektai (finansų sektoriaus subjektai, valdžios institucijos, testuotojai ir žvalgybos informacijos apie grėsmes teikėjai). Todėl įvairiais šio proceso etapais, visų pirma parengiamuoju etapu pradedant TLPT, ir siekiant galutinai susitarti dėl jo aprėpties testavimo etapu reikėtų rengti fizinius ir virtualius susitikimus, kad būtų baigta rengti žvalgybos informacijos apie grėsmes ataskaita ir raudonosios komandos testavimo planas ir kas savaitę informuojama apie padėtį. Šie susitikimai turėtų būti rengiami ir užbaigimo etapu, siekiant pakartoti testuotojų ir mėlynosios komandos veiksmus, vykdyti purpurinės komandos veiksmus ir keistis grįžtamąja informacija apie TLPT;

(16)

siekdama užtikrinti sklandų TLPT vykdymą, TLPT institucija turėtų aiškiai nurodyti finansų sektoriaus subjektui savo lūkesčius, susijusius su testavimu. Šiuo atžvilgiu testavimo vadovai turėtų užtikrinti, kad būtų sukurtas tinkamas informacijos srautas tarp finansų sektoriaus subjekto kontrolės grupės ir TLPT paslaugų teikėjų;

(17)

finansų sektoriaus subjektas turėtų pasirinkti ypatingos svarbos arba svarbias funkcijas, kurios bus tikrinamos vykdant TLPT. Atrinkdamas tas funkcijas, finansų sektoriaus subjektas turėtų remtis įvairiais kriterijais, susijusiais su kiekvienos funkcijos svarba pačiam finansų sektoriaus subjektui ir finansų sektoriui Sąjungos ir nacionaliniu lygmenimis ne tik ekonominiu požiūriu, bet ir atsižvelgiant į simbolinį ar politinį tam tikros funkcijos statusą. Kad būtų lengviau sklandžiai pereiti į žvalgybos informacijos apie grėsmes rinkimo etapą, kontrolės grupė turėtų pateikti testuotojams ir žvalgybos informacijos apie grėsmes teikėjui, kurie nedalyvauja aprėpties nustatymo procese, išsamią informaciją apie sutartą aprėpties nustatymą;

(18)

siekiant testuotojams suteikti informaciją, reikalingą tikrojo laiko ir tikroviškam išpuoliui prieš finansų sektoriaus subjekto tikralaikes sistemas, kuriomis grindžiamos jo ypatingos svarbos ar svarbios funkcijos, imituoti, žvalgybos informacijos apie grėsmes teikėjas turėtų rinkti žvalgybos informaciją arba informaciją, apimančią bent dvi pagrindines interesų sritis: taikinius, nustatant galimus išpuolio perimetrus visame finansų sektoriaus subjekte, ir grėsmes, nustatant atitinkamus grėsmę keliančius subjektus ir galimus grėsmės scenarijus. Siekiant užtikrinti, kad žvalgybos informacijos apie grėsmes teikėjas atsižvelgtų į atitinkamas grėsmes finansų sektoriaus subjektui, testuotojai, kontrolės grupė ir testavimo vadovai turėtų pateikti grįžtamąją informaciją dėl žvalgybos informacijos apie grėsmes ataskaitos projekto. Jei turima, žvalgybos informacijos apie grėsmes teikėjas kaip nacionalinės grėsmių aplinkos atskaitos tašku gali remtis TLPT institucijos valstybės narės finansų sektoriui pateikta bendra grėsmių panorama. Remiantis sistemos TIBER-ES taikymo patirtimi, žvalgybos informacijos apie grėsmes rinkimo procesas paprastai trunka maždaug keturias savaites;

(19)

siekiant užtikrinti, kad testuotojai galėtų gauti įžvalgų ir toliau peržiūrėti aprėpties aprašymą ir tikslinės žvalgybos informacijos apie grėsmes ataskaitą ir tuomet būtų galima užbaigti raudonosios komandos testavimo planą, labai svarbu, kad prieš TLPT raudonosios komandos testavimo etapą testuotojai iš žvalgybos informacijos apie grėsmes teikėjo gautų išsamius paaiškinimus dėl tikslinės žvalgybos informacijos apie grėsmes ataskaitos ir galimų grėsmių scenarijų analizės;

(20)

siekiant užtikrinti, kad testuotojai galėtų atlikti realistiškus ir išsamius testus, kurių metu vykdomi visi išpuolių etapai ir nustatomos grėsmės, reikėtų skirti pakankamai laiko aktyviojo raudonosios komandos testavimo etapui. Remiantis taikant sistemą TIBER-ES įgyta patirtimi, turėtų būti skiriamas bent 12 savaičių laikotarpis ir jis turėtų būti nustatomas atsižvelgiant į dalyvaujančių šalių skaičių, TLPT aprėptį, susijusio (-ių) finansų sektoriaus subjekto (-ų) išteklius, išorės reikalavimus ir finansų sektoriaus subjekto pateiktos patvirtinamosios informacijos prieinamumą;

(21)

aktyviojo raudonosios komandos testavimo etapu testuotojai turėtų taikyti įvairią taktiką, metodus ir procedūras, kad būtų galima tinkamai išbandyti finansų sektoriaus subjekto tikralaikes produkcijos sistemas. Taktika, metodai ir procedūros turėtų, kai tinkama, apimti išžvalgymą (siekiant surinkti kuo daugiau informacijos apie taikinį), instrumentalizavimą (t. y. informacijos apie infrastruktūrą, įrenginius ir darbuotojus analizę ir pasirengimą su konkrečiu taikiniu susijusioms operacijoms), atlikimą (t. y. visos taikiniui taikomos operacijos aktyvavimą), išnaudojimą (tais atvejais, kai testuotojų tikslas yra užvaldyti finansų sektoriaus subjekto serverius, tinklus ir išnaudoti jo darbuotojus pasitelkiant socialinę inžineriją), kontrolę ir judėjimą (t. y. pastangas pereiti nuo užvaldytų sistemų prie kitų pažeidžiamų ar didelės vertės sistemų) ir taikiniui taikomus veiksmus (t. y. siekiant dar geresnės prieigos prie užvaldytų sistemų ir prieigos prie tikslinės informacijos ir duomenų, dėl kurių anksčiau buvo susitarta raudonosios komandos testavimo plane);

(22)

atlikdami TLPT testuotojai turėtų atsižvelgti į laiką, skirtą išpuoliui įvykdyti, išteklius ir etines bei teisines ribas. Jei testuotojai negali pereiti į kitą užprogramuotą išpuolio etapą, TLPT institucijai sutikus kontrolės grupė kartkartėmis turėtų teikti pagalbines paslaugas. Tokios pagalbinės paslaugos iš esmės gali būti skirstomos į informacijos ir prieigos kategorijas ir gali apimti prieigos prie IRT sistemų ar vidaus tinklų suteikimą, kad būtų galima toliau vykdyti testavimą ir sutelkti dėmesį į tolesnius išpuolio etapus;

(23)

aktyviojo etiško įsilaužimo testavimo metu, jei būtina, kad būtų galima toliau vykdyti TLPT, kaip kraštutinė priemonė išskirtinėmis aplinkybėmis ir išnaudojus visas alternatyvias galimybes turėtų būti vykdoma bendradarbiaujamoji testavimo veikla, kurioje dalyvautų ir testuotojai, ir mėlynoji komanda. Atliekant tokius ribotus purpurinės komandos veiksmus, galima taikyti šiuos metodus: „sugauti ir paleisti“, kai testuotojai stengiasi toliau veikti pagal scenarijus, yra aptinkami ir po to toliau vykdo testavimą; „karo žaidynės“, kai sudaromos sąlygos sudėtingesniems scenarijams siekiant išbandyti strateginių sprendimų priėmimą, arba „bendradarbiaujamasis koncepcijos įrodymas“, kai testuotojams ir mėlynosios komandos nariams suteikiama galimybė kontroliuojamoje ir bendradarbiavimo aplinkoje bendrai patvirtinti konkrečias saugumo priemones, įrankius ar metodus;

(24)

TLPT turėtų būti naudojamas kaip mokymosi patirtis siekiant didinti finansų sektoriaus subjektų skaitmeninės veiklos atsparumą. Šiuo atžvilgiu mėlynoji komanda ir testuotojai turėtų pakartoti išpuolį ir, bendradarbiaudami su testuotojais, peržiūrėti veiksmus, siekdami pasimokyti iš testavimo patirties. Tuo tikslu ir siekiant užtikrinti tinkamą pasirengimą, prieš pradedant bet kokią pakartojimo veiklą visoms pakartojant išpuolį dalyvaujančioms šalims turėtų būti suteikiama galimybė susipažinti su raudonosios komandos testavimo ataskaita ir mėlynosios komandos testavimo ataskaita. Be to, siekiant kuo labiau išnaudoti mokymosi patirtį, užbaigimo etapu turėtų būti atliekami purpurinės komandos veiksmai. Metodai, kurie gali būti naudojami atliekant purpurinės komandos veiksmus užbaigimo etape, turėtų apimti alternatyvių išpuolių scenarijų aptarimą, alternatyvių scenarijų tikralaikių sistemų tyrimą arba pakartotinį planuojamų scenarijų, susijusių su tikralaikėmis sistemomis, kurių testuotojai negalėjo užbaigti arba įvykdyti testavimo etapu, išnagrinėjimą;

(25)

siekiant sudaryti dar palankesnes sąlygas visoms TLPT dalyvaujančioms šalims įgyti mokymosi patirties, kuri būtų naudinga atliekant testavimą ateityje, ir didinti finansų sektoriaus subjektų skaitmeninės veiklos atsparumą, atitinkamos šalys turėtų teikti viena kitai grįžtamąją informaciją apie visą procesą ir visų pirma nustatyti, kurie veiksmai vyko tinkamai arba kuriuos reikėtų patobulinti, ir kurie TLPT proceso aspektai buvo tinkami arba kuriuos reikėtų patobulinti;

(26)

Reglamento (ES) 2022/2554 46 straipsnyje nurodytos kompetentingos institucijos ir TLPT institucijos (jeigu jos ne tos pačios) turėtų bendradarbiauti, siekdamos į esamus priežiūros procesus įtraukti pažangius TLPT metodus. Šiuo atžvilgiu ir siekiant teisingai suprasti TLPT rezultatus bei tai, kaip jie turėtų būti aiškinami, tikslinga, kad, visų pirma rengiant apibendrinamąją testavimo ataskaitą ir koregavimo planus, TLPT dalyvavę testavimo vadovai ir atsakingos priežiūros institucijos glaudžiai bendradarbiautų;

(27)

Reglamento (ES) 2022/2554 26 straipsnio 8 dalies pirmoje pastraipoje reikalaujama, kad finansų sektoriaus subjektai kas trečiam testui atlikti sudarytų sutartis su išorės testuotojais. Jeigu finansų sektoriaus subjektai į testuotojų grupę įtraukia tiek vidaus, tiek išorės testuotojus, turėtų būti laikoma, kad toks testavimas yra TLPT, to straipsnio taikymo tikslais atliekamas kartu su vidaus testuotojais;

(28)

šis reglamentas grindžiamas techninių reguliavimo standartų projektais, kuriuos Komisijai pateikė Europos bankininkystės institucija, Europos draudimo ir profesinių pensijų institucija ir Europos vertybinių popierių ir rinkų institucija (Europos priežiūros institucijos), gavusios Europos Centrinio Banko pritarimą;

(29)

Europos priežiūros institucijos dėl techninių reguliavimo standartų projektų, kuriais grindžiamas šis reglamentas, surengė atviras viešas konsultacijas, išnagrinėjo galimas susijusias išlaidas ir naudą ir paprašė Bankininkystės suinteresuotųjų šalių grupės, įsteigtos pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 1093/2010 (3) 37 straipsnį, Draudimo ir perdraudimo suinteresuotųjų subjektų grupės ir Profesinių pensijų suinteresuotųjų subjektų grupės, įsteigtų pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 1094/2010 (4) 37 straipsnį, ir Vertybinių popierių ir rinkų suinteresuotųjų šalių grupės, įsteigtos pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 1095/2010 (5) 37 straipsnį, pateikti savo nuomonę;

(30)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 42 straipsnio 1 dalimi (6), buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis 2024 m. rugpjūčio 20 d. pateikė nuomonę,

1)

kontrolės grupė – grupė, kurioje dirba testuojamo finansų sektoriaus subjekto darbuotojai ir, kai aktualu atsižvelgiant į TLPT aprėptį, jam paslaugas teikiančių trečiųjų šalių ir bet kurios kitos testą valdančios šalies darbuotojai;

2)

kontrolės grupės vadovas – finansų sektoriaus subjekto darbuotojas, atsakingas už visos su finansų sektoriaus subjekto TLPT susijusios veiklos vykdymą, atliekant konkretų testą;

3)

mėlynoji komanda – finansų sektoriaus subjekto darbuotojai ir, kai aktualu, finansų sektoriaus subjektui paslaugas teikiančių trečiųjų šalių ir bet kurios kitos šalies, kuri, atsižvelgiant į TLPT aprėptį, laikoma svarbia, darbuotojai, saugantys finansų sektoriaus subjekto naudojamus tinklus ir informacines sistemas, padėdami išlaikyti tokią jo kibernetinio saugumo būklę, kad būtų galima apsisaugoti nuo imituojamų ar realių išpuolių, ir nežinantys, kad vykdomas TLPT;

4)

mėlynosios komandos užduotys – užduotys, kurias įprastai atlieka mėlynoji komanda, pavyzdžiui, saugumo operacijų centro (SOC) funkcijos, IRT infrastruktūros paslaugos, pagalbos tarnybos paslaugos, incidentų valdymo paslaugos operacijų lygmeniu;

5)

raudonoji komanda – vidaus ar išorės testuotojai, kuriems pagal sutartis patikėta arba kurie paskiriami atlikti TLPT;

6)

purpurinės komandos veiksmai – bendradarbiaujamoji testavimo veikla, kurią vykdant dalyvauja ir testuotojai, ir mėlynoji komanda;

7)

TLPT institucija – bet kuri iš šių institucijų:

8)

TLPT kibernetinio saugumo grupė – TLPT institucijų darbuotojai, atsakingi už su TLPT susijusius klausimus;

9)

testavimo vadovai – darbuotojai, paskirti vadovauti su konkrečiu TLPT susijusiems TLPT institucijos veiksmams ir stebėti, kaip laikomasi šio reglamento;

10)

žvalgybos informacijos apie grėsmes teikėjas – ekspertai, kuriuos finansų sektoriaus subjektas pasamdo kiekvienam TLPT atlikti ir kurie nėra finansų sektoriaus subjekto ir grupės vidaus IRT paslaugų teikėjai (jei tokių yra), kurie renka ir analizuoja tikslinę žvalgybos informaciją apie grėsmes, susijusią su finansų sektoriaus subjektais, kuriuos apima konkretus TLPT, ir kuria atitinkamus ir realistiškus grėsmių scenarijus;

11)

TLPT paslaugų teikėjai – testuotojai ir žvalgybos informacijos apie grėsmes teikėjai;

12)

pagalbinės paslaugos – kontrolinės grupės teikiama pagalba arba informacija testuotojams, kad jie galėtų toliau vykdyti išpuolio kelią, kai patys negali daryti pažangos ir kai nėra kitos pagrįstos alternatyvos, be kita ko, dėl nepakankamo laiko ar išteklių vykdant tam tikrą TLPT;

13)

išpuolio kelias – trajektorija, kuria TLPT aktyviojo raudonosios komandos testavimo etapu veikia testuotojai, siekdami sukelti tam TLPT nustatytas grėsmes;

14)

grėsmės – pagrindiniai uždaviniai, susiję su grėsmėmis IRT sistemoms, kuriomis palaikomos ypatingos svarbos arba svarbios finansų sektoriaus subjekto funkcijos, kurias testuotojai stengiasi sukelti testavimo metu;

15)

neskelbtina informacija – informacija, kuria galima lengvai pasinaudoti vykdant išpuolius prieš finansų sektoriaus subjekto IRT sistemas, intelektinė nuosavybė, konfidencialūs verslo duomenys arba asmens duomenys, kurie gali tiesiogiai ar netiesiogiai pakenkti finansų sektoriaus subjektui ir jo ekosistemai, jei jie patektų į piktavališkų subjektų rankas;

16)

bendro testavimo dalyviai – visi finansų sektoriaus subjektai, dalyvaujantys atliekant bendrą TLPT pagal Reglamento (ES) 2022/2554 26 straipsnio 4 dalį;

17)

priimančioji valstybė narė – priimančioji valstybė narė pagal kiekvienam finansų sektoriaus subjektui taikomą Sąjungos sektorių teisę;

18)

jungtinis TLPT – TLPT, išskyrus bendrą TLPT, kaip nurodyta Reglamento (ES) 2022/2554 26 straipsnio 4 dalyje, kurį atliekant dalyvauja keli finansų sektoriaus subjektai, besinaudojantys to paties grupės vidaus IRT paslaugų teikėjo paslaugomis arba priklausantys tai pačiai grupei ir naudojantys bendras IRT sistemas.