+Článek 9 Přípravná fáze
---+Článek 9 1
---+Článek 9 2
---+Článek 9 3
---+Článek 9 4
---+Článek 9 5
---+Článek 9 6
---+Článek 9 7
---+Článek 9 8
---+Článek 9 9
---+Článek 9 10
---+Článek 9 11
---+Článek 9 12

Článek 9 Přípravná fáze

-

1. Přehled

,
Článek 9 1

1.   Finanční subjekt určený podle čl. 26 odst. 8 třetího pododstavce nařízení (EU) 2022/2554 zahájí penetrační testování na základě hrozeb po oznámení orgánu pro penetrační testování na základě hrozeb, že má být penetrační testování na základě hrozeb provedeno.
Článek 9 2

2.   Finanční subjekt do tří měsíců od obdržení oznámení uvedeného v odstavci 1 předloží vedoucím pracovníkům pro testy všechny následující informace k zahájení penetračního testování na základě hrozeb:

a)

zásady projektu zahrnující plán projektu na vysoké úrovni, které obsahují informace uvedené v příloze I;

b)

kontaktní údaje vedoucího člena řídícího týmu;

c)

informace o zamýšleném použití interních nebo externích subjektů provádějících testování, případně obou, jak je uvedeno v článku 15;

d)

informace o komunikačních kanálech, které se mají používat během penetračního testování na základě hrozeb;

e)

název kódu penetračního testování na základě hrozeb.
Článek 9 3

3.   Pokud jsou informace uvedené v odst. 2 písm. a) až e) úplné a zajišťují vhodné a efektivní provádění penetračního testování na základě hrozeb, orgán pro penetrační testování na základě hrozeb potvrdí informace finančního subjektu k zahájení penetračního testování na základě hrozeb a oznámí to finančnímu subjektu.
Článek 9 4

4.   Po potvrzení informací k zahájení penetračního testování na základě hrozeb orgánem pro penetrační testování na základě hrozeb finanční subjekt zřídí řídící tým, který bude vedoucímu členovi řídícího týmu pomáhat při plnění jeho následujících úkolů:

a)

stanovení komunikačních kanálů a postupů v rámci řídícího týmu pro komunikaci se subjekty provádějícími testování a poskytovateli operativních informací o hrozbách ve všech záležitostech souvisejících s penetračním testováním na základě hrozeb;

b)

informování vedoucího orgánu finančního subjektu o průběhu penetračního testování na základě hrozeb a souvisejících rizicích;

c)

přijímání rozhodnutí na základě odborných znalostí v rámci penetračního testování na základě hrozeb;

d)

provádění penetračního testování na základě hrozeb v souladu s tímto nařízením;

e)

výběr poskytovatele operativních informací o hrozbách pro penetrační testování na základě hrozeb;

f)

výběr externích subjektů provádějících testování, interních subjektů provádějících testování nebo obou;

g)

vypracování dokumentu, který vymezuje rozsah.
Článek 9 5

5.   Pokud se orgán pro penetrační testování na základě hrozeb domnívá, že původní složení řídícího týmu a jeho případné následné změny jsou vhodné pro plnění úkolů uvedených v odstavci 4, orgán pro penetrační testování na základě hrozeb potvrdí platnost řídícího týmu a oznámí to vedoucímu členovi řídícího týmu.
Článek 9 6

6.   Finanční subjekt předloží dokument, který vymezuje rozsah a který obsahuje všechny informace uvedené v příloze II, vedoucím pracovníkům pro testy do šesti měsíců od obdržení oznámení od orgánu pro penetrační testování na základě hrozeb uvedeného v odstavci 1. Vedoucí orgán finančního subjektu schvaluje dokument, který vymezuje rozsah.
Článek 9 7

7.   Finanční subjekty zváží následující kritéria pro zahrnutí zásadních nebo důležitých funkcí do rozsahu penetračního testování na základě hrozeb:

a)

význam nebo důležitost funkce a její možný dopad na finanční sektor a finanční stabilitu na úrovni Unie a na vnitrostátní úrovni;

b)

význam funkce pro každodenní obchodní operace finančního subjektu;

c)

nahraditelnost funkce;

d)

propojenost s ostatními funkcemi;

e)

zeměpisná poloha funkce;

f)

odvětvová závislost ostatních subjektů na funkci;

g)

operativní informace o hrozbách týkající se funkce, pokud jsou k dispozici.
Článek 9 8

8.   Řídící tým poskytuje informace k zahájení penetračního testování na základě hrozeb a dokument, který vymezuje rozsah, subjektům provádějícím testování a poskytovatelům operativních informací o hrozbách, jakmile jsou s nimi uzavřeny smlouvy. Řídící tým informuje subjekty provádějící testování a poskytovatele operativních informací o hrozbách o postupu testování, který je třeba dodržet.
Článek 9 9

9.   Finanční subjekt zajistí, aby před zahájením fáze testování bylo dokončeno uzavření smlouvy se subjekty provádějícími testování a poskytovateli operativních informací o hrozbách nebo jejich přidělení.
Článek 9 10

10.   Před zahájením fáze testování konzultuje řídící tým s vedoucími pracovníky pro testy posouzení rizik penetračního testování na základě hrozeb a opatření k řízení rizik. Řídící tým přezkoumá posouzení rizik nebo opatření k řízení rizik, pokud se orgán pro penetrační testování na základě hrozeb domnívá, že dostatečně neřeší rizika penetračního testování na základě hrozeb.
Článek 9 11

11.   Řídící tým posoudí, zda poskytovatelé operativních informací o hrozbách a subjekty provádějící testování, o jejichž zapojení do penetračního testování na základě hrozeb uvažuje, splňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554 a v čl. 7 odst. 1 tohoto nařízení, a výsledek tohoto posouzení zdokumentuje. Řídící tým vybere poskytovatele operativních informací o hrozbách v souladu s tímto posouzením a se svými postupy řízení rizik. Před uzavřením smlouvy s vybranými poskytovateli operativních informací o hrozbách a externími subjekty provádějícími testování předloží řídící tým vedoucím pracovníkům pro testy důkazy o tom, že tito poskytovatelé operativních informací o hrozbách a subjekty provádějící testování splňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554 a v čl. 7 odst. 1 tohoto nařízení. Řídící tým nepokračuje v uzavírání smluv s vybranými poskytovateli operativních informací o hrozbách a externími subjekty provádějícími testování, pokud se orgán pro penetrační testování na základě hrozeb domnívá, že vybraní poskytovatelé operativních informací o hrozbách a externí subjekty provádějící testování nesplňují požadavky stanovené v článku 27 nařízení (EU) 2022/2554, požadavky stanovené v čl. 7 odst. 1 tohoto nařízení nebo další požadavky vyplývající z vnitrostátních bezpečnostních právních předpisů v souladu s právem Unie, nebo pokud finanční subjekt nesplňuje požadavky uvedené v čl. 7 odst. 2 prvním pododstavci tohoto nařízení nebo pokud nejsou splněny okolnosti uvedené v čl. 7 odst. 2 druhém pododstavci tohoto nařízení.
Článek 9 12

12.   Pokud je dokument, který vymezuje rozsah, úplný a zajišťuje provedení vhodného a účinného penetračního testování na základě hrozeb, orgán pro penetrační testování na základě hrozeb tento dokument schválí a informuje o tom vedoucího člena řídícího týmu.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy