(1)

Šī regula ir izstrādāta saskaņā ar TIBER-EU sistēmu un līdzinās TIBER-EU aprakstītajai draudu vadītas ielaušanās testēšanas (DVIT) metodikai, procesam un struktūrai. Finanšu vienības, uz kurām attiecas DVIT, var atsaukties uz TIBER-EU sistēmu vai kādu no tās valsts īstenošanas pasākumiem un to piemērot, ciktāl minētā sistēma vai īstenošanas pasākums atbilst Regulas (ES) 2022/2554 26. un 27. pantā un šajā regulā noteiktajām prasībām. Tādas vienotas publiskās iestādes izraudzīšanai finanšu nozarē, kas valsts līmenī ir atbildīga par jautājumiem, kuri saistīti ar DVIT, saskaņā ar Regulas (ES) 2022/2554 26. panta 9. punktu, nebūtu jāskar kompetento iestāžu kompetence, kas Savienības līmenī uzticēta konkrētu finanšu vienību uzraudzībai saskaņā ar minētās regulas 46. pantu, piemēram, Eiropas Centrālajai bankai attiecībā uz nozīmīgām kredītiestādēm, kuras uzskatāmas par kompetentām ar DVIT saistītos jautājumos. Ja tikai daži no uzdevumiem, kas saistīti ar DVIT, ir deleģēti citai valsts iestādei finanšu nozarē saskaņā ar Regulas (ES) 2022/2554 26. panta 10. punktu, minētās regulas 46. pantā minētās finanšu vienības kompetentajai iestādei arī turpmāk vajadzētu būt iestādei, kas veic ar DVIT saistītos uzdevumus, kuri nav deleģēti.

(2)

Ņemot vērā DVIT sarežģītību un ar to saistītos riskus, tās izmantošana būtu jāattiecina tikai uz tām finanšu vienībām, kurām to veikt ir pamatoti. Tādējādi iestādēm, kas atbild par DVIT jautājumiem (DVIT iestādēm Savienības vai valsts līmenī), no DVIT darbības jomas būtu jāizslēdz tās finanšu vienības, kuras darbojas finanšu pamatpakalpojumu apakšnozarēs un kurām veikt DVIT nav pamatoti. Tas nozīmē, ka kredītiestādes, maksājumu un elektroniskās naudas iestādes, centrālos vērtspapīru depozitārijus, centrālos darījumu partnerus, tirdzniecības vietas, apdrošināšanas un pārapdrošināšanas sabiedrības, pat ja tās atbilst kvantitatīvajiem kritērijiem, varētu atbrīvot no DVIT prasības, ņemot vērā to IKT riska profila un gatavības līmeņa vispārēju novērtējumu, ietekmi uz finanšu nozari un ar to saistītās bažas par finanšu stabilitāti.

(3)

DVIT iestādēm, ņemot vērā IKT riska profila un gatavības līmeņa vispārēju novērtējumu, ietekmi uz finanšu nozari un ar to saistītās bažas par finanšu stabilitāti, būtu jānovērtē, vai DVIT būtu jāattiecina uz jebkāda veida finanšu vienību, kas nav kredītiestāde, maksājumu iestāde, elektroniskās naudas iestāde, centrālais darījumu partneris, centrālais vērtspapīru depozitārijs, tirdzniecības vieta, apdrošināšanas un pārapdrošināšanas sabiedrība. Novērtējumam par to, vai šādas finanšu vienības atbilst minētajiem kvalitatīvajiem kritērijiem, vajadzētu būt vērstam uz to, lai identificētu finanšu vienības, kurām DVIT ir piemērota, izmantojot starpnozaru un objektīvus rādītājus. Tajā pašā laikā novērtējumā par to, vai finanšu vienība atbilst minētajiem kvalitatīvajiem kritērijiem, būtu no vienībām, uz kurām attiecas DVIT, jāizraugās vienības, kurām testēšanu veikt ir pamatoti. Tas, vai finanšu vienība atbilst minētajiem kvalitatīvajiem kritērijiem, būtu jānovērtē arī, ņemot vērā jaunu tirgu attīstību un jaunu tirgus dalībnieku, tostarp kriptoaktīvu pakalpojumu sniedzēju, kas saņēmuši atļauju saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2023/1114 (2) 59. pantu, pieaugošo nozīmi finanšu nozarē nākotnē.

(4)

Finanšu vienībām var būt viens un tas pats IKT pakalpojumu sniedzējs, kurš pieder vienai grupai, vai tās var piederēt vienai un tai pašai grupai un paļauties uz kopīgu IKT sistēmu izmantošanu. Šādā gadījumā novērtējumā par to, vai uz finanšu vienību būtu jāattiecina DVIT un vai DVIT būtu jāveic vienības vai grupas līmenī (ar kopīgas DVIT starpniecību), ir svarīgi, lai DVIT iestādes ņemtu vērā minētās finanšu vienības struktūru un sistēmisko raksturu vai nozīmi finanšu nozarē valsts vai Savienības līmenī.

(5)

Nolūkā līdzināties TIBER-ES sistēmai, ir nepieciešams, lai testēšanas metodika paredzētu šādu galveno dalībnieku iesaisti: finanšu vienība ar kontroles komandu (kas līdzinās TIBER-EU“kontroles komandai”) un zilo komandu (kas līdzinās TIBER-EU“zilajai komandai”) un DVIT iestāde DVIT kiberkomandas veidā (kas līdzinās TIBER-EU“TIBER kiberkomandām”), draudu izlūkdatu sniedzējs un testētāji (kur testētāji līdzinās TIBER-EU“sarkanās komandas nodrošinātājam”).

(6)

Lai nodrošinātu, ka DVIT gūst labumu no pieredzes, kas gūta saistībā ar TIBER-EU īstenošanu, un lai samazinātu riskus, kuri saistīti ar DVIT veikšanu, būtu jānodrošina, ka DVIT kiberkomandu, kas jāizveido DVIT iestāžu līmenī, pienākumi pēc iespējas sakrīt ar TIBER-EU kiberkomandu pienākumiem. Tādējādi DVIT kiberkomandām vajadzētu būt testu pārvaldniekiem, kas ir atbildīgi par atsevišķu DVIT pārraudzību un atsevišķu testu plānošanu un koordinēšanu. DVIT kiberkomandām būtu jādarbojas kā vienotam kontaktpunktam ar testiem saistītai saziņai, kura vērsta uz iekšējām un ārējām ieinteresētajām personām, atsauksmju un iepriekš veiktos testos gūto atziņu apkopošanai un apstrādei, kā arī atbalstam finanšu vienībām, kurām tiek veikta DVIT.

(7)

Nolūkā līdzināties TIBER-ES sistēmas metodikai, testu pārvaldniekiem vajadzētu būt prasmēm un spējām, kas nepieciešamas, lai sniegtu konsultācijas un apstrīdētu testētāju priekšlikumus. Pieredze saistībā ar TIBER-EU sistēmu ir pierādījusi, ka ir vērtīgi uz katru testu norīkot komandu ar vismaz diviem testu pārvaldniekiem. Nolūkā atspoguļot to, ka DVIT tiek izmantota, lai veicinātu mācīšanās pieredzi, un aizsargāt testu konfidencialitāti, DVIT iestādes, ja vien tās nesaskaras ar resursu vai speciālo zināšanu problēmām, tiek stingri mudinātas apsvērt, lai DVIT laikā testu pārvaldniekiem nebūtu jāveic uzraudzības darbības tai pašai finanšu vienībai, kurai veic DVIT.

(8)

Lai nodrošinātu saskaņotību ar TIBER-EU sistēmu, ir svarīgi, lai DVIT iestāde cieši sekotu līdzi testēšanai katrā tās posmā. Ņemot vērā testēšanas raksturu un ar to saistītos riskus, ir būtiski, lai DVIT iestāde būtu iesaistīta katrā konkrētajā testēšanas posmā. Jo īpaši būtu jāapspriežas ar DVIT iestādi, un tai būtu jāapstiprina tie finanšu vienību novērtējumi vai lēmumi, kas, no vienas puses, var iespaidot testa rezultativitāti un, no otras puses, ietekmēt ar testu saistītos riskus. Galvenie posmi, kuros ir vajadzīga īpaša DVIT iestādes iesaistīšanās, ietver konkrētu testēšanas pamatdokumentu apstiprināšanu, draudu izlūkdatu sniedzēju un testētāju atlasi un riska pārvaldības pasākumus. DVIT iestāžu iesaistei – jo īpaši attiecībā uz apstiprināšanu – nevajadzētu radīt pārmērīgu slogu minētajām iestādēm, un tāpēc tai būtu jāattiecas tikai uz tiem dokumentiem un lēmumiem, kuri tieši ietekmē DVIT veikšanu. Aktīvi piedaloties katrā testēšanas posmā, DVIT iestādes var rezultatīvi novērtēt finanšu vienību atbilstību attiecīgajām prasībām, un tam būtu jāļauj minētajām iestādēm izdot apliecinājumus saskaņā ar Regulas (ES) 2022/2554 26. panta 7. punktu.

(9)

DVIT slepenība ir ārkārtīgi svarīga, lai nodrošinātu, ka testēšanas apstākļi ir reālistiski. Šā iemesla dēļ testēšanai vajadzētu būt slēptai, un būtu jāveic piesardzības pasākumi, kas paredzēti, lai saglabātu DVIT konfidencialitāti, tostarp izvēloties kodētus nosaukumus, kuri būtu jāizstrādā, lai novērstu, ka trešās personas var identificēt DVIT. Ja darbinieki, kas ir atbildīgi par finanšu vienības drošību, ir informēti par plānotu vai notiekošu DVIT, ir iespējams, ka viņi ievēros lielāku uzmanību un piesardzību nekā parastos darba apstākļos, tādējādi testēšanas rezultāti var mainīties. Tāpēc, lai inter alia nodrošinātu testa slepenību gadījumā, ja zilās komandas dalībnieks ir konstatējis, ka notiek testēšana, finanšu vienības darbinieki ārpus kontroles komandas par jebkādu plānotu vai notiekošu DVIT būtu jāinformē tikai tad, ja ir pārliecinoši iemesli un ja iepriekš ir saņemta testu pārvaldnieku piekrišana.

(10)

Kā liecina pieredze, kas TIBER-EU sistēmas ietvaros gūta attiecībā uz “kontroles komandu”, lai droši veiktu DVIT, ir obligāti jāizraugās pienācīgs kontroles komandas vadītājs. Kontroles komandas vadītājam vajadzētu būt nepieciešamajām pilnvarām finanšu vienībā vadīt visus testēšanas aspektus, neapdraudot tās konfidencialitāti. Tā paša iemesla dēļ kontroles komandas locekļiem vajadzētu būt padziļinātām zināšanām par finanšu vienību, kontroles komandas vadītāja amatu un stratēģisko pozicionēšanu, kā arī nepieciešamajam amata stāžam un piekļuvei valdei. Lai samazinātu risku, ka var tikt apdraudēta DVIT, kontroles komandai vajadzētu būt pēc iespējas mazākai.

(11)

Pastāv ar DVIT saistīti raksturīgi riska elementi, jo kritiski svarīgās funkcijas izstrādes vidē tiek testētas reāllaikā, kas var izraisīt pakalpojuma atteikuma incidentus, negaidītas sistēmas avārijas, kaitējumu kritiski svarīgām izstrādes sistēmām reāllaikā vai datu zudumu, pārveidošanu vai izpaušanu. Šie riski liecina, ka ir vajadzīgi stingri riska pārvaldības pasākumi. Nolūkā nodrošināt, ka DVIT visā testēšanas laikā tiek veikta kontrolēti, ir ļoti svarīgi, lai finanšu vienības visos posmos apzinātos konkrētos riskus, kas rodas DVIT gaitā, un lai šie riski tiktu mazināti. Šajā sakarā, neskarot finanšu vienības iekšējos procesus un kontroles komandas vadītājam jau uzticēto atbildību un deleģējumus, varētu būt piemēroti sniegt informāciju par DVIT riska pārvaldības pasākumiem vai – īpašos gadījumos – pašai finanšu vienības vadības struktūrai apstiprināt minētos riska pārvaldības pasākumus. Nolūkā sniegt rezultatīvus un augsti kvalificētus profesionālos pakalpojumus un samazināt minētos riskus ir arī svarīgi, lai testētājiem un draudu izlūkdatu sniedzējiem (kopā – DVIT pakalpojumu sniedzējiem) būtu visaugstākais prasmju, speciālo zināšanu un atbilstošas pieredzes līmenis draudu izlūkdatu un DVIT jomā finanšu pakalpojumu nozarē.

(12)

Konvencionālie ielaušanās testi sniedz detalizētu un noderīgu novērtējumu par tehnisko un konfigurācijas ievainojamību, bieži vien atsevišķi par vienu sistēmu vai vidi, bet atšķirībā no izlūkdatu vadīta sarkanās komandas testa nenovērtē pilnīgu scenāriju, kurā mērķtiecīgs uzbrukums ir vērsts pret visu vienību, tostarp tās cilvēku, procesu un tehnoloģiju kopējo spektru. Tāpēc DVIT pakalpojumu sniedzēju atlases procesā finanšu vienībām būtu jānodrošina, ka šiem pakalpojumu sniedzējiem ir nepieciešamās prasmes veikt izlūkdatu vadītus sarkanās komandas testus, nevis tikai ielaušanās testus. Tādēļ ir jāparedz visaptveroši kritēriji gan iekšējiem, gan ārējiem testētājiem, kā arī draudu izlūkdatu sniedzējiem, kas vienmēr ir ārēji. Ja DVIT pakalpojumu sniedzēji ir no viena un tā paša uzņēmuma, DVIT norīkotie darbinieki būtu pienācīgi jānodala.

(13)

Var būt izņēmuma apstākļi, kad finanšu vienības nevar noslēgt līgumus ar DVIT pakalpojumu sniedzējiem, kas atbilst visaptverošajiem kritērijiem. Tāpēc finanšu vienībām, sniedzot pierādījumus par šādu draudu izlūkdatu sniedzēju nepieejamību, būtu jāļauj iesaistīt personas, kas neatbilst visiem visaptverošajiem kritērijiem, ar noteikumu, ka tās pienācīgi mazina jebkādus izrietošos papildu riskus un ka DVIT iestāde novērtē visus minētos kritērijus.

(14)

Lai veiktu visefektīvāko un drošāko testu, būtu jāprecizē visu DVIT procesā iesaistīto pušu loma, ja DVIT ir iesaistītas vairākas finanšu vienības un vairākas DVIT iestādes. Apvienotas testēšanas nolūkos ir jānosaka īpašas prasības, lai precizētu izraudzītās finanšu vienības lomu, proti, ka tai vajadzētu būt atbildīgai par visas nepieciešamās dokumentācijas sniegšanu vadošajai DVIT iestādei un testēšanas procesa uzraudzību. Izraudzītajai finanšu vienībai vajadzētu būt atbildīgai arī par riska pārvaldības novērtējuma kopīgajiem aspektiem. Katras tās finanšu vienības pienākumiem, kura piedalās apvienotās DVIT procesā, vajadzētu saglabāties neskartiem neatkarīgi no izraudzītās finanšu vienības lomas. Tas pats princips būtu jāpiemēro kopīgām DVIT.

(15)

Kā liecina TIBER-EU sistēmas īstenošanas pieredze, visefektīvākais veids, kā nodrošināt pienācīgu testēšanas veikšanu, ir klātienes vai virtuālas sanāksmes, kurās piedalās visas attiecīgās ieinteresētās personas (finanšu vienības, iestādes, testētāji un draudu izlūkdatu sniedzēji). Tāpēc klātienes un virtuālas sanāksmes būtu jārīko dažādos procesa posmos, jo īpaši sagatavošanas posmā, kad DVIT tiek uzsākta, un lai pabeigtu tās darbības jomas noteikšanu, testēšanas posmā, lai pabeigtu draudu izlūkdatu ziņojuma un sarkanās komandas testēšanas plāna izstrādi un sniegtu iknedēļas atjauninājumus, un slēgšanas posmā – testētāju un zilās komandas darbību atkārtošanai, purpursarkanās komandas izmatošanai un lai apmainītos ar atsauksmēm par DVIT.

(16)

Lai nodrošinātu DVIT netraucētu veikšanu, DVIT iestādei savas gaidas attiecībā uz testēšanu būtu skaidri jāizklāsta finanšu vienībai. Šajā sakarā testu pārvaldniekiem būtu jānodrošina, ka finanšu vienībā tiek izveidota atbilstoša informācijas plūsma ar kontroles komandu, kā arī ar DVIT pakalpojumu sniedzējiem.

(17)

Finanšu vienībai būtu jāatlasa kritiski svarīgās vai svarīgās funkcijas, kuras būs DVIT darbības jomā. Atlasot minētās funkcijas, finanšu vienībai būtu jābalstās uz dažādiem kritērijiem, kas saistīti ar katras funkcijas nozīmīgumu pašai finanšu vienībai un finanšu nozarei Savienības un valsts līmenī ne tikai ekonomiskā ziņā, bet arī ņemot vērā funkcijas simbolisko vai politisko statusu. Lai veicinātu netraucētu pāreju uz draudu izlūkdatu vākšanas posmu, kontroles komandai darbības jomas noteikšanas procesā neiesaistītajiem testētājiem un draudu izlūkdatu sniedzējam būtu jāsniedz detalizēta informācija par saskaņoto darbības jomu.

(18)

Lai testētājiem sniegtu tāda reālistiska uzbrukuma simulēšanai nepieciešamo informāciju, kas ikdienā var notikt finanšu vienības kritiski svarīgo vai svarīgo funkciju pamatā esošajām sistēmām reāllaikā, draudu izlūkdatu sniedzējam būtu jāvāc izlūkdati vai informācija, kas aptver vismaz divas galvenās interešu jomas: mērķus, identificējot iespējamo uzbrukuma tvērumu visā finanšu vienībā, un draudus, identificējot attiecīgos apdraudējuma dalībniekus un iespējamos apdraudējuma scenārijus. Lai nodrošinātu, ka draudu izlūkdatu sniedzējs ņem vērā attiecīgos draudus finanšu vienībai, testētājiem, kontroles komandai un testu pārvaldniekiem būtu jāsniedz atsauksmes par draudu izlūkdatu ziņojuma projektu. Ja tā ir pieejama, draudu izlūkdatu sniedzējs kā pamatu valsts apdraudējuma ainai var izmantot vispārēju apdraudējuma ainu, ko attiecībā uz dalībvalsts finanšu nozari nodrošinājusi DVIT iestāde. Pamatojoties uz TIBER-EU sistēmas piemērošanu, draudu izlūkdatu vākšanas process parasti ilgst aptuveni četras nedēļas.

(19)

Lai testētāji varētu gūt ieskatu, kā arī lai turpmāk pārskatītu darbības jomas specifikācijas dokumentu un mērķorientētu draudu izlūkdatu ziņojumu, kas nepieciešami sarkanās komandas testēšanas plāna pabeigšanai, ir būtiski, lai pirms DVIT sarkanās komandas testēšanas posma testētāji no draudu izlūkdatu sniedzēja saņemtu detalizētus paskaidrojumus par mērķorientētu draudu izlūkdatu ziņojumu un iespējamo apdraudējuma scenāriju analīzi.

(20)

Lai testētāji varētu veikt reālistisku un visaptverošu testēšanu, kurā tiek izpildīti visi uzbrukuma posmi un sasniegtas atzīmes, sarkanās komandas aktīvās testēšanas posmam būtu jāatvēl pietiekams laiks. Pamatojoties uz pieredzi, kas gūta saistībā ar TIBER-EU sistēmu, atvēlētajam laikam vajadzētu būt vismaz 12 nedēļām, un tas būtu jānosaka, ņemot vērā iesaistīto pušu skaitu, DVIT darbības jomu, iesaistītās finanšu vienības vai vienību resursus, jebkādas ārējās prasības un finanšu vienības sniegtās pamatojošās informācijas pieejamību.

(21)

Lai pienācīgi testētu finanšu vienības izstrādes sistēmas reāllaikā, sarkanās komandas aktīvās testēšanas posmā testētājiem būtu jāizmanto virkne taktiku, paņēmienu un procedūru (TPP). TPP attiecīgā gadījumā būtu jāietver izlūkošana (t. i., pēc iespējas lielāka apjoma informācijas apkopošana par mērķi), izmantošana par ieroci (t. i., informācijas analīze par infrastruktūru, iekārtām un darbiniekiem un sagatavošanās darbībām, kas raksturīgas mērķim), piegāde (t. i., aktīva pilnas darbības uzsākšana attiecībā uz mērķi), izmantošana (t. i., ja testētāju mērķis ir apdraudēt serverus, finanšu vienības tīklus un izmantot tās darbiniekus ar sociālās inženierijas starpniecību), kontrole un kustība (t. i., mēģinājumi pāriet no apdraudētajām sistēmām uz citām neaizsargātām vai augstvērtīgām sistēmām) un darbības attiecībā uz mērķi (t. i., turpmākas piekļuves panākšana apdraudētajām sistēmām un piekļuves iegūšana iepriekš saskaņotajai mērķa informācijai un datiem, par ko iepriekš panākta vienošanās sarkanās komandas testēšanas plānā).

(22)

Veicot DVIT, testētājiem būtu jārīkojas, ņemot vērā uzbrukuma veikšanai pieejamo laiku, resursus un ētiskās un juridiskās robežas. Ja testētāji nespēj virzīties uz nākamo uzbrukuma plānoto posmu, kontroles komandai, vienojoties ar DVIT iestādi, būtu jāsniedz epizodiska palīdzība “atbalsta” veidā. Atbalstu var plaši iedalīt informatīvā atbalstā un piekļuves atbalstā, un tas var ietvert piekļuves nodrošināšanu IKT sistēmām vai iekšējiem tīkliem, lai turpinātu testu un koncentrētos uz nākamajiem uzbrukuma posmiem.

(23)

Aktīvai sarkanās komandas izmantošanai testēšanas posmā, ja tas nepieciešams, lai izņēmuma apstākļos to pielietotu kā galējo līdzekli, kas ļauj turpināt DVIT, un pēc tam, kad ir izsmeltas visas alternatīvās iespējas, būtu jāizmanto uz sadarbību vērsta testēšanas darbība, kurā iesaistīti gan testētāji, gan zilā komanda. Veicot šādu ierobežotu purpursarkanās komandas izmantošanas darbību, var izmantot šādas metodes: “notvert un atbrīvot”, kad testētāji mēģina turpināt scenārijus, tiek atklāti un pēc tam atsāk testēšanu, “kara spēles”, kas ļauj īstenot sarežģītākus scenārijus, ar kuriem testē stratēģisku lēmumu pieņemšanu, vai “uz sadarbību vērsts koncepcijas pierādījums”, kas testētājiem un zilās komandas locekļiem kontrolētā un uz sadarbību orientētā vidē ļauj kopīgi validēt konkrētus drošības pasākumus, rīkus vai paņēmienus.

