(1)

Dan ir-Regolament ġie abbozzat f’konformità mal-qafas TIBER-UE u jirrifletti l-metodoloġija, il-proċess u l-istruttura tal-ittestjar tal-penetrazzjoni bbażat fuq it-theddid (TLPT, threat-led penetration testing) kif deskritt f’TIBER-UE. L-entitajiet finanzjarji soġġetti għat-TLPT jistgħu jirreferu għall-qafas TIBER-UE u japplikaw lilu jew waħda mill-implimentazzjonijiet nazzjonali tiegħu, sakemm dak il-qafas jew dik l-implimentazzjoni tkun konsistenti mar-rekwiżiti stabbiliti fl-Artikoli 26 u 27 tar-Regolament (UE) 2022/2554 u f’dan ir-Regolament. Id-deżinjazzjoni ta’ awtorità pubblika unika fis-settur finanzjarju li tkun responsabbli għal kwistjonijiet relatati mat-TLPT fil-livell nazzjonali f’konformità mal-Artikolu 26(9) tar-Regolament (UE) 2022/2554 jenħtieġ li tkun mingħajr preġudizzju għall-kompetenza tal-awtoritajiet kompetenti fdati fil-livell tal-Unjoni għas-superviżjoni ta’ ċerti entitajiet finanzjarji f’konformità mal-Artikolu 46 ta’ dak ir-Regolament bħal, pereżempju, il-Bank Ċentrali Ewropew għal istituzzjonijiet ta’ kreditu sinifikanti li għandhom jitqiesu kompetenti għal kwistjonijiet relatati mat-TLPT. Meta xi wħud biss mill-kompiti relatati mat-TLPTs jiġu ddelegati lil awtorità nazzjonali oħra fis-settur finanzjarju skont l-Artikolu 26(10) tar-Regolament (UE) 2022/2554, jenħtieġ li l-awtorità kompetenti tal-entità finanzjarja msemmija fl-Artikolu 46 ta’ dak ir-Regolament tibqa’ l-awtorità għall-kompiti relatati mat-TLPT li ma jkunux ġew iddelegati.

(2)

Meta titqies il-kumplessità tat-TLPT u r-riskji relatati miegħu, jenħtieġ li l-użu tiegħu jkun ristrett għal dawk l-entitajiet finanzjarji li għalihom huwa ġġustifikat. Għalhekk, jenħtieġ li l-awtoritajiet responsabbli għall-kwistjonijiet tat-TLPT (l-awtoritajiet tat-TLPT, fil-livell tal-Unjoni jew f’dak nazzjonali) jeskludu mill-ambitu tat-TLPT dawk l-entitajiet finanzjarji li joperaw f’subsetturi ewlenin tas-servizzi finanzjarji li għalihom it-TLPT mhuwiex iġġustifikat. Dan ifisser li l-istituzzjonijiet ta’ kreditu, l-istituzzjonijiet ta’ pagament u tal-flus elettroniċi, id-depożitorji ċentrali tat-titoli, il-kontropartijiet ċentrali, iċ-ċentri ta’ negozjar, l-impriżi tal-assigurazzjoni u tar-riassigurazzjoni, minkejja li jissodisfaw il-kriterji kwantitattivi, jistgħu jiġu rilaxxati mir-rekwiżit tat-TLPT fid-dawl ta’ valutazzjoni ġenerali tal-profil tar-riskju u tal-maturità tal-ICT tagħhom, l-impatt fuq is-settur finanzjarju, u t-tħassib relatat dwar l-istabbiltà finanzjarja.

(3)

L-awtoritajiet tat-TLPT jenħtieġ li jivvalutaw, fid-dawl ta’ valutazzjoni ġenerali tal-profil tar-riskju u tal-maturità tal-ICT, tal-impatt fuq is-settur finanzjarju, u tat-tħassib relatat dwar l-istabbiltà finanzjarja, jekk kwalunkwe tip ta’ entità finanzjarja għajr l-istituzzjonijiet ta’ kreditu, l-istituzzjonijiet ta’ pagament, l-istituzzjonijiet tal-flus elettroniċi, il-kontropartijiet ċentrali, id-depożitorji ċentrali tat-titoli, iċ-ċentri ta’ negozjar, l-impriżi tal-assigurazzjoni u tar-riassigurazzjoni jenħtieġx li tkun soġġetta għat-TLPT. Jenħtieġ li l-valutazzjoni ta’ jekk tali entitajiet finanzjarji jissodisfawx dawk il-kriterji kwalitattivi jkollha l-għan li tidentifika entitajiet finanzjarji li għalihom it-TLPT ikun xieraq bl-użu ta’ indikaturi transsettorjali u oġġettivi. Fl-istess ħin, jenħtieġ li l-valutazzjoni ta’ jekk entità finanzjarja tissodisfax dawk il-kriterji kwalitattivi tillimita l-entitajiet soġġetti għat-TLPT għal dawk li għalihom l-ittestjar huwa ġġustifikat. Jenħtieġ li jiġi vvalutat ukoll jekk entità finanzjarja tissodisfax dawk il-kriterji kwalitattivi fid-dawl tal-iżviluppi ġodda tas-suq u tal-importanza dejjem akbar ta’ parteċipanti ġodda fis-suq għas-settur finanzjarju fil-futur, inklużi l-fornituri ta’ servizzi tal-kriptoassi awtorizzati f’konformità mal-Artikolu 59 tar-Regolament (UE) 2023/1114 tal-Parlament Ewropew u tal-Kunsill (2).

(4)

L-entitajiet finanzjarji jista’ jkollhom l-istess fornitur intragrupp ta’ servizzi tal-ICT jew jistgħu jappartjenu għall-istess grupp u jiddependu fuq l-użu ta’ sistemi tal-ICT kondiviżi. F’dak il-każ, huwa importanti li l-awtoritajiet tat-TLPT iqisu l-istruttura u l-karattru sistemiku jew l-importanza għas-settur finanzjarju ta’ dik l-entità finanzjarja fil-livell nazzjonali jew f’dak tal-Unjoni fil-valutazzjoni ta’ jekk entità finanzjarja jenħtieġx li tkun soġġetta għat-TLPT u ta’ jekk it-TLPT jenħtieġx li jsir fil-livell tal-entità jew fil-livell tal-grupp (permezz ta’ TLPT konġunt).

(5)

Biex isir l-istess bħal fil-qafas TIBER-UE, huwa meħtieġ li l-metodoloġija tal-ittestjar tipprevedi l-involviment tal-parteċipanti ewlenin li ġejjin: l-entità finanzjarja, b’tim ta’ kontroll (li jirrifletti t-“tim ta’ kontroll” ta’ TIBER-UE) u tim blu (li jirrifletti t-“tim il-blu” ta’ TIBER-UE), u l-awtorità tat-TLPT, fil-forma ta’ tim ċibernetiku tat-TLPT (li jirrifletti t-“timijiet ċibernetiċi TIBER” ta’ TIBER-UE), fornitur tal-intelligence dwar it-theddid, u testers (fejn it-testers jirriflettu l-“fornitur tat-tim l-aħmar” ta’ TIBER-UE).

(6)

Biex jiġi żgurat li t-TLPT jibbenefika mill-esperjenza żviluppata fil-qafas tal-implimentazzjoni ta’ TIBER-UE u biex jitnaqqsu r-riskji assoċjati mat-twettiq tat-TLPT, jenħtieġ li jiġi żgurat li r-responsabbiltajiet tat-timijiet ċibernetiċi tat-TLPT, li għandhom jiġu stabbiliti fil-livell tal-awtoritajiet tat-TLPT, jaqblu kemm jista’ jkun ma’ dawk tat-timijiet ċibernetiċi ta’ TIBER-UE. Għalhekk, jenħtieġ li t-timijiet ċibernetiċi tat-TLPT ikollhom maniġers tat-testijiet li jkunu responsabbli għas-sorveljanza tat-TLPTs individwali u għall-ippjanar u l-koordinazzjoni ta’ testijiet individwali. It-timijiet ċibernetiċi tat-TLPT jenħtieġ li jservu bħala punt uniku ta’ kuntatt għall-komunikazzjoni relatata mat-testijiet mal-partijiet ikkonċernati interni u esterni, għall-ġbir u l-ipproċessar tal-feedback u tat-tagħlimiet meħuda minn testijiet li jkunu saru qabel, u għall-appoġġ tal-entitajiet finanzjarji li jkunu qed jagħmlu l-ittestjar tat-TLPT.

(7)

Biex isir l-istess bħal fil-metodoloġija ta’ qafas TIBER-UE, jenħtieġ li l-maniġers tat-testijiet ikollhom il-ħiliet u l-kapaċitajiet meħtieġa biex jipprovdu pariri u biex jikkontestaw il-proposti tat-testers. L-esperjenza fil-qafas TIBER-UE wriet li huwa siewi li jkun hemm tim ta’ mill-anqas żewġ maniġers tat-testijiet assenjati ma’ kull test. Biex jiġi rifless li t-TLPT qed jintuża għall-inċentivar tal-esperjenza ta’ tagħlim, għas-salvagwardja tal-kunfidenzjalità tat-testijiet, u sakemm ma jkollhomx kwistjonijiet ta’ riżorsi jew ta’ għarfien espert, l-awtoritajiet tat-TLPT huma mħeġġa bil-kbir biex jikkunsidraw li, għad-durata ta’ TLPT, il-maniġers tat-testijiet jenħtieġ ma jwettqux attivitajiet superviżorji fuq l-istess entità finanzjarja li tkun għaddejja minn TLPT.

(8)

Huwa importanti, għall-konsistenza mal-qafas TIBER-UE, li l-awtorità tat-TLPT issegwi mill-qrib l-ittestjar f’kull wieħed mill-istadji tiegħu. Meta titqies in-natura tal-ittestjar u r-riskji assoċjati miegħu, huwa fundamentali li l-awtorità tat-TLPT tkun involuta f’kull fażi speċifika tal-ittestjar. B’mod partikolari, jenħtieġ li l-awtorità tat-TLPT tiġi kkonsultata u jenħtieġ li tivvalida dawk il-valutazzjonijiet jew id-deċiżjonijiet tal-entitajiet finanzjarji li jistgħu, minn naħa waħda, jinfluwenzaw l-effettività tat-test u, minn naħa oħra, ikollhom impatt fuq ir-riskji assoċjati mat-test. Il-passi fundamentali li fuqhom huwa meħtieġ l-involviment speċifiku tal-awtorità tat-TLPT jinkludu l-validazzjoni ta’ ċerta dokumentazzjoni fundamentali tal-ittestjar, u l-għażla ta’ fornituri tal-intelligence dwar it-theddid u testers u miżuri ta’ ġestjoni tar-riskju. L-involviment tal-awtoritajiet tat-TLPT, u b’mod partikolari għall-validazzjonijiet, jenħtieġ li ma jirriżultax f’piż eċċessiv għal dawk l-awtoritajiet u għalhekk jenħtieġ li jkun limitat għal dik id-dokumentazzjoni u dawk id-deċiżjonijiet li jaffettwaw direttament it-twettiq tat-TLPT. Permezz tal-parteċipazzjoni attiva f’kull fażi tal-ittestjar, l-awtoritajiet tat-TLPT jistgħu jivvalutaw b’mod effettiv il-konformità tal-entitajiet finanzjarji mar-rekwiżiti rilevanti, li jenħtieġ li jippermetti lil dawk l-awtoritajiet joħorġu attestazzjonijiet skont l-Artikolu 26(7) tar-Regolament (UE) 2022/2554.

(9)

Is-segretezza tat-TLPT hija tal-akbar importanza biex jiġi żgurat li l-kundizzjonijiet tal-ittestjar ikunu realistiċi. Għal dik ir-raġuni, jenħtieġ li l-ittestjar isir bil-moħbi, u jenħtieġ li jittieħdu prekawzjonijiet biex it-TLPT jinżamm kunfidenzjali, inkluża l-għażla ta’ ismijiet kodiċi li jenħtieġ li jitfasslu biex jipprevjenu l-identifikazzjoni tat-TLPT minn partijiet terzi. Jekk il-membri tal-persunal responsabbli għas-sigurtà tat-tim finanzjarju jkunu konxji ta’ TLPT ippjanat jew li jkun għaddej, x’aktarx li jkunu aktar osservanti u attenti milli waqt il-kundizzjonijiet normali tax-xogħol, b’dan jirriżulta f’eżitu alterat tal-ittestjar. Il-membri tal-persunal tal-entità finanzjarja barra mit-tim ta’ kontroll jenħtieġ li jiġu mgħarrfa biss bi kwalunkwe TLPT ippjanat jew li jkun għaddej meta jkun hemm raġunijiet konvinċenti u soġġett għall-qbil minn qabel tal-maniġers tat-testijiet, inter alia biex tiġi żgurata s-segretezza tat-test f’każ li membru tat-tim il-blu jkun induna bl-ittestjar.

(10)

Kif muri mill-esperjenza miġbura fil-qafas TIBER-UE fir-rigward tat-“tim ta’ kontroll”, l-għażla ta’ kap adegwat tat-tim ta’ kontroll hija indispensabbli għat-twettiq sikur tat-TLPT. Il-kap tat-tim ta’ kontroll jenħtieġ li jkollu l-mandat meħtieġ fi ħdan l-entità finanzjarja biex jiggwida l-aspetti kollha tal-ittestjar, mingħajr ma tiġi kompromessa l-kunfidenzjalità tiegħu. Għall-istess raġuni, il-membri tat-tim ta’ kontroll jenħtieġ li jkollhom għarfien profond tal-entità finanzjarja, tar-rwol tal-impjieg u tal-pożizzjonament strateġiku tal-kap tat-tim ta’ kontroll, jenħtieġ li jkollhom l-anzjanità meħtieġa fil-kariga tagħhom u jenħtieġ li jkollhom aċċess għall-bord maniġerjali. Biex jitnaqqas ir-riskju li t-TLPT jiġi kompromess, it-tim ta’ kontroll jenħtieġ li jkun żgħir kemm jista’ jkun.

(11)

Hemm elementi inerenti ta’ riskji assoċjati mat-TLPT peress li l-funzjonijiet kritiċi jiġu ttestjati f’ambjent ta’ produzzjoni attiv, bil-possibbiltà li jiġu kkawżati inċidenti li jwaqqfu s-servizz, kraxxijiet fis-sistema mhux mistennija, ħsarat lil sistemi ta’ produzzjoni attivi kritiċi, jew it-telf, il-modifika, jew id-divulgazzjoni tad-data. Dawk ir-riskji jenfasizzaw il-ħtieġa għal miżuri robusti ta’ ġestjoni tar-riskju. Biex jiġi żgurat li t-TLPT isir b’mod ikkontrollat matul l-ittestjar kollu, huwa importanti ħafna li l-entitajiet finanzjarji jkunu f’kull punt konxji tar-riskji partikolari li jinqalgħu f’TLPT u li dawk ir-riskji jiġu mmitigati. F’dak ir-rigward, mingħajr preġudizzju għall-proċessi interni tal-entità finanzjarja u għar-responsabbiltà u d-delegazzjonijiet diġà pprovduti lill-kap tat-tim ta’ kontroll, l-informazzjoni dwar il-miżuri ta’ ġestjoni tar-riskju tat-TLPT, jew, f’każijiet partikolari l-approvazzjoni ta’ dawk il-miżuri ta’ ġestjoni tar-riskju mill-korp maniġerjali stess tal-entità finanzjarja, tista’ tkun xierqa. Biex ikunu jistgħu jipprovdu servizzi professjonali effettivi u l-aktar kwalifikati u biex jitnaqqsu dawk ir-riskji, huwa essenzjali wkoll li t-testers u l-fornituri tal-intelligence dwar it-theddid (flimkien, il-fornituri tat-TLPT) ikollhom l-ogħla livell ta’ ħiliet, għarfien espert, u esperjenza xierqa fl-intelligence dwar it-theddid u fit-TLPT fl-industrija tas-servizzi finanzjarji.

(12)

It-testijiet tal-penetrazzjoni konvenzjonali spiss jipprovdu valutazzjoni dettaljata u utli tal-vulnerabbiltajiet tekniċi u tal-konfigurazzjoni ta’ sistema jew ambjent wieħed f’iżolament, iżda għall-kuntrarju tat-test tat-tim l-aħmar immexxi mill-intelligence, ma jivvalutawx ix-xenarju sħiħ ta’ attakk immirat kontra entità sħiħa, inkluż l-ambitu sħiħ tan-nies, il-proċessi u t-teknoloġiji tagħha. Għalhekk, matul il-proċess tal-għażla tal-fornituri tat-TLPT, l-entitajiet finanzjarji jenħtieġ li jiżguraw li dawk il-fornituri jkollhom il-ħiliet meħtieġa biex jagħmlu testijiet tat-tim l-aħmar immexxija mill-intelligence, u mhux biss testijiet tal-penetrazzjoni. Għalhekk, huwa meħtieġ li jiġu stabbiliti kriterji komprensivi għat-testers, kemm interni kif ukoll esterni, u għall-fornituri tal-intelligence dwar it-theddid, dejjem esterni. Meta l-fornituri tat-TLPT ikunu jappartjenu għall-istess kumpanija, jenħtieġ li l-persunal assenjat għal TLPT jiġi separat b’mod adegwat.

(13)

Jista’ jkun hemm ċirkostanzi eċċezzjonali fejn l-entitajiet finanzjarji ma jkunux jistgħu jikkuntrattaw fornituri tat-TLPT li jissodisfaw il-kriterji komprensivi. L-entitajiet finanzjarji, wara li jagħtu evidenza tan-nuqqas ta’ disponibbiltà ta’ tali fornituri tal-intelligence dwar it-theddid, jenħtieġ għalhekk li jitħallew jimpjegaw persuni li ma jissodisfawx il-kriterji komprensivi kollha, dment li jimmitigaw kif xieraq kwalunkwe riskju addizzjonali li jirriżulta u li l-awtorità tat-TLPT tivvaluta dawk il-kriterji kollha.

(14)

Meta diversi entitajiet finanzjarji u diversi awtoritajiet tat-TLPT ikunu involuti f’TLPT, jenħtieġ li r-rwoli tal-partijiet kollha fil-proċess tat-TLPT jiġu speċifikati biex isir l-aktar test effiċjenti u sikur. Għall-finijiet tal-ittestjar aggregat, huma meħtieġa rekwiżiti speċifiċi biex jiġi speċifikat ir-rwol tal-entità finanzjarja deżinjata, jiġifieri li jenħtieġ li tkun inkarigata tipprovdi d-dokumentazzjoni kollha meħtieġa lill-awtorità ewlenija tat-TLPT u timmonitorja l-proċess tat-test. L-entità finanzjarja deżinjata jenħtieġ li tkun ukoll inkarigata mill-aspetti komuni tal-valutazzjoni tal-ġestjoni tar-riskju. Minkejja r-rwol tal-entità finanzjarja deżinjata, jenħtieġ li l-obbligi ta’ kull entità finanzjarja li tipparteċipa fil-proċess tat-TLPT aggregat jibqgħu mhux affettwati matul it-test aggregat. L-istess prinċipju jenħtieġ li japplika għal TLPTs konġunti.

(15)

Kif muri mill-esperjenza tal-implimentazzjoni tal-qafas TIBER-UE, il-laqgħat li jsiru wiċċ imb wiċċ jew virtwalment li jinkludu l-partijiet ikkonċernati kollha (entitajiet finanzjarji, awtoritajiet, testers u fornituri tal-intelligence dwar it-theddid) huma l-aktar mod effiċjenti biex jiġi żgurat it-twettiq xieraq tal-ittestjar. Għalhekk, il-laqgħat wiċċ imb wiċċ u virtwali jenħtieġ li jsiru f’diversi stadji tal-proċess, u b’mod partikolari matul il-fażi ta’ tħejjija fit-tnedija tat-TLPT u biex jiġi ffinalizzat l-ambitu tiegħu, matul il-fażi tal-ittestjar, biex jiġi ffinalizzat ir-rapport tal-intelligence dwar it-theddid u l-pjan tat-test tat-tim l-aħmar u għall-aġġornamenti ta’ kull ġimgħa, u matul il-fażi tal-għeluq biex jiġu ripetuti l-azzjonijiet tat-testers u tat-tim il-blu, biex jintuża t-tim il-vjola u biex jiġi skambjat il-feedback dwar it-TLPT.

(16)

Biex jiġi żgurat it-twettiq bla xkiel tat-TLPT, jenħtieġ li l-awtorità tat-TLPT tippreżenta b’mod ċar lill-entità finanzjarja l-aspettattivi tagħha fir-rigward tal-ittestjar. F’dak ir-rigward, jenħtieġ li l-maniġers tat-testijiet jiżguraw li jiġi stabbilit fluss xieraq ta’ informazzjoni mat-tim ta’ kontroll fi ħdan l-entità finanzjarja, u mal-fornituri tat-TLPT.

(17)

L-entità finanzjarja jenħtieġ li tagħżel il-funzjonijiet kritiċi jew importanti li se jkunu fl-ambitu tat-TLPT. Meta tagħżel dawk il-funzjonijiet, l-entità finanzjarja jenħtieġ li tibbaża ruħha fuq diversi kriterji relatati mal-importanza ta’ kull funzjoni għall-entità finanzjarja nnifisha u għas-settur finanzjarju, fil-livell tal-Unjoni u f’dak nazzjonali, mhux biss f’termini ekonomiċi iżda wkoll b’kunsiderazzjoni tal-istatus simboliku jew politiku tal-funzjoni. Biex tiġi ffaċilitata tranżizzjoni bla xkiel għall-fażi tal-ġbir ta’ intelligence dwar it-theddid, it-tim ta’ kontroll jenħtieġ li jipprovdi lit-testers u lill-fornitur tal-intelligence dwar it-theddid li mhumiex involuti fil-proċess tal-identifikazzjoni tal-ambitu b’informazzjoni dettaljata dwar l-ambitu maqbul.

(18)

Biex it-testers jiġu pprovduti l-informazzjoni meħtieġa ħalli jiġi ssimulat attakk fil-ħajja reali u realistiku fuq is-sistemi attivi tal-entità finanzjarja li jirfdu l-funzjonijiet kritiċi jew importanti tagħha, il-fornitur tal-intelligence dwar it-theddid jenħtieġ li jiġbor intelligence jew informazzjoni li tkopri mill-anqas żewġ oqsma ewlenin ta’ interess: il-miri, billi jiġu identifikati is-superfiċji potenzjali ta’ attakk fl-entità finanzjarja kollha, u t-theddid, billi jiġu identifikati l-atturi ta’ theddid rilevanti u x-xenarji ta’ theddid probabbli. Biex jiġi żgurat li l-fornitur tal-intelligence dwar it-theddid iqis it-theddid rilevanti għall-entità finanzjarja, it-testers, it-tim ta’ kontroll, u l-maniġers tat-testijiet jenħtieġ li jipprovdu feedback dwar l-abbozz tar-rapport tal-intelligence dwar it-theddid. Jekk ikun disponibbli, il-fornitur tal-intelligence dwar it-theddid jista’ juża xenarju ġeneriku ta’ theddid provdut mill-awtorità tat-TLPT għas-settur finanzjarju ta’ Stat Membru bħala linja bażi għax-xenarju nazzjonali ta’ theddid. Abbażi tal-applikazzjoni tal-qafas TIBER-UE, il-proċess ta’ ġbir tal-intelligence dwar it-theddid tipikament idum madwar 4 ġimgħat.

(19)

Biex it-testers ikunu jistgħu jiksbu fehim profond u jirrieżaminaw aktar id-dokument tal-ispeċifikazzjoni tal-ambitu u r-rapport tal-intelligence dwar it-theddid immirat ħalli jiġi ffinalizzat il-pjan tal-ittestjar tat-tim l-aħmar, huwa essenzjali li, qabel il-fażi tal-ittestjar tat-tim l-aħmar tat-TLPT, it-testers jirċievu mingħand il-fornitur tal-intelligence dwar it-theddid spjegazzjonijiet dettaljati dwar ir-rapport tal-intelligence dwar it-theddid immirat u l-analiżi tax-xenarji ta’ theddid possibbli.

