KOMISJONI DELEGEERITUD MÄÄRUS (EL) 2025/1190, 13. veebruar 2025, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 seoses regulatiivsete tehniliste standarditega, millega määratakse kindlaks kriteeriumid, mida kasutatakse nende finantssektori ettevõtjate kindlaks määramiseks, kellelt nõutakse ohuteabel põhinevat läbistustestimist, sisetestijate kasutamist reguleerivad nõuded ja standardid, nõuded, mis käsitlevad kohaldamisala, testimismetoodikat ja testimise igas etapis kasutatavat lähenemisviisi, tulemusi, lõpetamise ja parandamise etappi ning järelevalvealase ja muu asjaomase koostöö viise, mida on vaja ohuteabel põhineva läbistustestimise läbiviimiseks ja vastastikuse tunnustamise hõlbustamiseks (EMPs kohaldatav tekst)

(1)

Käesolev määrus on koostatud kooskõlas TIBER-EU raamistikuga ning see kajastab TIBER-EUs kirjeldatud ohuteabel põhineva läbistustestimise metoodikat, protsessi ja struktuuri. Finantssektori ettevõtjad, kes peavad tegema ohuteabel põhineva läbistustestimise, võivad kontrollida ja kasutada TIBER-EU raamistikku või mõnda selle riiklikest rakendusdokumentidest, kui kõnealune raamistik või rakendusdokument on kooskõlas määruse (EL) 2022/2554 artiklites 26 ja 27 ning käesolevas määruses sätestatud nõuetega. Finantssektoris ühe avaliku sektori asutuse määramine, kes vastutab määruse (EL) 2022/2554 artikli 26 lõike 9 kohaselt riiklikul tasandil ohuteabel põhineva läbistustestimisega seotud küsimuste eest, ei tohiks piirata pädevate asutuste pädevust, mis on antud liidu tasandil teatavate finantssektori ettevõtjate järelevalveks kooskõlas kõnealuse määruse artikliga 46, näiteks Euroopa Keskpank oluliste krediidiasutuste puhul, mida peetakse ohuteabel põhineva läbistustestimisega seotud küsimustes pädevaks. Kui ainult teatavate ohuteabel põhineva läbistustestimisega seotud ülesannete täitmine delegeeritakse teisele finantssektori riiklikule asutusele kooskõlas määruse (EL) 2022/2554 artikli 26 lõikega 10, siis peaks kõnealuse määruse artiklis 46 osutatud finantssektori ettevõtja jääma asutuseks, kes vastutab ohuteabel põhineva läbistustestimisega seotud ülesannete eest, mida ei ole delegeeritud.

(2)

Võttes arvesse ohuteabel põhineva läbistustestimise keerukust ja sellega seotud riske, peaks see piirduma finantssektori ettevõtjatega, kelle puhul see on põhjendatud. Seega peaksid ohuteabel põhineva läbistustestimisega seotud küsimuste eest vastutavad asutused (kas liidu või riikliku tasandi ohuteabel põhineva läbistustestimise asutused) arvama ohuteabel põhineva läbistustestimise kohaldamisalast välja need finantssektori ettevõtjad, kes tegutsevad põhiliste finantsteenuste allsektorites, mille puhul ohuteabel põhinev läbistustestimine ei ole põhjendatud. See tähendab, et krediidiasutused, makseasutused ja e-raha asutused, väärtpaberite keskdepositooriumid, kesksed vastaspooled, kauplemiskohad, kindlustus- ja edasikindlustusandjad võidakse vabastada ohuteabel põhineva läbistustestimise nõudest, arvestades nende IKT-riski profiili ja küpsust, finantssektorile avalduvat mõju ja asjakohaste finantsstabiilsusega seotud probleemide üldist hindamist, isegi kui nad vastavad kvantitatiivsetele kriteeriumidele.

(3)

Ohuteabel põhineva läbistustestimise asutused peaksid IKT-riski profiili ja küpsuse, finantssektorile avalduva mõju ja asjakohaste finantssektoriga seotud probleemide üldist hindamist arvesse võttes hindama, kas mõnda liiki finantssektori ettevõtja, kes ei ole krediidiasutus, makseasutus, e-raha asutus, keskne vastaspool, väärtpaberite keskdepositoorium, kauplemiskoht või kindlustus- ja edasikindlustusandja, peaks läbima ohuteabel põhineva läbistustestimise. Kõnealuste finantssektori ettevõtjate neile kvalitatiivsetele kriteeriumidele vastavuse hindamise eesmärk peaks olema teha valdkonnaülesete ja objektiivsete näitajate abil kindlaks finantssektori ettevõtjad, kelle puhul on kohane ohuteabel põhinev läbistustestimine. Samal ajal peaks selle hindamine, kas finantssektori ettevõtja vastab neile kvalitatiivsetele kriteeriumidele, piirduma ohuteabel põhineva läbistustestimise kohaldamisel ettevõtjatega, kelle puhul see testimine on põhjendatud. Finantssektori ettevõtja neile kvalitatiivsetele kriteeriumidele vastavuse hindamisel tuleks võtta arvesse ka uusi turusuundumusi ja uute turuosaliste, sh Euroopa Parlamendi ja nõukogu määruse (EL) 2023/1114 (2) artikli 59 alusel tegevusloa saanud krüptovarateenuse osutajate tulevikus finantssektoris kasvavat tähtsust.

(4)

Finantssektori ettevõtjatel võivad olla samad kontsernisisesed IKT-teenuste osutajad või nad võivad kuuluda samasse kontserni ja kasutada jagatud IKT-süsteeme. Sel juhul on oluline, et kui ohuteabel põhineva läbistustestimise asutused hindavad, kas finantssektori ettevõtja suhtes tuleks kohaldada ohuteabel põhinevat läbistustestimist ja kas ohuteabel põhinev läbistustestimine tuleks teha ettevõtja või kontserni tasandil (liidetud ohuteabel põhineva läbistustestimise teel), võtaksid nad arvesse kõnealuse finantssektori ettevõtja struktuuri ja süsteemset olemust või tähtsust finantssektori jaoks riiklikul või liidu tasandil.

(5)

TIBER-EU raamistiku kajastamiseks on oluline, et testimismetoodikaga tagataks järgmiste peamiste osaliste kaasamine: finantssektori ettevõtja kontrollitiimiga (täites sama osa kui TIBER-EU kontrollitiim) ja sinise tiimiga (sama osa kui TIBER-EU sinine tiim), ohuteabel põhineva läbistustestimise asutus ohuteabel põhineva läbistustestimise kübertiimiga (sama osa kui TIBER-EU TIBERi kübertiimid), ohuteadmuse pakkuja ja testijad (mille puhul testijad täidavad TIBER-EU punase tiimi pakkuja osa).

(6)

Tagamaks, et ohuteabel põhinev läbistustestimine saab kasu TIBER-EU rakendamise raamistikus omandatud kogemustest, ja ohuteabel põhineva läbistustestimisega seotud riskide vähendamiseks on vaja, et ohuteabel põhineva läbistustestimise asutuste tasandil loodavate ohuteabel põhineva läbistustestimise kübertiimide vastutusvaldkonnad vastavad võimalikult täpselt TIBER-EU kübertiimide vastutusvaldkondadele. Seega peaksid ohuteabel põhineva läbistustestimise kübertiimidel olema testijuhid, kes vastutavad individuaalsete ohuteabel põhinevate läbistustestimiste järelevalve eest ning individuaalsete testide kavandamise ja koordineerimise eest. Ohuteabel põhineva läbistustestimise kübertiimid peaksid tegutsema testidega seotud teabevahetuses ühtse kontaktpunktina sisemiste ja väliste sidusrühmade jaoks, et koguda ja töödelda tagasisidet ning varem tehtud testidest omandatud kogemusi ning toetada ohuteabel põhinevas läbistustestimises osalevaid finantssektori ettevõtjaid.

(7)

TIBER-EU raamistiku metoodika kajastamiseks peaksid testijuhtidel olema oskused ja võimekus, mida on vaja nõu andmiseks ja testijate ettepanekute vaidlustamiseks. TIBER-EU raamistikus saadud kogemused on näidanud, et on kasulik määrata igale testile vähemalt kahest testijuhist koosnev tiim. Selleks, et kajastada, et ohuteabel põhinevat läbistustestimist kasutatakse saadud kogemustest õppimise edendamiseks, testide konfidentsiaalsuse kaitsmiseks ning juhul, kui ei esine ressursside või eksperdioskuste puudust, kutsutakse ohuteabel põhineva läbistustestimise asutusi tungivalt üles võtma arvesse, et ohuteabel põhineva läbistustestimise ajal ei tohiks testijuhid täita järelevalveülesandeid sama finantssektori ettevõtja puhul, kes osaleb ohuteabel põhinevas läbistustestimises.

(8)

TIBER-EU raamistikuga järjepidevuse huvides on oluline, et ohuteabel põhineva läbistustestimise asutus jälgiks testimist selle igas etapis hoolikalt. Võttes arvesse testimise olemust ja sellega seotud riske, on määrava tähtsusega, et ohuteabel põhineva läbistustestimise asutus osaleks testimise igas konkreetses etapis. Ohuteabel põhineva läbistustestimise asutusega tuleks eelkõige konsulteerida nende finantssektori ettevõtja hindamiste või otsuste asjus, mis võivad ühelt poolt mõjutada testi tulemuslikkust ja teistelt poolt mõjutada testiga seotud riske, ning ta peaks need valideerima. Peamised etapid, mille puhul ohuteabel põhineva läbistustestimise asutuse konkreetne kaasamine on vajalik, hõlmavad testimise teatavate alusdokumentide valideerimist, ohuteadmuse pakkujate ja testijate valimist ning riskijuhtimismeetmeid. Ohuteabel põhineva läbistustestimise asutuste kaasamine, eelkõige valideerimiste puhul, ei tohiks tekitada neile asutustele liigset koormust ja peaks seega piirduma nende dokumentide ja otsustega, mis mõjutavad otseselt ohuteabel põhinevat läbistustestimist. Ohuteabel põhineva läbistustestimise asutused võivad testimise igas etapis aktiivse osalemise teel tulemuslikult hinnata finantssektori ettevõtjate vastavust asjakohastele nõuetele, mis peaks võimaldama neil asutustel väljastada määruse (EL) 2022/2554 artikli 26 lõike 7 kohased tõendid.

(9)

Ohuteabel põhineva läbistustestimise konfidentsiaalsus on määrava tähtsusega, et tagada, et testimistingimused on realistlikud. Seetõttu peaks testimine toimuma varjatult ja tuleks võtta kasutusele abinõusid ohuteabel põhineva läbistustestimise konfidentsiaalsuse säilitamiseks, sh valida sobilikud varjunimed, et takistada kolmandatel isikutel ohuteabel põhineva läbistustestimise kindlaks tegemist. Kui finantstiimi turvalisuse eest vastutavad töötajad oleksid kursis kavandatud või käimasoleva ohuteabel põhineva läbistustestimisega, siis on tõenäoline, et nad oleksid tähelepanelikumad ja rohkem valvel kui tavapärastes töötingimustes, mis muudaks testimise tulemust. Finantssektori ettevõtja töötajaid, kes ei ole kontrollitiimi liikmed, tuleks seega teavitada kavandatud või käimasolevast ohuteabel põhinevast läbistustestimisest ainult juhul, kui selleks on kaalukad põhjused, ja testijuhtide eelneval nõusolekul, muu hulgas selleks, et tagada testi konfidentsiaalsus, kui sinise tiimi liige on testimisest teada saanud.

(10)

Nagu on näidanud TIBER-EU raamistikus kontrollitiimiga saadud kogemused, on kontrollitiimi sobiliku juhi valimine ohuteabel põhineva läbistustestimise turvaliseks läbiviimiseks määrava tähtsusega. Kontrollitiimi juhil peaksid olema finantssektori ettevõtjas vajalikud volitused, et suunata kõiki testimise aspekte, seadmata ohtu selle konfidentsiaalsust. Samal põhjusel peaksid kontrollitiimi liikmetel olema põhjalikud teadmised finantssektori ettevõtjast, kontrollitiimi juhi rollist ja strateegilisest positsioonist, neil peaks olema piisavalt kõrge ametiaste ja kontakt juhtkonnaga. Ohuteabel põhineva läbistustestimisega seotud infolekke riski vähendamiseks peaks kontrollitiim olema võimalikult väike.

(11)

Ohuteabel põhineva läbistustestimisega on seotud olemuslikud riskid, kuna kriitilise tähtsusega funktsioone testitakse töötavas tarbekeskkonnas võimalusega põhjustada teenusetõkestuse intsidente, ootamatuid süsteemikrahhe, kahju töötavatele kriitilise tähtsusega tarbesüsteemidele või andmete kaotust, muutmist või avaldamist. Need riskid toovad esile vajaduse kindlate riskijuhtimismeetmete järele. Tagamaks, et ohuteabel põhinev läbistustestimine toimub kogu testimise vältel kontrollitud viisil, on väga oluline, et finantssektori ettevõtjad oleksid alati teadlikud ohuteabel põhineva läbistustestimine käigus tekkivatest konkreetsetest riskidest ja et neid riske maandatakse. Sel juhul, piiramata finantssektori ettevõtja siseprotsesse ning kontrollitiimi juhi vastutusvaldkondi ja talle juba delegeeritud ülesandeid, võib olla kohane teave ohuteabel põhineva läbistustestimise riskijuhtimise meetmete kohta või konkreetsetel juhtudel finantssektori ettevõtja juhatuse heakskiit neile riskijuhtimismeetmetele. Selleks, et osutada tulemuslikke ja kõige kõrgemal tasemel kutsealaseid teenuseid ning vähendada kõnealuseid riske, on samuti ülioluline, et testijatel ja ohuteadmuse pakkujatel (koos: „ohuteabel põhineva läbistustestimise teenuse osutajad“) oleksid kõige kõrgemal tasemel oskused, eksperditeadmised ja asjakohased kogemused finantsteenuste sektoris ohuteadmuse ja ohuteabel põhineva läbistustestimise valdkonnas.

(12)

Tavapärased läbistustestid annavad üksikasjaliku ja kasuliku hinnangu sageli ühe eraldiseisva süsteemi või keskkonna tehnilistele ja konfiguratsiooni haavatavustele, aga erinevalt teadmusel põhinevast punase tiimi testist ei hinda need kogu üksuse vastase sihipärase ründe täielikku stsenaariumi, sh ei võta arvesse kõiki selle inimesi, protsesse ja kogu tehnoloogiat. Ohuteabel põhineva läbistustestimise teenuse osutajate valimise ajal peaksid finantssektori ettevõtjad seega tagama, et neil teenuseosutajatel on vajalikud oskused teadmusel põhinevate punase tiimi testide ja mitte ainult läbistustestide tegemiseks. Seetõttu on vaja kehtestada põhjalikud kriteeriumid nii sise- kui ka välistestijatele ning ohuteadmuse pakkujatele, kes on alati ettevõtja välised. Kui ohuteabel põhineva läbistustestimise teenuse osutajad kuuluvad samasse ettevõtjasse, siis tuleks ohuteabel põhineva läbistustestimise läbiviimiseks määratud töötajad piisavalt eraldada.

(13)

Võib tekkida eriolukordi, kui finantssektori ettevõtjad ei saa sõlmida lepinguid kõigile kriteeriumidele vastavate ohuteabel põhineva läbistustestimise teenuse osutajatega. Kui finantssektori ettevõtjad saavad teada, et selliseid ohuteadmuse pakkujaid ei ole saadaval, siis peaks neil olema võimalik kaasata inimesi, kes ei vasta kõigile kriteeriumidele, kui nad maandavad sobilikult sellest tulenevad lisariskid ja kui ohuteabel põhineva läbistustestimise asutus hindab kõiki neid kriteeriume.

(14)

Kui ohuteabel põhinevas läbistustestimises osaleb mitu finantssektori ettevõtjat ja mitu ohuteabel põhineva läbistustestimise asutust, siis tuleks täpsustada kõigi osaliste rolle ohuteabel põhineva läbistustestimise protsessis, et teha test kõige tõhusamal ja turvalisemal viisil. Ühise testimise eesmärgil tuleb kehtestada konkreetsed nõuded, milles täpsustatakse määratud finantssektori ettevõtja roll, nimelt et ta peaks vastutama juhtivale ohuteabel põhineva läbistustestimise asutusele kõigi vajalike dokumentide esitamise eest ja testimisprotsessi järelevalve eest. Määratud finantssektori ettevõtja peaks samuti vastutama riskijuhtimise hindamise ühiste aspektide eest. Ilma et see piiraks määratud finantssektori ettevõtja rolli, ei tohiks iga ühises ohuteabel põhinevas läbistustestimises osaleva finantssektori ettevõtja kohustusi ühise testi ajal mõjutada. Sama põhimõtet tuleks kohaldada liidetud ohuteabel põhinevate läbistustestimiste suhtes.

(15)

Nagu näitavad TIBER-EU raamistiku rakendamisel omandatud kogemused, on kõige tõhusam viis testimise nõuetekohase toimumise tagamiseks korraldada näost näkku või virtuaalseid kohtumisi, kus osalevad kõik asjaomased sidusrühmad (finantssektori ettevõtjad, asutused, testijad ja ohuteadmuse pakkujad). Näost näkku ja virtuaalseid kohtumisi tuleks seetõttu korraldada protsessi eri etappides ning eelkõige ettevalmistusetapis ohuteabel põhineva läbistustestimise algatamise ajal ja selleks, et määrata lõplikult kindlaks selle kohaldamisala, ning testimise etapis, et viia lõpule ohuteadmuse aruanne ja punase tiimi testimiskava, ja iganädalaste ajakohastamiste jaoks ning lõpetamise etapis, et mängida uuesti läbi testijate ja sinise tiimi tegevus, sini-punatiimide kasutamiseks ning ohuteabel põhineva läbistustestimise kohta tagasiside vahetamiseks.

(16)

Ohuteabel põhineva läbistustestimise sujuva läbiviimise tagamiseks peaks ohuteabel põhineva läbistustestimise asutus esitama finantssektori ettevõtjale selgelt oma testimisega seotud ootused. Sellega seoses peaksid testijuhid tagama, et kontrollitiimis luuakse sobilik teabevoog finantssektori ettevõtja ja ohuteabel põhineva läbistustestimise teenuse osutajatega.

(17)

Finantssektori ettevõtja peaks valima kriitilise tähtsusega või olulised funktsioonid, mis hakkavad kuuluma ohuteabel põhineva läbistustestimise kohaldamisalasse. Nende funktsioonide valimisel peaks finantssektori ettevõtja lähtuma erinevatest kriteeriumidest, mis on seotud iga funktsiooni tähtsusega finantssektori ettevõtja enda jaoks ja finantssektori jaoks liidu ning riiklikul tasandil, kusjuures mitte ainult majanduslikust seisukohast, vaid arvestades ka funktsiooni sümboolset või poliitilist tähtsust. Ohuteadmuse kogumise etappi ladusa ülemineku soodustamiseks peaks kontrollitiim esitama testijatele ja ohuteadmuse pakkujatele, kes ei osale kohaldamisala kindlaks määramise protsessis, üksikasjaliku teabe kokku lepitud kohaldamisala määramise kohta.

(18)

Selleks, et esitada testijatele teave, mida on vaja finantsettevõtja kriitilise tähtsusega või oluliste funktsioonide aluseks olevate töötavate süsteemide vastase reaalajas ja realistliku ründe matkimiseks, peaks ohuteadmuse pakkuja koguma andmeid või teavet, mis hõlmavad vähemalt kahte järgmist olulist huvi pakkuvat valdkonda: sihtmärgid, tehes kindlaks finantssektori ettevõtja potentsiaalsed ründepinnad, ning ohud, tehes kindlaks ajaomased ohusubjektid ja tõenäolised ohustsenaariumid. Tagamaks, et ohuteadmuse pakkuja võtab arvesse finantssektori ettevõtjale avalduvaid asjakohaseid ohte, peaksid testijad, kontrollitiim ja testijuhid andma ohuteadmuse aruande projekti kohta tagasisidet. Kui see on kättesaadav, siis võib ohuteadmuse pakkuja kasutada riikliku ohumaastiku lähtealusena üldist ohumaastikku, mille on liikmesriigi finantssektori kohta esitanud ohuteabel põhineva läbistustestimise asutus. TIBER-EU raamistiku kohaldamise alusel kestab ohuteadmuse kogumise protsess üldjuhul ligikaudu neli nädalat.

(19)

Selleks et testijad saaksid teavet ning et vaadata põhjalikumalt läbi kohaldamisala kindlaks määramise dokument ning sihipärane ohuteadmuse aruanne eesmärgiga viia lõpule punase tiimi testimiskava, on hädavajalik, et testijad saaksid enne ohuteabel põhineva läbistustestimise punase tiimi testimisetappi ohuteadmuse pakkujalt üksikasjalikud selgitused sihipärase ohuteadmuse aruande kohta ja võimalike ohustsenaariumide analüüsi.

(20)

Selleks et testijad saaksid teha realistiliku ja põhjaliku testimise, milles viiakse ellu kõik ründe etapid ja jõutakse kõigi lippudeni, tuleks eraldada aktiivse punase tiimi testimisetapi jaoks piisavalt aega. TIBER-EU raamistikus omandatud kogemuste põhjal peaks eraldatav aeg olema vähemalt 12 nädalat ja selle kindlaksmääramiseks tuleb võtta arvesse osalejate arvu, ohuteabel põhineva läbistustestimise kohaldamisala, asjaomas(t)e finantssektori ettevõtja(te) ressursse, mis tahes väliseid nõudeid ning finantssektori ettevõtja esitatava lisateabe kättesaadavust.

(21)

Aktiivses punase tiimi testimisetapis peaksid testijad kasutama mitmesuguseid taktikaid, võtteid ja menetlusi, et nõuetekohaselt testida finantssektori ettevõtja töötavaid tarbesüsteeme. Taktikad, võtted ja menetlused peaksid vajaduse korral hõlmama reket (s.o sihtmärgi kohta võimalikult suures koguses teabe kogumine), relvana kasutamist (s.o taristuid, rajatisi ja töötajaid käsitleva teabe analüüsimine ning valmistumine sihtmärgiga konkreetselt seotud operatsioonideks), rakendamist (s.o sihtmärgiga seotud tervikliku operatsiooni aktiivne algatamine), kuritarvitamist (s.o kui testijate eesmärk on seada ohtu serverid, finantssektori ettevõtja võrgud ja kasutada ära selle töötajaid sotsiaalse manipulatsiooni teel), kontrolli ja liikumist (s.o katsed minna rikutud süsteemidest edasi haavatavatesse ja suure väärtusega süsteemidesse) ning sihtmärgiga seotud tegevust (s.o rikutud süsteemidele täiendava juurdepääsu hankimine ning juurdepääsu omandamine varem kokku lepitud sihtteabele ja -andmetele, nagu on varem kokku lepitud punase tiimi testimiskavas).

(22)

Ohuteabel põhineva läbistustestimise läbiviimisel peaksid testijad võtma oma tegevuses arvesse ründe toimepanemiseks antud aega, ressursse ning eetilisi ja õiguslikke piire. Kui testijad ei suuda ründe järgmisesse kavandatud etappi edasi liikuda, siis peaks kontrollitiim andma neile ohuteabel põhineva läbistustestimise asutuse nõusolekul aeg-ajalt toetavat abi. Toetava abi saab üldiselt liigitada teabe ja juurdepääsu toetavaks abiks ning see võib seisneda IKT-süsteemidele või sisevõrkudele juurdepääsu tagamises, et jätkata testi ja keskenduda ründe järgnevatele etappidele.

(23)

Testimisetapi aktiivse punaste tiimide kasutamise ajal tuleks erandolukorras ja juhul, kui kõik muud võimalused on ammendunud, kasutada viimase võimalusena koostööpõhist testimist, mis hõlmab nii testijaid kui ka sinist tiimi, kui see on ohuteabel põhineva läbistustestimise jätkamiseks vajalik. Kõnealuse piiratud sini-punatiimide simulatsiooni käigus võib kasutada järgmisi meetodeid: nn püüa ja vabasta, mille puhul testijad proovivad stsenaariume jätkata, nad avastatakse ja jätkavad seejärel testimist, nn sõjamängud, mis võimaldavad keerukamaid stsenaariume strateegilise otsustusprotsessi testimiseks, või nn koostööpõhine kontseptsiooni tõendus, mis võimaldab testijatel ja sinise tiimi liikmetel ühiselt kontrollida konkreetseid turvameetmeid, -vahendeid või -võtteid kontrollitud ja koostööpõhises keskkonnas.

(24)

Ohuteabel põhinevat läbistustestimist tuleks kasutada kogemuste omandamiseks, et suurendada finantssektori ettevõtjate digitaalset tegevuskerksust. Selleks peaksid sinine tiim ja testijad ründe uuesti läbi mängima ja vaatama läbi võetud meetmed, et õppida testimiskogemusest koostöös testijatega. Sel otstarbel ja piisava ettevalmistuse võimaldamiseks tuleks teha punase tiimi testimisaruanne ja sinise tiimi testimisaruanne kättesaadavaks kõigile uuesti läbimängimises osalejatele, enne kui midagi uuesti läbi mängima hakatakse. Lisaks sellele tuleks maksimaalsete kogemuste omandamiseks viia lõpetamise etapis ellu sini-punatiimide simulatsioonid. Lõpetamise etapis sini-punatiimide kasutamise jaoks rakendatavad meetodid peaksid hõlmama arutelusid alternatiivsete ründestsenaariumide kohta, töötavate süsteemide puhul alternatiivsete stsenaariumide käsitlemist või töötavate süsteemide nende kavandatud stsenaariumide uuesti käsitlemist, mida testijad ei suutnud testimisetapis lõpule viia või rakendada.

(25)

Selleks, et tulevaste testide ja finantssektori ettevõtjate täiendava digitaalse tegevuskerksuse huvides edendada veelgi ohuteabel põhinevas läbistustestimises osalenud kõigi poolte kogemuste omandamist, peaksid asjaomased pooled andma üksteisele tagasisidet üldise protsessi kohta ning eelkõige andma teada, millised tegevused edenesid hästi või mida oleks võinud parandada ning millised ohuteabel põhineva läbistustestimise protsessi aspektid toimisid hästi või mida võiks parandada.

(26)

Määruse (EL) 2022/2554 artiklis 46 osutatud pädevad asutused ja ohuteabel põhineva läbistustestimise asutused, kui need on erinevad, peaksid tegema koostööd, et kaasata ohuteabel põhineva läbistustestimise teel toimuv süvatestimine olemasolevatesse järelevalveprotsessidesse. Sellega seoses ning eesmärgiga jagada õiget arusaama ohuteabel põhineva läbistustestimise leidudest ja viisidest, kuidas neid tuleks tõlgendada, on kohane, et eelkõige testi koondaruande ja paranduskavade puhul teeksid ohuteabel põhinevas läbistustestimises osalenud testijuhid ja vastutavad järelevalveasutused tihedat koostööd.

(27)

Määruse (EL) 2022/2554 artikli 26 lõike 8 esimese lõiguga nõutakse, et finantssektori ettevõtjad sõlmiksid iga kolmanda testi puhul lepingu välistestijatega. Kui finantssektori ettevõtjad kaasavad testijate tiimi nii sise- kui ka välistestijad, siis tuleks seda käsitada kõnealuse artikli kohaldamisel sisetestijate abil tehtud ohuteabel põhineva läbistustestimisena.

(28)

Käesolev määrus põhineb regulatiivsete tehniliste standardite eelnõul, mille esitasid komisjonile Euroopa Pangandusjärelevalve, Euroopa Kindlustus- ja Tööandjapensionide Järelevalve ning Euroopa Väärtpaberiturujärelevalve (Euroopa järelevalveasutused) kokkuleppel Euroopa Keskpangaga.

(29)

Euroopa järelevalveasutused on korraldanud käesoleva määruse aluseks oleva regulatiivsete tehniliste standardite eelnõu kohta avalikud konsultatsioonid, analüüsinud võimalikku kaasnevat kulu ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 (3) artikli 37 kohaselt loodud pangandussektori sidusrühmade kogult, Euroopa Parlamendi ja nõukogu määruse (EL) nr 1094/2010 (4) artikli 37 kohaselt loodud kindlustuse ja edasikindlustuse sidusrühmade kogult ning tööandjapensionide sidusrühmade kogult ning Euroopa Parlamendi ja nõukogu määruse (EL) nr 1095/2010 (5) artikli 37 kohaselt loodud väärtpaberituru sidusrühmade kogult.

(30)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (6) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 20. augustil 2024,