Článek 12 Fáze ukončení

1.   Po skončení fáze aktivního testování metodou „červeného týmu“ informuje vedoucí člen řídícího týmu modrý tým, že proběhlo penetrační testování na základě hrozeb.

2.   Do čtyř týdnů od ukončení fáze aktivního testování metodou „červeného týmu“ předloží subjekty provádějící testování řídícímu týmu zprávu o testování metodou „červeného týmu“, která obsahuje informace uvedené v příloze V.

3.   Řídící tým bez zbytečného odkladu poskytne zprávu o testování metodou „červeného týmu“ modrému týmu a vedoucím pracovníkům pro testy.

Na žádost vedoucích pracovníků pro testy neobsahuje zpráva uvedená v prvním pododstavci citlivé informace.

4.   Po obdržení zprávy o testování metodou „červeného týmu“, nejpozději však deset týdnů po ukončení fáze aktivního testování metodou „červeného týmu“, předloží modrý tým řídícímu týmu zprávu o testování metodou „modrého týmu“ obsahující informace uvedené v příloze VI. Řídící tým bez zbytečného odkladu poskytne zprávu o testování metodou „modrého týmu“ subjektům provádějícím testování a vedoucím pracovníkům pro testy.

Na žádost vedoucích pracovníků pro testy neobsahuje zpráva uvedená v prvním pododstavci citlivé informace.

5.   Nejpozději deset týdnů po skončení fáze aktivního testování metodou „červeného týmu“ modrý tým a subjekty provádějící testování zopakují útočné a obranné akce provedené během penetrační testování na základě hrozeb. Řídící tým rovněž provede testování metodou „fialového týmu“ v oblasti témat společně určených modrým týmem a subjekty provádějícími testování, a to na základě zranitelností zjištěných během testu, a případně v záležitostech, které nebylo možné otestovat během fáze aktivního testování metodou „červeného týmu“.

6.   Po dokončení zopakování a testování metodou „fialového týmu“ si řídící tým, modrý tým, subjekty provádějící testování a poskytovatelé operativních informací o hrozbách vzájemně poskytnou zpětnou vazbu k procesu penetračního testování na základě hrozeb. Vedoucí pracovníci pro testy mohou poskytnout zpětnou vazbu.

7.   Jakmile orgán pro penetrační testování na základě hrozeb oznámí vedoucímu členovi řídícího týmu, že vyhodnotil, že zpráva o testování metodou „modrého týmu“ a zpráva o testování metodou „červeného týmu“ obsahují informace stanovené v přílohách V a VI, předloží finanční subjekt do osmi týdnů orgánu pro penetrační testování na základě hrozeb podle čl. 26 odst. 6 nařízení (EU) 2022/2554 ke schválení zprávu shrnující příslušná zjištění penetračního testování na základě hrozeb, která obsahuje prvky stanovené v příloze VII.

Na žádost orgánu pro penetrační testování na základě hrozeb neobsahuje zpráva uvedená v prvním pododstavci citlivé informace.