1.   Finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, které jsou určeny v souladu s odst. 8 třetím pododstavcem tohoto článku, provádějí alespoň jednou za tři roky pokročilé testování s využitím penetračního testování na základě hrozeb. Na základě rizikového profilu finančního subjektu a s přihlédnutím k provozním okolnostem může příslušný orgán v případě potřeby požádat finanční subjekt, aby tuto četnost snížil nebo zvýšil.

2.   Každý penetrační test na základě hrozeb pokrývá některé nebo všechny zásadní nebo důležité funkce finančního subjektu a provádí se za provozu na systémech skutečně využívaných k zajištění těchto funkcí.

Finanční subjekty identifikují všechny relevantní základní systémy, procesy a technologie IKT podporující zásadní nebo důležité funkce a služby IKT, včetně těch, které podporují zásadní nebo důležité funkce a jsou dodávané externě či nasmlouvané s poskytovateli služeb IKT z řad třetích stran.

Finanční subjekty posoudí, které zásadní nebo důležité funkce je třeba zahrnout do penetračního testování na základě hrozeb. Výsledek tohoto posouzení určí přesný rozsah penetračního testování na základě hrozeb a musí být potvrzen příslušnými orgány.

3.   Pokud jsou do rozsahu penetračního testování na základě hrozeb zahrnuti poskytovatelé služeb IKT z řad třetích stran, přijme finanční subjekt nezbytná opatření a záruky k zajištění účasti těchto poskytovatelů služeb IKT z řad třetích stran na penetračním testování na základě hrozeb a po celou dobu si ponechá plnou odpovědnost za zajištění souladu s tímto nařízením.

4.   Aniž je dotčen odst. 2 první a druhý pododstavec, pokud lze důvodně očekávat, že účast poskytovatelů služeb IKT z řad třetích stran na penetračním testování na základě hrozeb, jak je uvedena v odstavci 3, bude mít nepříznivý dopad na kvalitu nebo bezpečnost služeb, které poskytovatel služeb IKT z řad třetích stran poskytuje zákazníkům, kteří jsou subjekty mimo oblast působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s takovými službami, finanční subjekt a poskytovatel služeb IKT z řad třetích stran se mohou písemně dohodnout, že poskytovatel služeb IKT z řad třetích stran uzavře smluvní ujednání přímo s externím subjektem provádějícím testování, aby bylo pod vedením jednoho vybraného finančního subjektu provedeno společné penetrační testování na základě hrozeb zahrnující několik finančních subjektů (dále jen „společné testování“), pro něž poskytovatel služeb IKT z řad třetích stran poskytuje služby IKT.

Toto společné testování se vztahuje na příslušný rozsah služeb IKT, které podporují zásadní nebo důležité funkce a jsou zadány příslušnému poskytovateli služeb IKT z řad třetích stran finančními subjekty. Společné testování se považuje za penetrační testování na základě hrozeb, které provádějí finanční subjekty účastnící se společného testování.

Počet finančních subjektů účastnících se společného testování musí být náležitě kalibrován s ohledem na složitost a druhy dotčených služeb.

5.   Finanční subjekty ve spolupráci s poskytovateli služeb IKT z řad třetích stran a dalšími zúčastněnými stranami, včetně subjektů provádějících testování, avšak s výjimkou příslušných orgánů, použijí účinné kontroly v rámci řízení rizik, aby zmírnily rizika jakéhokoliv případného dopadu na data, poškození aktiv a narušení zásadních nebo důležitých funkcí, služeb nebo operací u vlastního finančního subjektu, jeho protistran nebo celého finančního sektoru.

6.   Na konci testování a po schválení zpráv a plánů nápravných opatření finanční subjekt a v příslušných případech externí subjekt provádějící testování předloží orgánu určenému v souladu s odstavcem 9 nebo 10 souhrn příslušných zjištění, plánů nápravných opatření a dokumentaci prokazující, že penetrační testování na základě hrozeb bylo provedeno v souladu s požadavky.

7.   Orgány vydají finančním subjektům osvědčení o provedeném testu v souladu s požadavky, což doloží dokumentací, aby mohly příslušné orgány tyto penetrační testy na základě hrozeb vzájemně uznávat. Finanční subjekt o osvědčení, souhrnu příslušných zjištění a plánech nápravných opatření informuje relevantní příslušný orgán.

Aniž je dotčeno toto osvědčení, finanční subjekty jsou vždy plně odpovědné za dopady testů uvedených v odstavci 4.

8.   Finanční subjekty najímají subjekty provádějící testování pro účely provádění penetračního testování na základě hrozeb v souladu s článkem 27. Pokud finanční subjekty používají pro účely provádění penetračního testování na základě hrozeb interní subjekty, musí provedení vždy jednoho ze tří testů zadat externímu subjektu provádějícímu testování.

Úvěrové instituce, které jsou klasifikovány jako významné v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013, používají pouze externí subjekty provádějící testování v souladu s čl. 27 odst. 1 písm. a) až e).

Příslušné orgány určí finanční subjekty, které jsou povinny provádět penetrační testování na základě hrozeb, s přihlédnutím ke kritériím stanoveným v čl. 4 odst. 2, a to na základě posouzení: