Článek 9 Přípravná fáze

1.   Finanční subjekt určený podle čl. 26 odst. 8 třetího pododstavce nařízení (EU) 2022/2554 zahájí penetrační testování na základě hrozeb po oznámení orgánu pro penetrační testování na základě hrozeb, že má být penetrační testování na základě hrozeb provedeno.

2.   Finanční subjekt do tří měsíců od obdržení oznámení uvedeného v odstavci 1 předloží vedoucím pracovníkům pro testy všechny následující informace k zahájení penetračního testování na základě hrozeb:

3.   Pokud jsou informace uvedené v odst. 2 písm. a) až e) úplné a zajišťují vhodné a efektivní provádění penetračního testování na základě hrozeb, orgán pro penetrační testování na základě hrozeb potvrdí informace finančního subjektu k zahájení penetračního testování na základě hrozeb a oznámí to finančnímu subjektu.

4.   Po potvrzení informací k zahájení penetračního testování na základě hrozeb orgánem pro penetrační testování na základě hrozeb finanční subjekt zřídí řídící tým, který bude vedoucímu členovi řídícího týmu pomáhat při plnění jeho následujících úkolů:

5.   Pokud se orgán pro penetrační testování na základě hrozeb domnívá, že původní složení řídícího týmu a jeho případné následné změny jsou vhodné pro plnění úkolů uvedených v odstavci 4, orgán pro penetrační testování na základě hrozeb potvrdí platnost řídícího týmu a oznámí to vedoucímu členovi řídícího týmu.

6.   Finanční subjekt předloží dokument, který vymezuje rozsah a který obsahuje všechny informace uvedené v příloze II, vedoucím pracovníkům pro testy do šesti měsíců od obdržení oznámení od orgánu pro penetrační testování na základě hrozeb uvedeného v odstavci 1. Vedoucí orgán finančního subjektu schvaluje dokument, který vymezuje rozsah.

7.   Finanční subjekty zváží následující kritéria pro zahrnutí zásadních nebo důležitých funkcí do rozsahu penetračního testování na základě hrozeb:

8.   Řídící tým poskytuje informace k zahájení penetračního testování na základě hrozeb a dokument, který vymezuje rozsah, subjektům provádějícím testování a poskytovatelům operativních informací o hrozbách, jakmile jsou s nimi uzavřeny smlouvy. Řídící tým informuje subjekty provádějící testování a poskytovatele operativních informací o hrozbách o postupu testování, který je třeba dodržet.

9.   Finanční subjekt zajistí, aby před zahájením fáze testování bylo dokončeno uzavření smlouvy se subjekty provádějícími testování a poskytovateli operativních informací o hrozbách nebo jejich přidělení.

10.   Před zahájením fáze testování konzultuje řídící tým s vedoucími pracovníky pro testy posouzení rizik penetračního testování na základě hrozeb a opatření k řízení rizik. Řídící tým přezkoumá posouzení rizik nebo opatření k řízení rizik, pokud se orgán pro penetrační testování na základě hrozeb domnívá, že dostatečně neřeší rizika penetračního testování na základě hrozeb.

11.   Řídící tým posoudí, zda poskytovatelé operativních informací o hrozbách a subjekty provádějící testování, o jejichž zapojení do penetračního testování na základě hrozeb uvažuje, splňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554 a v čl. 7 odst. 1 tohoto nařízení, a výsledek tohoto posouzení zdokumentuje. Řídící tým vybere poskytovatele operativních informací o hrozbách v souladu s tímto posouzením a se svými postupy řízení rizik. Před uzavřením smlouvy s vybranými poskytovateli operativních informací o hrozbách a externími subjekty provádějícími testování předloží řídící tým vedoucím pracovníkům pro testy důkazy o tom, že tito poskytovatelé operativních informací o hrozbách a subjekty provádějící testování splňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554 a v čl. 7 odst. 1 tohoto nařízení. Řídící tým nepokračuje v uzavírání smluv s vybranými poskytovateli operativních informací o hrozbách a externími subjekty provádějícími testování, pokud se orgán pro penetrační testování na základě hrozeb domnívá, že vybraní poskytovatelé operativních informací o hrozbách a externí subjekty provádějící testování nesplňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554, požadavky stanovené v čl. 7 odst. 1 tohoto nařízení nebo další požadavky vyplývající z vnitrostátních bezpečnostních právních předpisů v souladu s právem Unie, nebo pokud finanční subjekt nesplňuje požadavky uvedené v čl. 7 odst. 2 prvním pododstavci tohoto nařízení nebo pokud nejsou splněny okolnosti uvedené v čl. 7 odst. 2 druhém pododstavci tohoto nařízení.

12.   Pokud je dokument, který vymezuje rozsah, úplný a zajišťuje provedení vhodného a účinného penetračního testování na základě hrozeb, orgán pro penetrační testování na základě hrozeb tento dokument schválí a informuje o tom vedoucího člena řídícího týmu.