(1)

Ta uredba je bila pripravljena v skladu z okvirom TIBER-EU ter odraža metodologijo, postopek in strukturo penetracijskega testiranja na podlagi groženj (v nadaljnjem besedilu: TLPT), kot je opisano v TIBER-EU. Finančni subjekti, ki morajo izvajati TLPT, se lahko sklicujejo na okvir TIBER-EU ali eno od njegovih nacionalnih izvedb in ga uporabljajo, če je ta okvir ali izvedba v skladu z zahtevami iz členov 26 in 27 Uredbe (EU) 2022/2554 in te uredbe. Imenovanje enega samega javnega organa v finančnem sektorju, ki je na nacionalni ravni odgovoren za zadeve, povezane s TLPT, v skladu s členom 26(9) Uredbe (EU) 2022/2554, ne bi smelo posegati v pristojnost pristojnih organov, ki so na ravni Unije pooblaščeni za nadzor nekaterih finančnih subjektov v skladu s členom 46 navedene uredbe, kot je na primer Evropska centralna banka za pomembne kreditne institucije, ki se štejejo za pristojne za zadeve, povezane s TLPT. Kadar se le nekatere naloge, povezane s TLPT, prenesejo na drug nacionalni organ v finančnem sektorju v skladu s členom 26(10) Uredbe (EU) 2022/2554, bi moral pristojni organ finančnega subjekta iz člena 46 navedene uredbe ostati pristojni organ za naloge, povezane s TLPT, ki niso bile prenesene.

(2)

Glede na zapletenost TLPT in z njim povezana tveganja bi bilo treba njegovo uporabo omejiti na tiste finančne subjekte, za katere je upravičena. Zato bi morali organi, pristojni za vprašanja v zvezi s TLPT (organi za TLPT na ravni Unije ali nacionalni ravni), iz področja uporabe TLPT izključiti tiste finančne subjekte, ki delujejo v osrednjih podsektorjih finančnih storitev, za katere TLPT ni upravičen. To pomeni, da bi lahko bili kreditne institucije, plačilne institucije in institucije za izdajo elektronskega denarja, centralne depotne družbe, centralne nasprotne stranke, mesta trgovanja, zavarovalnice in pozavarovalnice, čeprav izpolnjujejo kvantitativna merila, oproščeni zahteve po TLPT ob upoštevanju celovite ocene njihovega profila tveganja in stopnje zrelosti na področju IKT, vpliva na finančni sektor in s tem povezanih pomislekov glede finančne stabilnosti.

(3)

Organi za TLPT bi morali ob upoštevanju celovite ocene profila tveganja in stopnje zrelosti na področju IKT, vpliva na finančni sektor in s tem povezanih pomislekov glede finančne stabilnosti oceniti, ali bi katera koli vrsta finančnega subjekta, ki ni kreditna institucija, plačilna institucija, institucija za izdajo elektronskega denarja, centralna nasprotna stranka, centralna depotna družba, mesto trgovanja, zavarovalnica ali pozavarovalnica, morala izvajati TLPT Ocena, ali taki finančni subjekti izpolnjujejo ta kvalitativna merila, bi morala biti namenjena temu, da se z uporabo medsektorskih in objektivnih kazalnikov opredelijo finančni subjekti, za katere je ustrezno izvajanje TLPT. Hkrati bi morala ocena, ali finančni subjekt izpolnjuje ta kvalitativna merila, omejiti subjekte, ki morajo izvajati TLPT, na tiste, za katere je testiranje upravičeno. Ali finančni subjekt izpolnjuje ta kvalitativna merila, bi bilo treba oceniti tudi glede na razvoj novih trgov in vse večji pomen novih udeležencev na trgu za finančni sektor v prihodnosti, vključno s ponudniki storitev v zvezi s kriptosredstvi, ki imajo dovoljenje v skladu s členom 59 Uredbe (EU) 2023/1114 Evropskega parlamenta in Sveta (2).

(4)

Finančni subjekti imajo lahko istega ponudnika storitev IKT znotraj skupine ali pripadajo isti skupini in uporabljajo skupne sisteme IKT. V tem primeru je pomembno, da organi za TLPT pri oceni, ali bi finančni subjekt moral izvajati TLPT in ali bi bilo treba TLPT izvajati na ravni subjekta ali skupine (v obliki skupinskega TLPT), upoštevajo strukturo in sistemski značaj ali pomen tega finančnega subjekta za finančni sektor na nacionalni ravni ali ravni Unije.

(5)

Da bi se odražal okvir TIBER-EU, mora metodologija testiranja zagotoviti sodelovanje naslednjih glavnih udeležencev: finančnega subjekta z nadzorno ekipo (ki odraža „nadzorno ekipo“ TIBER-EU) in modro ekipo (ki odraža „modro ekipo“ TIBER-EU) ter organa za TLPT v obliki kibernetske ekipe za TLPT (ki odraža „kibernetske ekipe TIBER“ TIBER-EU), ponudnika obveščevalnih podatkov o grožnjah in preizkuševalcev (pri čemer preizkuševalci odražajo „ponudnika rdeče ekipe“ TIBER-EU).

(6)

Za zagotovitev, da TLPT izkoristi izkušnje, pridobljene v okviru izvajanja TIBER-EU, in za zmanjšanje tveganj, povezanih z izvajanjem TLPT, bi bilo treba zagotoviti, da se odgovornosti kibernetskih ekip za TLPT, ki bodo vzpostavljene na ravni organov za TLPT, čim bolj ujemajo z odgovornostmi kibernetskih ekip TIBER-EU. Zato bi morale imeti kibernetske ekipe za TLPT vodje testiranja, ki so odgovorni za nadzor posameznih izvedb TLPT ter za načrtovanje in usklajevanje posameznih testov. Kibernetske ekipe za TLPT bi morale delovati kot enotna kontaktna točka za komunikacijo z notranjimi in zunanjimi deležniki v zvezi s testiranjem, za zbiranje in obdelavo povratnih informacij in izkušenj, pridobljenih s predhodno opravljenimi testi, ter za podporo finančnim subjektom, v katerih poteka TLPT.

(7)

Da bi se odražala okvirna metodologija TIBER-EU, bi morali imeti vodje testiranja potrebne spretnosti in zmogljivosti za svetovanje in kritičnost do predlogov preizkuševalcev. Izkušnje v okviru TIBER-EU so pokazale, da je koristno, če se za vsak test dodeli ekipa vsaj dveh vodij testiranja. Da bi se odrazilo, da se TLPT uporablja za spodbujanje učnih izkušenj, se zaradi varovanja zaupnosti testov in razen v primeru težav z viri ali s strokovnim znanjem močno priporoča, da organi za TLPT upoštevajo, da vodje testiranja v času trajanja TLPT ne bi smeli izvajati nadzornih dejavnosti v istem finančnem subjektu, v katerem poteka TLPT.

(8)

Zaradi skladnosti z okvirom TIBER-EU je pomembno, da organ za TLPT pozorno spremlja vse faze testiranja. Glede na naravo testiranja in z njim povezana tveganja je bistveno, da je organ za TLPT vključen v vsako posamezno fazo testiranja. Zlasti bi se bilo treba posvetovati z organom za TLPT, ki bi moral potrditi tiste ocene ali odločitve finančnih subjektov, ki lahko po eni strani vplivajo na učinkovitost testa, po drugi strani pa na tveganja, povezana s testom. Med temeljnimi koraki, pri katerih je potrebno posebno sodelovanje organa za TLPT, sta potrditev določene temeljne dokumentacije o testiranju ter izbira ponudnikov obveščevalnih podatkov o grožnjah in preizkuševalcev ter ukrepov za obvladovanje tveganj. Sodelovanje organov za TLPT, zlasti pri potrjevanju, ne bi smelo povzročiti prevelikega bremena za te organe, zato bi moralo biti omejeno na dokumentacijo in odločitve, ki neposredno vplivajo na izvajanje TLPT. Organi za TLPT lahko z dejavnim sodelovanjem v vsaki fazi testiranja učinkovito ocenijo skladnost finančnih subjektov z zadevnimi zahtevami, kar bi moralo tem organom omogočiti izdajanje potrdil v skladu s členom 26(7) Uredbe (EU) 2022/2554.

(9)

Tajnost TLPT je izjemno pomembna za zagotovitev realističnih pogojev testiranja. Zato bi moralo biti testiranje prikrito, za ohranitev zaupnosti TLPT pa bi bilo treba sprejeti previdnostne ukrepe, vključno z izbiro šifer, s katerimi bi tretjim osebam preprečili, da prepoznajo TLPT. Če bi bili zaposleni, ki so odgovorni za varnost finančne skupine, seznanjeni z načrtovanim ali potekajočim TLPT, bi bili verjetno bolj pazljivi in bolj pozorni kot v običajnih delovnih pogojih, zaradi česar bi bil rezultat testiranja drugačen. Zaposlene pri finančnem subjektu, ki niso v nadzorni ekipi, bi bilo zato treba o načrtovanem ali potekajočem TLPT obvestiti le v primeru tehtnih razlogov in s predhodnim soglasjem vodij testiranja, med drugim, da se zagotovi tajnost testiranja, če je kdo izmed članov modre ekipe odkril testiranje.

(10)

Kot kažejo izkušnje, pridobljene v okviru TIBER-EU v zvezi z „nadzorno ekipo“, je izbira ustreznega vodje nadzorne ekipe nujna za varno izvajanje TLPT. Vodja nadzorne ekipe mora imeti potrebna pooblastila v finančnem subjektu za usmerjanje vseh vidikov testiranja, ne da bi bila pri tem ogrožena njegova zaupnost. Iz istega razloga morajo biti člani nadzorne ekipe dobro seznanjeni s finančnim subjektom, delovno vlogo in strateškim položajem vodje nadzorne ekipe, imeti morajo zahtevano delovno dobo in dostop do upravnega odbora. Da bi zmanjšali tveganje ogrožanja zaupnosti TLPT, mora biti nadzorna ekipa čim manjša.

(11)

Obstajajo inherentni elementi tveganj, povezanih s TLPT, saj se kritične funkcije testirajo v aktivnem produkcijskem okolju, z možnostjo povzročitve incidentov za zavrnitev storitve, nepričakovanega sesutja sistema, poškodb kritičnih aktivnih produkcijskih sistemov ali izgube, spremembe ali razkritja podatkov. Ta tveganja poudarjajo potrebo po zanesljivih ukrepih za obvladovanje tveganj. Za zagotovitev nadzorovanega izvajanja TLPT med celotnim testiranjem je zelo pomembno, da se finančni subjekti na vseh točkah zavedajo posebnih tveganj, ki se pojavljajo pri TLPT, in da se ta tveganja zmanjšajo. V zvezi s tem je lahko brez poseganja v notranje postopke finančnega subjekta ter odgovornost in prenose, ki so že bili predloženi vodji nadzorne ekipe, ustrezno, da je upravljalni organ finančnega subjekta obveščen o ukrepih za obvladovanje tveganj TLPT, v posebnih primerih pa te ukrepe odobri. Da bi lahko zagotavljali učinkovite in visokokvalificirane strokovne storitve ter zmanjšali ta tveganja, je bistveno tudi, da imajo preizkuševalci in ponudniki obveščevalnih podatkov o grožnjah (skupaj ponudniki TLPT) najvišjo raven spretnosti, strokovnega znanja in ustreznih izkušenj na področju obveščevalnih podatkov o grožnjah in TLPT v sektorju finančnih storitev.

(12)

Konvencionalni penetracijski testi zagotavljajo podrobno in koristno oceno tehničnih in konfiguracijskih ranljivosti, ki pogosto zadevajo en sam sistem ali ločeno okolje, vendar v nasprotju s testom rdeče ekipe na podlagi obveščevalnih podatkov ne ocenjujejo izčrpnega scenarija ciljno usmerjenega napada na celoten subjekt, vključno s celotnim obsegom njegovih ljudi, postopkov in tehnologij. Med izbirnim postopkom ponudnikov TLPT bi morali finančni subjekti zato zagotoviti, da imajo ti ponudniki potrebne spretnosti za izvajanje testov rdeče ekipe na podlagi obveščevalnih podatkov in ne le penetracijskih testov. Zato je treba določiti celovita merila za preizkuševalce, tako notranje kot zunanje, ter ponudnike obveščevalnih podatkov o grožnjah, ki so vedno zunanji. Kadar ponudniki TLPT pripadajo istemu podjetju, bi bilo treba zaposlene, dodeljene za TLPT, ustrezno ločiti.

(13)

V izjemnih okoliščinah se lahko zgodi, da finančni subjekti ne morejo skleniti pogodbe s ponudniki TLPT, ki izpolnjujejo celovita merila. Finančnim subjektom, ki dokažejo nerazpoložljivost takih ponudnikov obveščevalnih podatkov o grožnjah, bi bilo zato treba dovoliti, da najamejo osebe, ki ne izpolnjujejo vseh celovitih meril, pod pogojem, da ustrezno zmanjšajo vsa iz tega izhajajoča dodatna tveganja in da organ za TLPT oceni vsa ta merila.

(14)

Kadar je v TLPT vključenih več finančnih subjektov in več organov za TLPT, bi bilo treba določiti vloge vseh strani v postopku TLPT za izvedbo najučinkovitejšega in najvarnejšega testiranja. Za namene skupnega testiranja so potrebne posebne zahteve za opredelitev vloge določenega finančnega subjekta, in sicer da bi moral biti odgovoren za zagotavljanje vse potrebne dokumentacije vodilnemu organu za TLPT in za spremljanje postopka testiranja. Določeni finančni subjekt bi moral biti odgovoren tudi za skupne vidike ocene obvladovanja tveganj. Ne glede na vlogo določenega finančnega subjekta bi morale obveznosti vsakega finančnega subjekta, ki sodeluje v postopku skupnega TLPT, med skupnim testiranjem ostati nespremenjene. Enako načelo bi se moralo uporabljati za skupinski TLPT.

(15)

Kot dokazujejo izkušnje z izvajanjem okvira TIBER-EU, je organizacija sestankov s fizično prisotnostjo ali virtualnih sestankov z vsemi zadevnimi deležniki (finančnimi subjekti, organi, preizkuševalci in ponudniki obveščevalnih podatkov o grožnjah) najučinkovitejši način za zagotovitev ustreznega izvajanja testiranja. Sestanki s fizično prisotnostjo in virtualni sestanki bi zato morali potekati v različnih fazah postopka, zlasti v pripravljalni fazi in ob začetku izvajanja TLPT za dokončno določitev njegovega obsega, v fazi testiranja, da se izdela poročilo o obveščevalnih podatkih o grožnjah in načrt testiranja rdeče ekipe ter za tedensko obveščanje, ter v zaključni fazi za ponovitev ukrepov preizkuševalcev in modre ekipe, povezovanje v vijolično ekipo in izmenjavo povratnih informacij o TLPT.

(16)

Za zagotovitev nemotenega izvajanja TLPT bi moral organ za TLPT finančnemu subjektu jasno predstaviti svoja pričakovanja v zvezi s testiranjem. V zvezi s tem bi morali vodje testiranja zagotoviti vzpostavitev ustreznega pretoka informacij z nadzorno ekipo znotraj finančnega subjekta in s ponudniki TLPT.

(17)

Finančni subjekt bi moral izbrati kritične ali pomembne funkcije, ki bodo vključene v obseg TLPT. Pri izbiri teh funkcij bi se moral finančni subjekt opreti na različna merila glede na pomembnost vsake funkcije za sam finančni subjekt in za finančni sektor na ravni Unije in nacionalni ravni, ne le v gospodarskem smislu, temveč tudi ob upoštevanju simboličnega ali političnega statusa funkcije. Za lažji prehod v fazo zbiranja obveščevalnih podatkov o grožnjah bi morala nadzorna ekipa preizkuševalcem in ponudnikom obveščevalnih podatkov o grožnjah, ki niso vključeni v postopek določanja obsega, zagotoviti podrobne informacije o dogovorjenem določanju obsega.

(18)

Da bi preizkuševalcem zagotovili informacije, potrebne za simulacijo resničnega in realističnega napada na aktivne sisteme finančnega subjekta, na katerih temeljijo njegove kritične ali pomembne funkcije, bi moral ponudnik obveščevalnih podatkov o grožnjah zbirati obveščevalne podatke ali informacije, ki zajemajo vsaj dve ključni interesni področji: tarče, tako da opredeli morebitne napadne površine v celotnem finančnem subjektu, in grožnje, tako da opredeli ustrezne akterje groženj in verjetne scenarije groženj. Da se zagotovi, da ponudnik obveščevalnih podatkov o grožnjah upošteva relevantne grožnje za finančni subjekt, bi morali preizkuševalci, nadzorna ekipa in vodje testiranj podati povratne informacije glede osnutka poročila o obveščevalnih podatkih o grožnjah. Ponudnik obveščevalnih podatkov o grožnjah lahko kot izhodišče za nacionalno krajino groženj uporabi splošno krajino groženj, ki jo organ za TLPT zagotovi za finančni sektor države članice, če je na voljo. Na podlagi uporabe okvira TIBER-EU postopek zbiranja obveščevalnih podatkov o grožnjah običajno traja približno štiri tedne.

(19)

Da bi preizkuševalci lahko dobili vpogled in nadalje pregledali dokument s specifikacijo obsega in ciljno usmerjeno poročilo o obveščevalnih podatkih o grožnjah, da bi pripravili načrt testiranja rdeče ekipe, je bistveno, da preizkuševalci pred fazo testiranja rdeče ekipe v okviru TLPT od ponudnika obveščevalnih podatkov o grožnjah prejmejo podrobna pojasnila o ciljno usmerjenem poročilu o obveščevalnih podatkih o grožnjah in analizo možnih scenarijev groženj.

(20)

Da bi preizkuševalci lahko izvedli realistično in celovito testiranje, v katerem se izvedejo vse faze napada in dosežejo oznake, bi bilo treba za fazo aktivnega testiranja rdeče ekipe dodeliti dovolj časa. Na podlagi pridobljenih izkušenj v okviru TIBER-EU bi moral dodeljeni čas obsegati najmanj 12 tednov, določiti pa bi ga bilo treba ob upoštevanju števila udeleženih strani, obsega TLPT, virov vključenega finančnega subjekta ali subjektov, morebitnih zunanjih zahtev in razpoložljivosti podpornih informacij, ki jih predloži finančni subjekt.

(21)

V fazi aktivnega testiranja rdeče ekipe bi morali preizkuševalci uporabiti vrsto taktik, tehnik in postopkov za ustrezno testiranje aktivnih produkcijskih sistemov finančnega subjekta. Taktike, tehnike in postopki bi morali po potrebi vsebovati izvidništvo (tj. zbiranje čim več informacij o tarči), uporabo kot orožje (tj. analizo informacij o infrastrukturi, objektih in zaposlenih ter pripravo na specifične operacije proti tarči), izvedbo (tj. aktivni začetek obsežne operacije proti tarči), izkoriščanje (tj. kadar želi preizkuševalec ogroziti strežnike in omrežja finančnega subjekta ter izkoristiti njegove zaposlene s socialnim inženiringom), nadzor in premike (tj. poskuse prehoda z ogroženih sistemov na druge ranljive sisteme ali sisteme visoke vrednosti) ter ukrepe proti tarči (tj. pridobitev dodatnega dostopa do ogroženih sistemov in pridobitev dostopa do vnaprej dogovorjenih ciljnih informacij in podatkov, kot je bilo predhodno dogovorjeno v načrtu testiranja rdeče ekipe).

(22)

Pri izvajanju TLPT bi morali preizkuševalci upoštevati čas, ki je na voljo za izvedbo napada, vire ter etične in pravne omejitve. Če preizkuševalci ne morejo doseči načrtovane naslednje faze napada, jim mora nadzorna ekipa ob soglasju organa za TLPT občasno ponuditi pomoč. Taka pomoč na splošno pomeni pomoč v zvezi z informacijami in dostopom ter lahko vključuje zagotavljanje dostopa do sistemov IKT ali notranjih omrežij, da se testiranje lahko nadaljuje in se osredotoči na naslednje korake napada.

(23)

Med aktivnim testiranjem rdeče ekipe bi bilo treba v fazi testiranja v primeru, da je to potrebno za nadaljevanje TLPT, kot zadnjo možnost v izjemnih okoliščinah in ko so bile izčrpane vse druge možnosti, izvesti dejavnost sodelovalnega testiranja, v katero bi bili vključeni tako preizkuševalci kot modra ekipa. V okviru tako omejenega povezovanja v vijolično ekipo se lahko uporabijo naslednje metode: „ulovi in izpusti“, pri kateri poskušajo preizkuševalci nadaljevati scenarije, so odkriti in nato nadaljujejo testiranje, „vojne igre“, ki omogočajo kompleksnejše scenarije za testiranje strateškega odločanja, ali „sodelovalna potrditev koncepta“, ki preizkuševalcem in članom modre ekipe omogoča, da skupaj potrdijo posebne varnostne ukrepe, orodja ali tehnike v nadzorovanem in sodelovalnem okolju.

(24)

TLPT bi bilo treba uporabiti kot učno izkušnjo za krepitev digitalne operativne odpornosti finančnih subjektov. V zvezi s tem bi morali modra ekipa in preizkuševalci ponoviti napad in pregledati ukrepe, ki so bili sprejeti, da bi se iz testiranja učili v sodelovanju s preizkuševalci. V ta namen in da se omogoči ustrezna priprava, bi bilo treba pred izvajanjem kakršnih koli dejavnosti ponovitve vsem stranem, vključenim v dejavnosti ponovitve, dati na voljo poročilo o testiranju rdeče ekipe in poročilo o testiranju modre ekipe. Poleg tega bi bilo treba v zaključni fazi izvesti povezovanje v vijolično ekipo, da bi čim bolj okrepili učno izkušnjo. Metode, ki se lahko uporabijo za povezovanje v vijolično ekipo v zaključni fazi, bi morale vključevati razprave o alternativnih scenarijih napada, raziskovanje alternativnih scenarijev na aktivnih sistemih ali ponovno raziskovanje načrtovanih scenarijev na aktivnih sistemih, ki jih preizkuševalci v fazi testiranja niso mogli dokončati ali izvesti.

(25)

Da bi se dodatno olajšala učna izkušnja vseh strani, vključenih v TLPT, v korist prihodnjih testiranj in da bi se okrepila digitalna operativna odpornost finančnih subjektov, bi si morale zadevne strani medsebojno zagotoviti povratne informacije o celotnem postopku in zlasti opredeliti, katere dejavnosti so dobro napredovale ali bi jih bilo mogoče izboljšati in kateri vidiki postopka TLPT so dobro delovali ali bi jih bilo mogoče izboljšati.

(26)

Pristojni organi iz člena 46 Uredbe (EU) 2022/2554 in organi za TLPT, kadar so različni, bi morali sodelovati pri vključevanju naprednega testiranja na podlagi TLPT v obstoječe nadzorne postopke. V zvezi s tem in za skupno pravilno razumevanje ugotovitev TLPT in njihove razlage je primerno, da se zlasti za zbirno poročilo o testiranju in sanacijske načrte vzpostavi tesno sodelovanje med vodji testiranja, ki so bili vključeni v TLPT, in odgovornimi nadzorniki.

(27)

Člen 26(8), prvi pododstavek, Uredbe (EU) 2022/2554 od finančnih subjektov zahteva, da sklenejo pogodbo z zunanjim preizkuševalcem za vsak tretji test. Kadar finančni subjekti v ekipo preizkuševalcev vključijo notranje in zunanje preizkuševalce, bi bilo treba to za namene navedenega člena šteti za TLPT, ki se izvaja z notranjimi preizkuševalci.

(28)

Ta uredba temelji na osnutku regulativnih tehničnih standardov, ki so ga Komisiji predložili Evropski bančni organ, Evropski organ za zavarovanja in poklicne pokojnine ter Evropski organ za vrednostne papirje in trge (v nadaljnjem besedilu: evropski nadzorni organi) v dogovoru z Evropsko centralno banko.

(29)

Evropski nadzorni organi so o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, opravili odprta javna posvetovanja, analizirali morebitne s tem povezane stroške in koristi ter prosili za nasvet interesno skupino za bančništvo, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (3), interesno skupino za zavarovanja in pozavarovanja ter interesno skupino za poklicne pokojninske sklade, ustanovljeni v skladu s členom 37 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (4), ter interesno skupino za vrednostne papirje in trge, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (5).

(30)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (6) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 20. avgusta 2024 –

(1)

„nadzorna ekipa“ pomeni ekipo, ki jo sestavljajo zaposleni pri finančnem subjektu, v katerem poteka testiranje, in, kadar je ustrezno, ob upoštevanju obsega penetracijskega testiranja na podlagi analize groženj (v nadaljnjem besedilu: TLPT), zaposleni pri njegovih tretjih ponudnikih storitev in katera koli druga stran, ki vodi testiranje;

(2)

„vodja nadzorne ekipe“ pomeni zaposlenega pri finančnem subjektu, ki je odgovoren za izvedbo vseh dejavnosti, povezanih s TLPT, za finančni subjekt v okviru določenega testiranja;

(3)

„modra ekipa“ pomeni zaposlene pri finančnem subjektu in, kadar je ustrezno, zaposlene pri tretjih ponudnikih storitev finančnega subjekta ter katero koli drugo stran, ki se šteje za pomembno glede na obseg TLPT, tretjih ponudnikov storitev finančnega subjekta, ki ščitijo uporabo omrežnih in informacijskih sistemov s strani finančnega subjekta tako, da ohranjajo njegovo varnostno stanje pred simuliranimi ali resničnimi napadi, in ki niso seznanjeni s TLPT;

(4)

„naloge modre ekipe“ pomenijo naloge, ki jih običajno izvaja modra ekipa, kot so center za varnostne operacije, infrastrukturne storitve IKT, storitve službe za pomoč uporabnikom in storitve obvladovanja incidentov na operativni ravni;

(5)

„rdeča ekipa“ pomeni preizkuševalce, notranje ali zunanje, s katerimi se sklene pogodba ali ki so dodeljeni za TLPT;

(6)

„povezovanje v vijolično ekipo“ pomeni dejavnost sodelovalnega testiranja, ki vključuje preizkuševalce in modro ekipo;

(7)

„organ za TLPT“ pomeni kar koli od naslednjega:

(8)

„kibernetska ekipa za TLPT“ pomeni zaposlene pri organih za TLPT, ki so odgovorni za zadeve, povezane s TLPT;

(9)

„vodje testiranja“ pomenijo zaposlene, imenovane za vodenje dejavnosti organa za TLPT za določen TLPT za spremljanje skladnosti s to uredbo;

(10)

„ponudnik obveščevalnih podatkov o grožnjah“ pomeni strokovnjake, s katerimi finančni subjekt sklene pogodbo za vsak TLPT, nepovezane s finančnim subjektom in morebitnimi ponudniki storitev IKT znotraj skupine, ki zbirajo in analizirajo ciljno usmerjene obveščevalne podatke o grožnjah, pomembne za finančne subjekte v okviru posameznega izvajanja TLPT, ter pripravijo ustrezne relevantne in realistične scenarije groženj;

(11)

„ponudniki TLPT“ pomenijo preizkuševalce in ponudnike obveščevalnih podatkov o grožnjah;

(12)

„pomoč“ pomeni pomoč ali informacije, ki jih nadzorna ekipa zagotovi preizkuševalcem, da slednji lahko nadaljujejo izvajanje napadne poti, kadar sami ne morejo napredovati in kadar ni druge razumne alternative, med drugim zaradi pomanjkanja časa ali virov v določenem TLPT;

(13)

„napadna pot“ pomeni pot, ki ji preizkuševalci sledijo v fazi aktivnega testiranja rdeče ekipe v okviru TLPT, da dosežejo oznake, določene za ta TLPT;

(14)

„oznake“ so ključni cilji sistemov IKT, ki podpirajo kritične ali pomembne funkcije finančnega subjekta, ki jih preizkuševalci poskušajo doseči s testiranjem;

(15)

„občutljive informacije“ pomenijo informacije, ki jih je mogoče zlahka izkoristiti za izvajanje napadov na sisteme IKT finančnega subjekta, intelektualno lastnino, zaupne poslovne podatke ali osebne podatke, ki lahko neposredno ali posredno škodujejo finančnemu subjektu in njegovemu ekosistemu, če bi prišle v roke zlonamernih akterjev;

(16)

„skupina“ pomeni vse finančne subjekte, ki sodelujejo v skupnem TLPT v skladu s členom 26(4) Uredbe (EU) 2022/2554;

(17)

„država članica gostiteljica“ pomeni državo članico gostiteljico v skladu s sektorskim pravom Unije, ki se uporablja za vsak finančni subjekt;

(18)

„skupinski TLPT“ pomeni TLPT, ki ni skupni TLPT iz člena 26(4) Uredbe (EU) 2022/2554 in ki vključuje več finančnih subjektov, ki uporabljajo istega ponudnika storitev IKT znotraj skupine ali pripadajo isti skupini in uporabljajo skupne sisteme IKT.