Článek 1 Definice

„řídícím týmem“ tým složený ze zaměstnanců testovaného finančního subjektu, a pokud je to s ohledem na rozsah penetračního testování na základě hrozeb relevantní, ze zaměstnanců jeho poskytovatelů služeb z řad třetích stran a jakékoli další zúčastněné strany, která řídí test;

„vedoucím členem řídícího týmu“ zaměstnanec finančního subjektu odpovědný za provádění všech činností souvisejících s penetračním testováním na základě hrozeb pro finanční subjekt v rámci daného testu;

„modrým týmem“ zaměstnanci finančního subjektu a případně zaměstnanci jeho poskytovatelů služeb z řad třetích stran a jakákoli další zúčastněná strana, která je považována za relevantní s ohledem na rozsah penetračního testování na základě hrozeb, jeho poskytovatelů služeb z řad třetích stran, kteří brání používání sítě a informačních systémů finančního subjektu tím, že udržují jeho stav zabezpečení před simulovanými nebo skutečnými útoky, a kteří si nejsou penetračního testování na základě hrozeb vědomi;

„úkoly modrého týmu“ úkoly, které obvykle vykonává modrý tým, jako jsou bezpečnostní operační středisko, služby infrastruktury IKT, služby helpdesku, služby řízení incidentů na provozní úrovni;

„červeným týmem“ interní nebo externí subjekty provádějící testování, které jsou pro penetrační testování na základě hrozeb najati nebo přiděleni;

„testováním metodou ‚fialového týmu‘“ společné testování, do kterého jsou zapojeny subjekty provádějící testování i modrý tým;

„orgánem pro penetrační testování na základě hrozeb“:

„kybernetickým týmem pro penetrační testování na základě hrozeb“ zaměstnanci orgánů pro penetrační testování na základě hrozeb, kteří jsou odpovědní za záležitosti týkající se tohoto testování;

„vedoucími pracovníky pro testy“ zaměstnanci určení k vedení činností orgánu pro penetrační testování na základě hrozeb pro konkrétní penetrační testování na základě hrozeb za účelem sledování dodržování tohoto nařízení;

„poskytovatelem operativních informací o hrozbách“ odborníci najatí finančním subjektem pro každé penetrační testování na základě hrozeb, kteří jsou externí vůči finančnímu subjektu a případným poskytovatelům služeb IKT v rámci skupiny a kteří shromažďují a analyzují cílené operativní informace o hrozbách relevantní pro finanční subjekty v rámci konkrétního penetračního testování na základě hrozeb a vypracovávají odpovídající relevantní a realistické scénáře hrozeb;

„poskytovateli penetračního testování na základě hrozeb“ subjekty provádějící testování a poskytovatelé operativních informací o hrozbách;

„podporou“ pomoc nebo informace, které řídící tým poskytuje subjektům provádějícím testování, aby jim umožnil pokračovat v provádění cesty útoku, pokud nejsou schopni postupovat dále samy a pokud neexistuje jiná rozumná alternativa, a to i z důvodu nedostatečného času nebo zdrojů v daném penetračním testování na základě hrozeb;

„cestou útoku“ trasa, po které se subjekty provádějící testování během fáze aktivního testování metodou „červeného týmu“ v rámci penetračního testování na základě hrozeb dostanou k příznakům určeným pro dané penetrační testování na základě hrozeb;

„příznaky“ klíčové cíle v systémech IKT podporujících zásadní nebo důležité funkce finančního subjektu, kterých se subjekty provádějící testování snaží dosáhnout prostřednictvím testu;

„citlivými informacemi“ informace, které lze snadno využít k útokům na systémy IKT finančního subjektu, duševní vlastnictví, důvěrné obchodní údaje nebo osobní údaje, které mohou přímo či nepřímo poškodit finanční subjekt a jeho ekosystém, pokud by se dostaly do rukou zlovolných aktérů;

„skupinou“ všechny finanční subjekty, které se účastní společného penetračního testování na základě hrozeb podle čl. 26 odst. 4 nařízení (EU) 2022/2554;

„hostitelským členským státem“ hostitelský členský stát v souladu s odvětvovým právem Unie, které se vztahuje na každý finanční subjekt;

„sdruženým penetračním testováním na základě hrozeb“ se rozumí penetrační testování na základě hrozeb jiné než společné penetrační testování na základě hrozeb uvedené v čl. 26 odst. 4 nařízení (EU) 2022/2554, které zahrnuje několik finančních subjektů využívajících stejného poskytovatele služeb IKT v rámci skupiny nebo patřících do stejné skupiny a sdílejících systémy IKT.