(20)

Biex it-testers ikunu jistgħu jwettqu ttestjar realistiku u komprensiv li fih jiġu eżegwiti l-fażijiet kollha tal-attakk u jintlaħqu l-marki, jenħtieġ li jiġi allokat biżżejjed żmien għall-fażi attiva tal-ittestjar tat-tim l-aħmar. Abbażi tal-esperjenza miksuba bil-qafas TIBER-UE, iż-żmien allokat jenħtieġ li jkun mill-anqas 12-il ġimgħa u jenħtieġ li jiġi ddeterminat billi jitqiesu l-għadd ta’ partijiet involuti, l-ambitu tat-TLPT, ir-riżorsi tal-entità jew tal-entitajiet finanzjarji involuti, kwalunkwe rekwiżit estern, u d-disponibbiltà tal-informazzjoni ta’ appoġġ provduta mill-entità finanzjarja.

(21)

Matul il-fażi attiva tal-ittestjar tat-tim l-aħmar, it-testers jenħtieġ li jużaw firxa ta’ tattiki, tekniki, u proċeduri (TTPs, tactics, techniques, and procedures) biex jittestjaw b’mod adegwat is-sistemi ta’ produzzjoni waqt l-operat tal-entità finanzjarja. It-TTPs jenħtieġ li jkun fihom, kif xieraq, ir-rikonjizzjoni (jiġifieri l-ġbir ta’ kemm jista’ jkun informazzjoni dwar mira), l-istrumentalizzazzjoni (jiġifieri l-analiżi ta’ informazzjoni dwar l-infrastruttura, il-faċilitajiet, u l-impjegati u t-tħejjija għall-operazzjonijiet speċifiċi għall-mira), l-implimentazzjoni (jiġifieri t-tnedija attiva tal-operazzjoni sħiħa fuq il-mira), l-isfruttament (jiġifieri fejn l-għan tat-testers huwa li jikkompromettu s-servers, in-networks tal-entità finanzjarja u li jisfruttaw il-persunal tagħha permezz tas-social engineering), il-kontroll u l-moviment (jiġifieri tentattivi biex nimxu mis-sistemi kompromessi għal dawk vulnerabbli jew ta’ valur għoli), u l-azzjonijiet fuq il-mira (jiġifieri l-kisba ta’ aċċess ulterjuri għal sistemi kompromessi u l-kisba ta’ aċċess għall-informazzjoni u d-data fil-mira miftiehma preċedentement, kif miftiehem qabel fil-pjan tal-ittestjar tat-tim l-aħmar).

(22)

Waqt li jagħmlu TLPT, it-testers jenħtieġ li jaġixxu filwaqt li jqisu ż-żmien disponibbli biex iwettqu l-attakk, ir-riżorsi, u l-limiti etiċi u legali. Jekk it-testers ma jkunux jistgħu javvanzaw għall-istadju programmat li jmiss tal-attakk, jenħtieġ li tiġi pprovduta assistenza okkażjonali mit-tim ta’ kontroll, bi qbil mal-awtorità tat-TLPT, fil-forma ta’ “leg-ups”. Il-leg-ups jistgħu jiġu kkategorizzati b’mod wiesa’ fil-leg-ups tal-informazzjoni u tal-aċċess u jistgħu jikkonsistu mill-għoti ta’ aċċess għas-sistemi tal-ICT jew għan-networks interni biex jitkompla t-test u tingħata attenzjoni lill-passi ta’ attakk li ġejjin.

(23)

Matul l-użu attiv tat-tim l-aħmar fil-fażi tal-ittestjar, jekk ikun meħtieġ biex ikun jista’ jitkompla t-TLPT bħala l-aħħar alternattiva f’ċirkostanzi eċċezzjonali u hekk kif l-għażliet alternattivi kollha jkunu ġew eżawriti, jenħtieġ li tintuża attività kollaborattiva tal-ittestjar li tinvolvi kemm lit-testers kif ukoll lit-tim il-blu. Fil-kuntest ta’ eżerċizzju limitat bħal dan bl-użu tat-tim il-vjola, jistgħu jintużaw il-metodi li ġejjin: “qbid u rilaxx”, fejn it-testers jippruvaw ikomplu x-xenarji, jinqabdu u mbagħad ikomplu l-ittestjar, “logħob tal-gwerra”, li jippermetti xenarji aktar kumplessi biex jiġi ttestjat it-teħid ta’ deċiżjonijiet strateġiċi, jew “prova kollaborattiva tal-kunċett”, li tippermetti lit-testers u lill-membri tat-tim il-blu jivvalidaw b’mod konġunt miżuri ta’ sigurtà, għodod, jew tekniki speċifiċi f’ambjent ikkontrollat u kooperattiv.

(24)

It-TLPT jenħtieġ li jintuża bħala esperjenza ta’ tagħlim biex tissaħħaħ ir-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji. F’dak ir-rigward, it-tim il-blu u t-testers jenħtieġ li jerġgħu jagħmlu l-attakk u jirrieżaminaw il-passi meħuda biex jitgħallmu mill-esperjenza tal-ittestjar f’kollaborazzjoni mat-testers. Għal dak l-għan u biex tkun tista’ ssir tħejjija adegwata, ir-rapport tat-test tat-tim l-aħmar u r-rapport tat-test tat-tim il-blu jenħtieġ li jkunu disponibbli għall-partijiet kollha involuti fl-attivitajiet ta’ ripetizzjoni, qabel ma ssir kwalunkwe attività ta’ ripetizzjoni. Barra minn hekk, jenħtieġ li jsir eżerċizzju bl-użu tat-tim il-vjola fil-fażi tal-għeluq biex tiġi mmassimizzata l-esperjenza ta’ tagħlim. Il-metodi li jistgħu jintużaw għall-użu tat-tim il-vjola fil-fażi tal-għeluq jenħtieġ li jinkludu diskussjonijiet dwar xenarji alternattivi ta’ attakk, esplorazzjoni fuq sistemi attivi ta’ xenarji alternattivi jew l-esplorazzjoni mill-ġdid ta’ xenarji ppjanati fuq sistemi attivi li t-testers ma setgħux jikkompletaw jew jeżegwixxu matul il-fażi tal-ittestjar.

(25)

Biex tiġi ffaċilitata aktar l-esperjenza ta’ tagħlim tal-partijiet kollha involuti fit-TLPT, għall-benefiċċju ta’ testijiet futuri, u biex tiġi promossa r-reżiljenza operazzjonali diġitali tal-entitajiet finanzjarji, il-partijiet ikkonċernati jenħtieġ li jipprovdu feedback lil xulxin dwar il-proċess ġenerali, u b’mod partikolari jidentifikaw liema attivitajiet għamlu progress tajjeb jew setgħu jittejbu, u liema aspetti tal-proċess tat-TLPT ħadmu tajjeb jew setgħu jittejbu.

(26)

L-awtoritajiet kompetenti msemmija fl-Artikolu 46 tar-Regolament (UE) 2022/2554 u l-awtoritajiet tat-TLPT, fejn differenti, jenħtieġ li jikkooperaw biex jinkorporaw l-ittestjar avvanzat permezz tat-TLPT fil-proċessi superviżorji eżistenti. F’dak ir-rigward u biex jiġi kondiviż il-fehim korrett tas-sejbiet tat-TLPT u ta’ kif dawn jenħtieġ li jiġu interpretati, huwa xieraq li, b’mod partikolari għar-rapport ta’ sinteżi tat-test u għall-pjanijiet ta’ rimedju, tiġi stabbilita kooperazzjoni mill-qrib bejn il-maniġers tat-testijiet li kienu involuti fit-TLPT u s-superviżuri responsabbli.

(27)

L-Artikolu 26(8), l-ewwel subparagrafu, tar-Regolament (UE) 2022/2554 jirrikjedi li l-entitajiet finanzjarji jikkuntrattaw testers esterni kull tliet testijiet. Meta l-entitajiet finanzjarji jinkludu fit-tim ta’ testers kemm testers interni kif ukoll esterni, dan jenħtieġ li jitqies bħala TLPT li sar b’testers interni għall-finijiet ta’ dak l-Artikolu.

(28)

Dan ir-Regolament huwa bbażat fuq l-abbozz tal-istandards tekniċi regolatorji ppreżentat lill-Kummissjoni mill-Awtorità Bankarja Ewropea, l-Awtorità Ewropea tal-Assigurazzjoni u l-Pensjonijiet tax-Xogħol, l-Awtorità Ewropea tat-Titoli u s-Swieq (l-Awtoritajiet Superviżorji Ewropej), bi qbil mal-Bank Ċentrali Ewropew.

(29)

L-Awtoritajiet Superviżorji Ewropej wettqu konsultazzjonijiet pubbliċi miftuħa dwar l-abbozz ta’ standards tekniċi regolatorji li fuqu huwa bbażat dan ir-Regolament, analizzaw il-kostijiet u l-benefiċċji potenzjali relatati u talbu l-parir tal-Grupp tal-Partijiet Bankarji Interessati stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (3), tal-Grupp tal-Partijiet Interessati tal-Assigurazzjoni u tar-Riassigurazzjoni u tal-Grupp tal-Partijiet Interessati tal-Qasam tal-Pensjonijiet tax-Xogħol stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (4), u tal-Grupp tal-Partijiet Interessati tat-Titoli u s-Swieq stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (5).

(30)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (6) u ta opinjoni fl-20 ta’ Awwissu 2024,

(1)

“tim ta’ kontroll” tfisser it-tim magħmul minn persunal tal-entità finanzjarja ttestjata u, fejn rilevanti b’kunsiderazzjoni tal-ambitu tat-TLPT, persunal tal-fornituri terzi ta’ servizzi tiegħu u kwalunkwe parti oħra, li jimmaniġġja t-test;

(2)

“kap tat-tim ta’ kontroll” tfisser il-membru tal-persunal tal-entità finanzjarja responsabbli għat-twettiq tal-attivitajiet kollha relatati mat-TLPT għall-entità finanzjarja fil-kuntest ta’ test partikolari;

(3)

“tim il-blu” tfisser il-persunal tal-entità finanzjarja u, fejn rilevanti, il-persunal tal-fornituri terzi ta’ servizzi tal-entità finanzjarja u kwalunkwe parti oħra meqjusa rilevanti b’kunsiderazzjoni tal-ambitu tat-TLPT, tal-fornituri terzi ta’ servizzi tal-entità finanzjarja, li qed jiddefendu l-użu tan-network u tas-sistemi tal-informazzjoni ta’ entità finanzjarja billi jżommu l-qagħda tas-sigurtà tagħha kontra attakki simulati jew reali u li ma jkunux konxji bit-TLPT;

(4)

“kompiti tat-tim il-blu” tfisser kompiti li tipikament jitwettqu mit-tim il-blu bħaċ-ċentru tal-operazzjonijiet tas-sigurtà (SOC, security operation centre), is-servizzi tal-infrastruttura tal-ICT, is-servizzi tal-helpdesk, is-servizzi tal-ġestjoni tal-inċidenti fil-livell operazzjonali;

(5)

“tim l-aħmar” tfisser it-testers, interni jew esterni, ikkuntrattati għal TLPT jew assenjati miegħu;

(6)

“użu tat-tim il-vjola” tfisser attività kollaborattiva ta’ ttestjar li tinvolvi kemm lit-testers kif ukoll lit-tim il-blu;

(7)

“awtorità tat-TLPT” tfisser kwalunkwe waħda minn dawn li ġejjin:

(8)

“Tim Ċibernetiku tat-TLPT” jew “TCT” (TLPT Cyber Team) tfisser il-persunal fi ħdan l-awtoritajiet tat-TLPT li huwa responsabbli għal kwistjonijiet relatati mat-TLPT;

(9)

“maniġers tat-testijiet” tfisser persunal deżinjat biex imexxi l-attivitajiet tal-awtorità tat-TLPT għal TLPT speċifiku biex tiġi mmonitorjata l-konformità ma’ dan ir-Regolament;

(10)

“fornitur tal-intelligence dwar it-theddid” tfisser l-esperti, ikkuntrattati mill-entità finanzjarja għal kull TLPT, u li jkunu esterni għall-entità finanzjarja u għall-fornituri intragrupp ta’ servizzi tal-ICT jekk ikun hemm, li jiġbru u janalizzaw l-intelligence dwar it-theddid immirat rilevanti għall-entitajiet finanzjarji fl-ambitu ta’ eżerċizzju speċifiku tat-TLPT u li jiżviluppaw xenarji ta’ theddid rilevanti u realistiċi korrispondenti;

(11)

“fornituri tat-TLPT” tfisser testers u fornituri tal-intelligence dwar it-theddid;

(12)

“leg-up” tfisser l-assistenza jew l-informazzjoni provduta mit-tim ta’ kontroll lit-testers biex it-testers ikunu jistgħu jkomplu l-eżekuzzjoni ta’ perkors ta’ attakk meta ma jkunux jistgħu javvanzaw waħedhom, u fejn ma tkun teżisti l-ebda alternattiva raġonevoli oħra, inkluż minħabba żmien jew riżorsi insuffiċjenti f’TLPT partikolari;

(13)

“perkors ta’ attakk” tfisser ir-rotta segwita mit-testers matul il-fażi attiva tal-ittestjar tat-tim l-aħmar tat-TLPT biex jintlaħqu l-marki speċifikati għal dak it-TLPT;

(14)

“marki” huma objettivi ewlenin fis-sistemi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti ta’ entità finanzjarja li t-testers jippruvaw jiksbu permezz tat-test;

(15)

“informazzjoni sensittiva” tfisser informazzjoni li tista’ tiġi sfruttata faċilment biex isiru attakki kontra s-sistemi tal-ICT tal-entità finanzjarja, il-proprjetà intellettwali, id-data kummerċjali kunfidenzjali, jew id-data personali, li tista’ tagħmel ħsara direttament jew indirettament lill-entità finanzjarja u lill-ekosistema tagħha jekk din taqa’ f’idejn atturi malizzjużi;

(16)

“aggregazzjoni” tfisser l-entitajiet finanzjarji kollha li jipparteċipaw f’TLPT aggregat skont l-Artikolu 26(4) tar-Regolament (UE) 2022/2554;

(17)

“Stat Membru ospitanti” tfisser l-Istat Membru ospitanti f’konformità mal-liġi settorjali tal-Unjoni applikabbli għal kull entità finanzjarja;

(18)

“TLPT konġunt” tfisser TLPT, għajr TLPT aggregat kif imsemmi fl-Artikolu 26(4) tar-Regolament (UE) 2022/2554, li jinvolvi diversi entitajiet finanzjarji li jużaw l-istess fornitur intragrupp ta’ servizzi tal-ICT, jew li jappartjenu għall-istess grupp u jikkondividu s-sistemi tal-ICT.