(24)

DVIT būtu jāizmanto kā mācīšanās pieredze, kas palīdz uzlabot finanšu vienību digitālās darbības noturību. Šajā sakarā zilajai komandai un testētājiem būtu jāatkārto uzbrukums un sadarbībā ar testētājiem jāpārskata pasākumi, kas veikti, lai mācītos no testēšanas pieredzes. Šajā nolūkā un lai nodrošinātu pienācīgu sagatavošanu, pirms jebkādu atkārtošanas darbību veikšanas visām atkārtošanas darbībās iesaistītajām pusēm būtu jādara pieejams sarkanās komandas testa ziņojums un zilās komandas testa ziņojums. Turklāt, lai maksimāli izmantotu mācīšanās pieredzi, slēgšanas posmā būtu jāveic purpursarkanās komandas izmantošanas darbība. Metodēm, kuras var pielietot purpursarkanās komandas izmantošanai slēgšanas posmā, būtu jāietver diskusijas par alternatīviem uzbrukuma scenārijiem, alternatīvu scenāriju izpēte par reāllaika sistēmām vai tādu plānoto scenāriju atkārtota izpēte par reāllaika sistēmām, kurus testētāji nav spējuši pabeigt vai izpildīt testēšanas posmā.

(25)

Lai vēl vairāk atvieglotu visu DVIT iesaistīto pušu mācīšanās pieredzi, turpmāko testu vajadzībām un lai veicinātu finanšu vienību digitālās darbības noturību, attiecīgajām pusēm būtu savstarpēji jāsniedz atsauksmes par vispārējo procesu un jo īpaši jānosaka, kuras darbības ir sekmīgi virzījušās vai varētu tikt uzlabotas un kuri DVIT procesa aspekti ir labi darbojušies vai varētu tikt uzlaboti.

(26)

Kompetentajām iestādēm, kas minētas Regulas (ES) 2022/2554 46. pantā, un DVIT iestādēm, ja tās ir dažādas iestādes, būtu jāsadarbojas, lai esošajos uzraudzības procesos iekļautu padziļinātu testēšanu, izmantojot DVIT. Šajā sakarā un lai apmainītos ar pareizu izpratni par DVIT konstatējumiem un to interpretāciju, ir lietderīgi, jo īpaši attiecībā uz testa kopsavilkuma ziņojumu un kļūdu novēršanas plāniem, izveidot ciešu sadarbību starp testu pārvaldniekiem, kuri bija iesaistīti DVIT, un atbildīgajiem uzraudzītājiem.

(27)

Regulas (ES) 2022/2554 26. panta 8. punkta pirmajā daļā ir noteikts, ka finanšu vienībām ir pienākums katra trešā testa veikšanai noslēgt līgumus ar ārējiem testētājiem. Ja finanšu vienības testētāju grupā iekļauj gan iekšējos, gan ārējos testētājus, minētā panta nolūkos to vajadzētu uzskatīt par DVIT, ko veic ar iekšējiem testētājiem.

(28)

Šī regula ir balstīta uz regulatīvo tehnisko standartu projektu, ko Komisijai iesniegusi Eiropas Banku iestāde, Eiropas Apdrošināšanas un aroda pensiju iestāde un Eiropas Vērtspapīru un tirgu iestāde (turpmāk “Eiropas uzraudzības iestādes”), vienojoties ar Eiropas Centrālo banku.

(29)

Eiropas uzraudzības iestādes veica atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtēja potenciālās saistītās izmaksas un ieguvumus un lūdza atzinumu no Banku nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (3) 37. pantu, no Apdrošināšanas un pārapdrošināšanas nozares ieinteresēto personu grupas un Aroda pensiju nozares ieinteresēto personu grupas, kas izveidotas saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1094/2010 (4) 37. pantu, un no Vērtspapīru un tirgu nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (5) 37. pantu.

(30)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (6) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas sniedza atzinumu 2024. gada 20. augustā,

1)

“kontroles komanda” ir komanda, kuras sastāvā ir tās finanšu vienības darbinieki, kurai veic testēšanu, un, attiecīgā gadījumā ņemot vērā DVIT darbības jomu, trešo personu, kas sniedz pakalpojumus, un jebkuras citas personas darbinieki, kuri pārvalda testu;

2)

“kontroles komandas vadītājs” ir finanšu vienības darbinieks, kas ir atbildīgs par visu finanšu vienības ar DVIT saistīto darbību veikšanu konkrētā testa kontekstā;

3)

