Článek 15 1

a)

vypracování a zavedení politiky řízení interních subjektů provádějících testování v rámci penetračního testování na základě hrozeb;

b)

opatření, která zajistí, že využití interních subjektů provádějících testování k provedení penetračního testování na základě hrozeb nebude mít negativní dopad na obecnou obranyschopnost nebo odolnost finančního subjektu vůči incidentům souvisejícím s IKT nebo významně neovlivní dostupnost zdrojů přidělených na úkoly související s IKT během penetračního testování na základě hrozeb;

c)

opatření k zajištění toho, aby interní subjekty provádějící testování měly dostatečné zdroje a schopnosti k provedení penetračního testování na základě hrozeb;

a)

zahrnuje kritéria pro posouzení vhodnosti, způsobilosti a potenciálního střetu zájmů interních subjektů provádějících testování a specifikuje povinnosti vedení v procesu testování;

b)

je zdokumentována a pravidelně přezkoumávána;

c)

zajišťuje, aby interní tým pro testování zahrnoval vedoucího člena pro testování a nejméně dva další členy;

d)

vyžaduje, aby všichni členové týmu pro testování byli po dobu předchozích dvanácti měsíců zaměstnáni u finančního subjektu nebo u poskytovatele služeb IKT v rámci skupiny;

e)

zahrnuje ustanovení o školení, jak provádět penetrační testování a testování metodou „červeného týmu“ za použití interních subjektů provádějících testování.