(1)

Niniejsze rozporządzenie zostało opracowane zgodnie z ramami TIBER-EU i odzwierciedla metodykę, proces i strukturę testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT) opisanych w TIBER-EU. Podmioty finansowe podlegające obowiązkowi przeprowadzania TLPT mogą odwoływać się do ram TIBER-EU lub krajowych przepisów wdrażających te ramy i stosować te ramy lub przepisy, o ile są one zgodne z wymogami określonymi w art. 26 i 27 rozporządzenia (UE) 2022/2554 oraz w niniejszym rozporządzeniu. Wyznaczenie jednego organu publicznego w sektorze finansowym odpowiedzialnego na poziomie krajowym za kwestie związane z TLPT zgodnie z art. 26 ust. 9 rozporządzenia (UE) 2022/2554 powinno pozostawać bez uszczerbku dla kompetencji właściwych organów w zakresie nadzoru nad niektórymi podmiotami finansowymi powierzonych na poziomie Unii - zgodnie z art. 46 tego rozporządzenia - organom takim jak na przykład Europejski Bank Centralny w odniesieniu do istotnych instytucji kredytowych, które to organy należy uznać za właściwe w kwestiach związanych z TLPT. W przypadku gdy tylko niektóre zadania związane z TLPT są przekazywane innemu organowi krajowemu w sektorze finansowym na podstawie art. 26 ust. 10 rozporządzenia (UE) 2022/2554, organem właściwym dla zadań związanych z TLPT, które nie zostały przekazane, powinien nadal być właściwy organ w odniesieniu do danego podmiotu finansowego wskazany w art. 46 tego rozporządzenia.

(2)

Biorąc pod uwagę złożoność TLPT i związane z nimi ryzyko, ich stosowanie powinno być ograniczone do tych podmiotów finansowych, w przypadku których jest to uzasadnione. W związku z tym organy odpowiedzialne za kwestie związane z TLPT (organy ds. TLPT na szczeblu unijnym albo krajowym) powinny wyłączyć z zakresu TLPT te podmioty finansowe, które działają w podsektorach podstawowych usług finansowych, w przypadku których przeprowadzanie TLPT nie jest uzasadnione. Oznacza to, że instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, centralne depozyty papierów wartościowych, kontrahenci centralni, systemy obrotu, zakłady ubezpieczeń i zakłady reasekuracji, mimo że spełniają kryteria ilościowe, mogą zostać zwolnione z wymogu przeprowadzania TLPT w świetle ogólnej oceny ich profilu ryzyka związanego z ICT i zaawansowania pod względem ICT, wpływu na sektor finansowy i związanych z tym kwestii dotyczących stabilności finansowej.

(3)

Organy ds. TLPT powinny ocenić - w świetle ogólnej oceny profilu ryzyka związanego z ICT i zaawansowania pod względem ICT, wpływu na sektor finansowy oraz związanych z tym kwestii dotyczących stabilności finansowej - czy któryś rodzaj podmiotu finansowego inny niż instytucje kredytowe, instytucje płatnicze, instytucje pieniądza elektronicznego, kontrahenci centralni, centralne depozyty papierów wartościowych, systemy obrotu, zakłady ubezpieczeń i zakłady reasekuracji powinien podlegać obowiązkowi przeprowadzania TLPT. Ocena, czy takie podmioty finansowe spełniają wspomniane kryteria jakościowe, powinna służyć określeniu - przy użyciu obiektywnych wskaźników międzysektorowych - podmiotów finansowych, dla których przeprowadzanie TLPT jest właściwe. Jednocześnie ocena, czy podmiot finansowy spełnia te kryteria jakościowe, powinna ograniczyć podmioty objęte TLPT do tych, dla których przeprowadzenie testów jest uzasadnione. To, czy podmiot finansowy spełnia te kryteria jakościowe, należy również oceniać w świetle rozwoju nowych rynków i rosnącego znaczenia dla sektora finansowego w przyszłości nowych uczestników rynku, w tym dostawców usług w zakresie kryptoaktywów, którzy uzyskali zezwolenie zgodnie z art. 59 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/1114 (2).

(4)

Podmioty finansowe mogą mieć tego samego dostawcę usług ICT wewnątrz grupy lub mogą należeć do tej samej grupy i korzystać ze wspólnych systemów ICT. W takim przypadku ważne jest, aby dokonując oceny, czy podmiot finansowy powinien podlegać obowiązkowi przeprowadzania TLPT oraz czy TLPT powinny być przeprowadzane na poziomie podmiotu czy na poziomie grupy (w ramach wspólnych TLPT), organy ds. TLPT brały pod uwagę strukturę tego podmiotu finansowego i jego systemowy charakter lub znaczenie dla sektora finansowego na poziomie krajowym lub unijnym.

(5)

Aby odzwierciedlać ramy TIBER-EU, w metodyce testowania należy przewidzieć zaangażowanie następujących głównych uczestników: podmiotu finansowego, wraz z zespołem typu control team (odpowiadającym zespołowi typu control team w TIBER-EU) i zespołem typu blue team (odpowiadającym zespołowi typu blue team w TIBER-EU), oraz organu ds. TLPT, w postaci zespołu typu TLPT cyber team (odpowiadającego zespołowi typu TIBER cyber team w TIBER-EU), a także dostawcę analizy zagrożeń i testerów (przy czym testerzy odpowiadają dostawcy zespołu typu red team w TIBER-EU).

(6)

W celu zapewnienia, aby podczas TLPT wykorzystano doświadczenia zdobyte w ramach wdrażania TIBER-EU, oraz w celu zmniejszenia ryzyka związanego z przeprowadzaniem TLPT należy zapewnić, aby obowiązki zespołów typu TLPT cyber team, które mają zostać ustanowione na poziomie organów ds. TLPT, jak najściślej odpowiadały obowiązkom zespołów typu cyber team w TIBER-EU. W związku z tym zespoły typu TLPT cyber team powinny mieć kierowników testów, którzy będą odpowiedzialni za nadzorowanie poszczególnych TLPT oraz za ich planowanie i koordynację. Zespoły typu TLPT cyber team powinny pełnić rolę pojedynczego punktu kontaktowego na potrzeby przekazywania wewnętrznym i zewnętrznym zainteresowanym stronom informacji dotyczących testów, gromadzenia i przetwarzania informacji zwrotnych i wniosków wyciągniętych z wcześniej przeprowadzonych testów oraz wspierania podmiotów finansowych poddawanych TLPT.

(7)

Aby naśladować metodykę ram TIBER-EU, kierownicy testów powinni posiadać umiejętności i zdolności niezbędne do zapewniania doradztwa i kwestionowania propozycji testerów. Z doświadczenia zdobytego w ramach TIBER-EU wynika, że do każdego testu warto przydzielić co najmniej dwóch kierowników testów. Aby odzwierciedlić fakt, że celem TLPT jest zachęcanie do wyciągania wniosków, oraz aby chronić poufność testów, zdecydowanie zaleca się organom ds. TLPT, o ile nie brakuje im personelu lub ekspertów, aby na czas trwania TLPT kierownicy testów nie prowadzili działań nadzorczych w stosunku do tego samego podmiotu finansowego, który jest poddawany TLPT.

(8)

Dla zachowania spójności z ramami TIBER-EU ważne jest, aby organ ds. TLPT uważnie śledził testowanie na każdym z jego etapów. Biorąc pod uwagę charakter testów i związane z nimi ryzyko, zasadnicze znaczenie ma zaangażowanie organu ds. TLPT w każdy konkretny etap testów. W szczególności należy konsultować z organem ds. TLPT i poddawać zatwierdzeniu przez niego te oceny lub decyzje podmiotów finansowych, które mogą z jednej strony wpływać na skuteczność testu, a z drugiej strony mieć wpływ na ryzyko związane z testem. Podstawowe kroki, w odniesieniu do których konieczne jest szczególne zaangażowanie organu ds. TLPT, obejmują zatwierdzanie niektórych podstawowych dokumentów dotyczących testów, a także wybór dostawców analizy zagrożeń i testerów oraz środków zarządzania ryzykiem. Zaangażowanie organów ds. TLPT, w szczególności w przypadku zatwierdzania, nie powinno skutkować nadmiernym obciążeniem dla tych organów, a zatem powinno być ograniczone do tych dokumentów i decyzji, które mają bezpośredni wpływ na przeprowadzanie TLPT. Dzięki aktywnemu udziałowi w każdej fazie testów organy ds. TLPT mogą skutecznie ocenić spełnianie przez podmioty finansowe odpowiednich wymogów, co powinno umożliwić tym organom wydawanie poświadczeń zgodnie z art. 26 ust. 7 rozporządzenia (UE) 2022/2554.

(9)

Poufność TLPT ma ogromne znaczenie dla zapewnienia realistycznych warunków testowania. Z tego powodu testy powinny być niejawne i należy wprowadzić środki ostrożności w celu zachowania ich poufności, w tym nadając TLPT kryptonimy, które powinny być skonstruowane w taki sposób, aby uniemożliwić identyfikację TLPT przez osoby trzecie. Gdyby pracownicy odpowiedzialni za bezpieczeństwo podmiotu finansowego byli świadomi planowanych lub trwających TLPT, istnieje prawdopodobieństwo, że byliby bardziej uważni i czujni niż w normalnych warunkach pracy, co skutkowałoby zmienionym wynikiem testów. Pracownicy podmiotu finansowego nienależący do zespołu typu control team powinni być zatem informowani o wszelkich planowanych lub trwających TLPT tylko wtedy, gdy istnieją ku temu uzasadnione powody, i z zastrzeżeniem uprzedniej zgody kierowników testów, między innymi w celu zapewnienia tajności testu w przypadku wykrycia testowania przez członka zespołu typu blue team.

(10)

Jak wynika z doświadczeń zgromadzonych w ramach TIBER-EU w odniesieniu do zespołu typu control team, do bezpiecznego przeprowadzenia TLPT niezbędny jest wybór odpowiedniego lidera zespołu typu control team. Lider zespołu typu control team powinien być odpowiednio upoważniony przez podmiot finansowy do kierowania wszystkimi aspektami testów, bez narażania ich poufności. Z tego samego powodu członkowie zespołu typu control team powinni dysponować dogłębną wiedzą na temat podmiotu finansowego, roli lidera zespołu typu control team i jego strategicznej pozycji, powinni mieć odpowiednie starszeństwo służbowe oraz powinni mieć dostęp do zarządu. Aby ograniczyć ryzyko niepowodzenia TLPT, zespół typu control team powinien być jak najmniejszy.

(11)

TLPT wiążą się z nieodłącznymi elementami ryzyka, ponieważ krytyczne funkcje są testowane w działającym na bieżąco środowisku produkcyjnym, co może powodować incydenty odmowy dostępu, nieoczekiwane awarie systemu, uszkodzenia działających na bieżąco krytycznych systemów produkcyjnych lub utratę, modyfikację bądź ujawnienie danych. Zagrożenia te uwydatniają potrzebę stosowania solidnych środków zarządzania ryzykiem. W celu zapewnienia, aby TLPT były przeprowadzane w sposób kontrolowany przez cały czas ich trwania, bardzo ważne jest, aby podmioty finansowe były w każdym momencie świadome szczególnego ryzyka, które występuje w przypadku TLPT, oraz aby ryzyko to było ograniczane. W tym względzie, bez uszczerbku dla wewnętrznych procesów podmiotu finansowego oraz odpowiedzialności i uprawnień już przekazanych liderowi zespołu typu control team, zasadne może być informowanie o środkach zarządzania ryzykiem związanym TLPT lub, w szczególnych przypadkach, zatwierdzenie tych środków zarządzania ryzykiem przez sam organ zarządzający podmiotu finansowego. W celu zmniejszenia tego ryzyka oraz zapewnienia, by specjalistyczne usługi świadczone przez testerów i dostawców analizy zagrożeń (zwanych łącznie „dostawcami TLPT”) były najwyższej jakości, niezbędne jest również, aby odznaczali się oni najwyższym poziomem umiejętności, wiedzy fachowej i odpowiednim doświadczeniem w zakresie analizy zagrożeń i TLPT w branży usług finansowych.

(12)

Konwencjonalne testy penetracyjne pozwalają na szczegółową i użyteczną ocenę podatności technicznych i konfiguracyjnych często pojedynczego systemu lub wydzielonego środowiska, ale w przeciwieństwie do opartych na analizie zagrożeń testów z udziałem zespołu typu red team nie obejmują pełnego scenariusza ukierunkowanego ataku na cały podmiot, w tym wszystkich jego pracowników, wszystkie procesy i technologie. Dokonując wyboru dostawców TLPT, podmioty finansowe powinny zatem zapewnić, aby dostawcy ci posiadali umiejętności wymagane do przeprowadzania opartych na analizie zagrożeń testów z udziałem zespołu typu red team, a nie tylko testów penetracyjnych. Konieczne jest zatem ustanowienie kompleksowych kryteriów dla testerów, zarówno wewnętrznych, jak i zewnętrznych, oraz dostawców analizy zagrożeń, zawsze zewnętrznych. W przypadku gdy dostawcy TLPT należą do tego samego przedsiębiorstwa, należy odpowiednio oddzielić pracowników wyznaczonych do TLPT.

(13)

W wyjątkowych okolicznościach podmioty finansowe mogą nie być w stanie zawrzeć umowy z dostawcami TLPT spełniającymi wspomniane kompleksowe kryteria. Po udowodnieniu niedostępności takich dostawców analizy zagrożeń podmioty finansowe powinny mieć zatem możliwość zaangażowania osób, które nie spełniają wszystkich kompleksowych kryteriów, pod warunkiem że odpowiednio ograniczą one wszelkie wynikające z tego dodatkowe ryzyko oraz że organ ds. TLPT dokona oceny wszystkich tych kryteriów.

(14)

W przypadku gdy w TLPT zaangażowanych jest kilka podmiotów finansowych i kilka organów ds. TLPT, w celu przeprowadzenia jak najbardziej efektywnych i bezpiecznych testów należy określić role wszystkich stron w procesie TLPT. Na potrzeby testowania zbiorczego konieczne jest wprowadzenie szczegółowych wymogów określających rolę wyznaczonego podmiotu finansowego, a mianowicie, że powinien on być odpowiedzialny za dostarczenie całej niezbędnej dokumentacji wiodącemu organowi ds. TLPT oraz za monitorowanie procesu testowania. Wyznaczony podmiot finansowy powinien również odpowiadać za wspólne aspekty oceny zarządzania ryzykiem. Niezależnie od roli wyznaczonego podmiotu finansowego obowiązki każdego podmiotu finansowego uczestniczącego w procesie zbiorczego TLPT powinny pozostać niezmienione podczas testu zbiorczego. Ta sama zasada powinna mieć zastosowanie do wspólnych TLPT.

(15)

Jak pokazują doświadczenia z wdrażania ram TIBER-EU, najskuteczniejszym sposobem zapewnienia, aby testy były przeprowadzane we właściwy sposób, jest organizowanie stacjonarnych lub wirtualnych spotkań z udziałem wszystkich zainteresowanych stron (podmiotów finansowych, organów, testerów i dostawców analizy zagrożeń). Takie stacjonarne i wirtualne spotkania powinny zatem odbywać się na różnych etapach procesu, a w szczególności na etapie przygotowawczym podczas uruchomienia TLPT w celu ostatecznego ustalenia ich zakresu, na etapie testowania w celu sfinalizowania sprawozdania z analizy zagrożeń i planu testów z udziałem zespołu typu red team oraz w celu dokonywania cotygodniowych aktualizacji, a także na etapie zamykania testów w celu odtworzenia działań testerów i zespołu typu blue team, działań z udziałem zespołu typu purple team i wymiany informacji zwrotnych na temat TLPT.

(16)

Aby zapewnić sprawne przeprowadzanie TLPT, organ ds. TLPT powinien jasno przedstawić podmiotowi finansowemu swoje oczekiwania dotyczące testowania. W związku z tym kierownicy testów powinni zapewnić odpowiedni przepływ informacji do zespołu typu control team w ramach podmiotu finansowego oraz do dostawców TLPT.

(17)

Podmiot finansowy powinien wybrać krytyczne lub istotne funkcje, które będą objęte zakresem TLPT. Przy wyborze tych funkcji podmiot finansowy powinien opierać się na różnych kryteriach dotyczących znaczenia każdej funkcji dla samego podmiotu finansowego i dla sektora finansowego, na szczeblu unijnym i krajowym, nie tylko pod względem gospodarczym, ale również z uwzględnieniem symbolicznego lub politycznego statusu tej funkcji. Aby ułatwić płynne przejście do etapu gromadzenia danych na potrzeby analizy zagrożeń, zespół typu control team powinien przekazać testerom i dostawcy analizy zagrożeń, którzy nie są zaangażowani w proces ustalania zakresu, szczegółowe informacje na temat uzgodnionego zakresu.

(18)

Aby zapewnić testerom informacje potrzebne do symulacji rzeczywistego i realistycznego ataku na działające na bieżąco systemy podmiotu finansowego stanowiące podstawę jego krytycznych lub istotnych funkcji, dostawca analizy zagrożeń powinien gromadzić dane lub informacje dotyczące co najmniej dwóch kluczowych obszarów zainteresowania: celów, poprzez zidentyfikowanie potencjalnych powierzchni ataku w całym podmiocie finansowym, oraz zagrożeń, poprzez zidentyfikowanie odnośnych agresorów i prawdopodobnych scenariuszy zagrożeń. W celu zapewnienia, aby dostawca analizy zagrożeń uwzględnił zagrożenia istotne dla podmiotu finansowego, testerzy, zespół typu control team i kierownicy testów powinni udzielić mu informacji zwrotnej na temat projektu sprawozdania z analizy zagrożeń. Jako punkt odniesienia dla krajowego krajobrazu zagrożeń dostawca analizy zagrożeń może wykorzystać ogólny krajobraz zagrożeń stworzony przez organ ds. TLPT dla sektora finansowego danego państwa członkowskiego, o ile jest on dostępny. Jak wynika ze stosowania ram TIBER-EU, proces gromadzenia informacji na potrzeby analizy zagrożeń trwa zazwyczaj około 4 tygodni.

(19)

Aby umożliwić testerom uzyskanie szczegółowych informacji i dalszy przegląd dokumentu określającego zakres i sprawozdania z ukierunkowanej analizy zagrożeń w celu sfinalizowania planu testów z udziałem zespołu typu red team, ważne jest, aby przed etapem testowania TLPT z udziałem zespołu typu red team testerzy otrzymali od dostawcy analizy zagrożeń szczegółowe wyjaśnienia dotyczące sprawozdania z ukierunkowanej analizy zagrożeń i analizy możliwych scenariuszy zagrożeń.

(20)

Aby umożliwić testerom przeprowadzenie realistycznych i kompleksowych testów, w ramach których przeprowadzane są wszystkie etapy ataku i osiągane są flagi, należy przydzielić wystarczająco dużo czasu na etap aktywnego testowania z udziałem zespołu typu red team. Z doświadczeń z ramami TIBER-EU wynika, że czas ten powinien wynosić co najmniej 12 tygodni i powinien on zostać określony z uwzględnieniem liczby zaangażowanych stron, zakresu TLPT, zasobów zaangażowanego podmiotu finansowego lub zaangażowanych podmiotów finansowych, wszelkich wymogów zewnętrznych oraz dostępności informacji uzupełniających dostarczonych przez podmiot finansowy.

(21)

Podczas etapu aktywnego testowania z udziałem zespołu typu red team testerzy powinni stosować szereg taktyk, technik i procedur w celu odpowiedniego przetestowania działających na bieżąco systemów produkcyjnych podmiotu finansowego. Taktyki, techniki i procedury powinny obejmować, w stosownych przypadkach, rozpoznanie (tj. zgromadzenie jak największej ilości informacji na temat celu), zbrojenie (tj. analizę informacji na temat infrastruktury, obiektów i pracowników oraz przygotowanie się do operacji właściwych dla danego celu), realizację (tj. aktywne rozpoczęcie pełnej operacji w odniesieniu do celu), exploity (tj. działania testerów, których celem jest naruszenie integralności serwerów, sieci podmiotu finansowego i wykorzystanie jego personelu poprzez inżynierię społeczną), kontrolę i przemieszczanie się (tj. próby przejścia od systemów, których integralność została naruszona, do systemów bardziej podatnych na zagrożenia lub systemów o wysokiej wartości) oraz działania dotyczące celów (tj. uzyskanie dalszego dostępu do systemów, których integralność została naruszona, i uzyskanie dostępu do wcześniej uzgodnionych informacji i danych dotyczących celów, zgodnie z wcześniejszymi ustaleniami w planie testów z udziałem zespołu typu red team).

(22)

Przeprowadzając TLPT, tester powinien działać z uwzględnieniem czasu dostępnego na przeprowadzenie ataku, zasobów oraz granic etycznych i prawnych. Jeżeli testerzy nie są w stanie przejść do kolejnego zaplanowanego etapu ataku, zespół typu control team powinien, za zgodą organu ds. TLPT, zapewnić im okazjonalną pomoc w postaci „ułatwień”. Ułatwienia można ogólnie podzielić na ułatwienia w postaci informacji i ułatwienia w postaci dostępu i mogą one polegać na zapewnieniu dostępu do systemów ICT lub sieci wewnętrznych w celu kontynuowania testów i skupienia się na kolejnych etapach ataku.

(23)

Podczas etapu aktywnego testowania z udziałem zespołu typu red team - jeśli jest to konieczne, aby umożliwić kontynuację TLPT - w wyjątkowych okolicznościach i po wyczerpaniu wszystkich alternatywnych opcji w ostateczności należy zastosować wspólne testowanie, które obejmuje zarówno testerów, jak i zespół typu blue team. W kontekście takich ograniczonych działań z udziałem zespołu typu purple team można stosować następujące metody: „złap i wypuść”, w przypadku których testerzy próbują realizować scenariusze, dają się wykryć, a następnie wznawiają testowanie, „gry wojenne”, które umożliwiają bardziej złożone scenariusze testowania strategicznego procesu decyzyjnego, lub „wspólny dowód słuszności koncepcji”, który umożliwia testerom i członkom zespołu typu blue team wspólne zatwierdzanie konkretnych środków bezpieczeństwa, narzędzi lub technik w kontrolowanym i opartym na współpracy środowisku.

(24)

TLPT powinny być wykorzystywane jako doświadczenie umożliwiające wyciągniecie wniosków z myślą o zwiększeniu operacyjnej odporności cyfrowej podmiotów finansowych. W związku z tym zespół typu blue team i testerzy powinni odtworzyć atak i przeanalizować podjęte kroki, aby wyciągnąć wnioski z doświadczenia testowego przeprowadzonego we współpracy z testerami. W tym celu oraz aby umożliwić odpowiednie przygotowanie, przed podjęciem jakichkolwiek działań związanych z odtwarzaniem ataku należy udostępnić wszystkim stronom biorącym udział w odtwarzaniu sprawozdanie z testu sporządzone przez zespół typu red team oraz sprawozdanie z testu sporządzone przez zespół typu blue team. Ponadto na etapie zamykania należy przeprowadzić działania z udziałem zespołu typu purple team, aby zmaksymalizować doświadczenie edukacyjne. Metody, które można wykorzystać w działaniach z udziałem zespołu typu purple team na etapie zamykania, powinny obejmować dyskusje na temat alternatywnych scenariuszy ataków, zastosowanie w działających na bieżąco systemach scenariuszy alternatywnych lub ponowne zastosowanie w działających na bieżąco systemach zaplanowanych scenariuszy, których testerzy nie byli w stanie ukończyć lub zrealizować na etapie testowania.

(25)

Aby jeszcze bardziej ułatwić wszystkim stronom zaangażowanym w TLPT zdobywanie wiedzy - na potrzeby przyszłych testów oraz w celu zwiększenia operacyjnej odporności cyfrowej podmiotów finansowych - zainteresowane strony powinny przekazywać sobie nawzajem informacje zwrotne na temat całego procesu, a w szczególności określać, które działania przebiegły dobrze, a które można by ulepszyć, oraz które aspekty procesu TLPT sprawdziły się, a które można dopracować.

(26)

Właściwe organy, o których mowa w art. 46 rozporządzenia (UE) 2022/2554, oraz organy ds. TLPT, jeżeli nie są to te same organy, powinny ze sobą współpracować w celu włączenia do istniejących procesów nadzorczych zaawansowanych testów w postaci TLPT. W związku z tym oraz w celu wspólnego prawidłowego rozumienia ustaleń wynikających z TLPT i sposobu ich interpretacji właściwe jest - w szczególności w odniesieniu do sprawozdania podsumowującego z testów i planów działań naprawczych - nawiązanie ścisłej współpracy między kierownikami testów, którzy byli zaangażowani w TLPT, a odpowiedzialnymi organami nadzoru.

(27)

W art. 26 ust. 8 akapit pierwszy rozporządzenia (UE) 2022/2554 nałożono na podmioty finansowe wymóg zlecania co trzeciego testu testerom zewnętrznym. W przypadku gdy podmioty finansowe włączają do zespołu testerów zarówno testerów wewnętrznych, jak i zewnętrznych, do celów tego artykułu należy uznać takie TLPT za przeprowadzone z udziałem testerów wewnętrznych.

(28)

Podstawę niniejszego rozporządzenia stanowi projekt regulacyjnych standardów technicznych przedłożony Komisji przez Europejski Urząd Nadzoru Bankowego, Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych oraz Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (Europejskie Urzędy Nadzoru), w porozumieniu z Europejskim Bankiem Centralnym.

(29)

Europejskie Urzędy Nadzoru przeprowadziły otwarte konsultacje publiczne na temat projektu regulacyjnych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, dokonały analizy potencjalnych powiązanych kosztów i korzyści oraz zwróciły się o opinię do Bankowej Grupy Interesariuszy powołanej zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (3), do Grupy Interesariuszy z Sektora Ubezpieczeń i Reasekuracji oraz Grupy Interesariuszy z Sektora Pracowniczych Programów Emerytalnych powołanych zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (4) oraz do Grupy Interesariuszy z Sektora Giełd i Papierów Wartościowych powołanej zgodnie z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (5).

(30)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (6) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 20 sierpnia 2024 r.,

1.

Ogólny zakres badań wywiadowczych obejmujący co najmniej następujące elementy:

2.

Ogólna ocena tego, jakie konkretne i użyteczne operacyjnie dane wywiadowcze można znaleźć na temat podmiotu finansowego, w tym:

3.

Analiza zagrożeń z uwzględnieniem ogólnego krajobrazu zagrożeń i szczególnej sytuacji podmiotu finansowego, w tym co najmniej:

4.

Profile zagrożeń złośliwych podmiotów (konkretnego podmiotu/konkretnej grupy podmiotów lub ogólnej klasy), które mogą zaatakować podmiot finansowy, w tym systemy podmiotu finansowego, w przypadku których istnieje największe prawdopodobieństwo, że ich integralność zostanie naruszona przez złośliwe podmioty lub że staną się one celem ataku ze strony tych podmiotów, możliwa motywacja, zamiary i uzasadnienie potencjalnego ataku ze strony złośliwych podmiotów oraz możliwy sposób działania agresorów.

5.

Scenariusze zagrożeń: co najmniej trzy kompleksowe scenariusze zagrożeń dla profili zagrożeń zidentyfikowanych zgodnie z pkt 4, które wykazują najwyższe poziomy krytyczności zagrożeń. Scenariusze zagrożenia opisują pełną ścieżkę ataku i obejmują co najmniej:

6.

W stosownych przypadkach opis scenariusza niezwiązanego z wyszukiwaniem istniejących zagrożeń, o którym mowa w art. 10 ust. 4.

a)

kanały i procedury komunikacji;

b)

taktyki, techniki i procedury, których stosowanie w ataku jest dozwolone i niedozwolone, w tym granice etyczne dla inżynierii społecznej;

c)

środki zarządzania ryzykiem, które mają być stosowane przez testerów;

d)

opis każdego scenariusza, w tym:

e)

szczegółowy opis każdej spodziewanej ścieżki ataku, w tym warunki wstępne i ewentualne ułatwienia, które ma zapewnić zespół typu control team, w tym terminy ich zapewnienia i potencjalne wykorzystanie;

f)

harmonogram działań zespołu typu red team, w tym czas zaplanowany na realizację każdego scenariusza, podzielony co najmniej zgodnie z trzema etapami, które przechodzi tester w fazie testowania, a mianowicie wejściem do systemów ICT podmiotów finansowych, przejściem przez systemy ICT i wreszcie wykonaniem działań na celach i ostatecznym wydostaniem się z systemów ICT (etapy „wejścia”, „przejścia” i „wyjścia”);

g)

szczególne cechy infrastruktury podmiotów finansowych, które należy uwzględnić podczas testów;

h)

ewentualne dodatkowe informacje lub inne zasoby niezbędne testerom do realizacji scenariuszy.

a)

informacje o przeprowadzonym ataku, w tym:

b)

wszystkie znane testerom działania, które zostały przeprowadzone przez zespół typu blue team w celu zrekonstruowania ataku i złagodzenia jego skutków;

c)

wykryte podatności i inne ustalenia, w tym:

1.

dla każdego etapu ataku opisanego przez testerów w sprawozdaniu z testów sporządzanym przez zespół typu red team:

2.

ocenę ustaleń i zaleceń testerów;

3.

dowody ataku przeprowadzonego przez testerów zebrane przez zespół typu blue team;

4.

dokonaną przez zespół typu blue team analizę podstawowych przyczyn powodzenia ataków ze strony testerów;

5.

wykaz wyciągniętych wniosków i zidentyfikowanych możliwości poprawy;

6.

wykaz tematów, którymi należy się zająć w ramach działań z udziałem zespołu typu purple team.

a)

zaangażowane strony;

b)

plan projektu;

c)

zatwierdzony zakres, w tym uzasadnienie objęcia bądź nieobjęcia nim krytycznych lub istotnych funkcji, oraz zidentyfikowane systemy, procesy i technologie ICT wspierające krytyczne lub istotne funkcje objęte TLPT;

d)

wybrane scenariusze i wszelkie znaczące odstępstwa od sprawozdania z ukierunkowanej analizy zagrożeń;

e)

zrealizowane ścieżki ataku oraz zastosowane taktyki, techniki i procedury;

f)

zdobyte i niezdobyte flagi;

g)

ewentualne odstępstwa od planu testów z udziałem zespołu typu red team;

h)

ewentualne wykrycia przez zespół typu blue team;

i)

działania z udziałem zespołu typu purple team w fazie testowania, jeżeli zostały przeprowadzone, i związane z tym warunki;

j)

ewentualne ułatwienia;

k)

wprowadzone środki zarządzania ryzykiem;

l)

zidentyfikowane podatności i inne ustalenia, w tym ich krytyczność;

m)

analizę podstawowych przyczyn powodzenia ataków;

n)

wysokopoziomowy plan dotyczący środków zaradczych, łączący podatności na zagrożenia i inne ustalenia, ich podstawowe przyczyny i hierarchię ważności działań zaradczych;

o)

wnioski wyciągnięte z otrzymanych informacji zwrotnych.

a)

w odniesieniu do przeprowadzonych TLPT:

b)

w przypadku gdy w TLPT było zaangażowanych kilka organów ds. TLPT - informacje na temat pozostałych organów ds. TLPT i charakteru, w jakim były one zaangażowane;

c)

wykaz dokumentów przeanalizowanych przez organ ds. TLPT do celów wydania poświadczenia.