“zilā komanda” ir tie finanšu vienības darbinieki un attiecīgā gadījumā trešo personu, kas sniedz pakalpojumus finanšu vienībai, darbinieki, kā arī jebkura cita puse, ko uzskata par būtisku, ņemot vērā DVIT darbības jomu, kuri, uzturot savus drošības parametrus pret simulētiem vai reāliem uzbrukumiem, aizsargā finanšu vienības tīklu un informācijas sistēmu izmantošanu un kuri nav informēti par DVIT;

4)

“zilās komandas uzdevumi” ir uzdevumi, ko parasti veic zilā komanda, piemēram, drošības operāciju centrs (DOC), IKT infrastruktūras pakalpojumi, palīdzības dienesta pakalpojumi, incidentu pārvaldības pakalpojumi darbības līmenī;

5)

“sarkanā komanda” ir iekšējie vai ārējie testētāji, ar kuriem noslēgts līgums vai kuri norīkoti veikt DVIT;

6)

“purpursarkanās komandas izmantošana” ir uz sadarbību vērsta testēšanas darbība, kurā piedalās gan testētāji, gan zilā komanda;

7)

“DVIT iestāde” ir jebkura no turpmāk minētajām:

8)

“DVIT kiberkomanda” ir DVIT iestāžu darbinieki, kuri atbild par jautājumiem, kas saistīti ar DVIT;

9)

“testu pārvaldnieki” ir darbinieki, kas izraudzīti vadīt DVIT iestādes darbības attiecībā uz konkrētu DVIT, lai uzraudzītu atbilstību šai regulai;

10)

“draudu izlūkdatu sniedzējs” ir eksperti, ar kuriem finanšu vienība ir noslēgusi līgumus par katru DVIT un kuri nav saistīti ar finanšu vienību un vienai grupai piederošiem IKT pakalpojumu sniedzējiem, ja tādi ir, un kuri apkopo un analizē mērķorientētus draudu izlūkdatus, kas attiecas uz finanšu vienībām konkrētas DVIT darbības ietvaros, un izstrādā atbilstīgus un reālistiskus apdraudējuma scenārijus;

11)

“DVIT pakalpojumu sniedzēji” ir testētāji un draudu izlūkdatu sniedzēji;

12)

“atbalsts” ir palīdzība vai informācija, ko kontroles komanda sniedz testētājiem, lai testētāji varētu turpināt īstenot uzbrukuma ceļu, ja viņi paši nespēj virzīties uz priekšu un ja nav citas pieņemamas alternatīvas, tostarp attiecībā uz nepietiekamu laiku vai resursiem konkrētā DVIT;

13)

“uzbrukuma ceļš” ir maršruts, ko testētāji veic DVIT sarkanās komandas aktīvās testēšanas posmā, lai sasniegtu minētajai DVIT norādītās atzīmes;

14)

“atzīmes” ir IKT sistēmu, ar kurām atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas, galvenie mērķi, kurus testētāji cenšas sasniegt testa gaitā;

15)

“sensitīva informācija” ir informācija, ko var viegli izmantot, lai veiktu uzbrukumus finanšu vienības IKT sistēmām, intelektuālais īpašums, konfidenciāli darījumdarbības dati vai personas dati, kas var tieši vai netieši kaitēt finanšu vienībai un tās ekosistēmai, ja tā nonāktu ļaunprātīgu personu rokās;

16)

“kopums” ir visas finanšu vienības, kas piedalās apvienotā DVIT saskaņā ar Regulas (ES) 2022/2554 26. panta 4. punktu;

17)

“uzņēmēja dalībvalsts” ir uzņēmēja dalībvalsts saskaņā ar Savienības nozaru tiesību aktiem, kas piemērojami katrai finanšu vienībai;

18)

“kopīga DVIT” ir DVIT, kas nav Regulas (ES) 2022/2554 26. panta 4. punktā minētā apvienotā DVIT un kurā iesaistītas vairākas finanšu vienības, kas izmanto vienu un to pašu IKT pakalpojumu sniedzēju, kurš pieder vienai grupai, vai kuras pieder pie vienas un tās pašas grupas un kopīgi izmanto IKT sistēmas.