Artikel 11 Testfasen: det røde teams testforløb

1.   Når TLPT-myndigheden har godkendt den målrettede trusselsefterretningsrapport, skal testerne udarbejde det røde teams testplan, som skal indeholde de i bilag IV fastsatte oplysninger. Testerne skal anvende dokumentet om afgrænsning af anvendelsesområdet og den målrettede trusselsefterretningsrapport som grundlag for udarbejdelsen af angrebsscenarierne.

2.   Testerne skal rådføre sig med kontrolteamet, formidleren af trusselsefterretninger og testlederne om det røde teams testplan, herunder ordningen vedrørende kommunikation, procedurer og projektstyrings, forberedelsen og de tilfælde, hvor der gøres brug af forstærkningsaktivering, og aftalerne om rapportering til kontrolteamet og testlederne.

3.   Hvis det røde teams testplan er fuldstændig og sikrer en passende og effektiv gennemførelse af TLPT'en, godkender kontrolteamet og TLPT-myndigheden røde teams testplan og underretter kontrolteamet herom.

4.   Efter godkendelse af det røde teams testplan i overensstemmelse med stk. 3 skal testeren gennemføre TLPT'en i det røde teams aktive testfase.

5.   Varigheden af det røde teams aktive testfase skal stå i rimeligt forhold til TLPT'ens anvendelsesområde, omfanget, aktiviteten, kompleksiteten og antallet af de finansielle enheder og tredjepartsudbydere af IKT-tjenester eller koncerninterne udbydere af IKT-tjenester, der er involveret i TLPT, og skal under alle omstændigheder være på mindst 12 uger. Angrebsscenarier kan gennemføres i rækkefølge eller samtidig. Kontrolteamet, formidleren af trusselsefterretninger, testerne og testlederne skal nå til enighed om afslutningen af det røde teams aktive testfase.

6.   Med forbehold af at det sikres, at det røde teams testplan fortsat er fuldstændig og gør det muligt at gennemføre en effektiv TLPT, skal lederen af kontrolteamet og testlederne godkende eventuelle ændringer af det røde teams testplan efter godkendelsen heraf, herunder af tidsplanen, omfanget, målsystemerne eller flagmålene.

7.   I hele det røde teams aktive testfase skal testeren mindst en gang om ugen rapportere til kontrolteamet og testlederne om de fremskridt, der er gjort med TLPT'en, og formidleren af trusselsefterretninger skal være til rådighed med henblik på konsultation og yderligere trusselsefterretninger, når kontrolteamet anmoder herom.

8.   Kontrolteamet skal rettidigt stille de forstærkninger, der er udformet på grundlag af det røde teams testplan, til rådighed. Forstærkninger kan tilføjes eller tilpasses efter godkendelse fra kontrolteamet og testlederne.

9.   Hvis en ansat i den finansielle enhed eller dens tredjepartsudbydere af IKT-tjenester eller en koncernintern IKT-tjenesteudbyder detekterer testaktiviteterne, skal kontrolteamet, hvis det er relevant, i samråd med testerne, og uden at det berører stk. 10, foreslå og forelægge foranstaltninger, der gør det muligt at fortsætte TLPT-forløbet, samtidig med at testlederne forsikres om fortroligheden heraf med henblik på validering.

10.   Under ekstraordinære omstændigheder, der udløser risici for indvirkning på data, skade på aktiver og forstyrrelser af kritiske eller vigtige funktioner, tjenester eller operationer i den finansielle enhed selv, hos dens tredjepartsudbydere af IKT-tjenester eller koncerninterne udbydere af IKT-tjenester eller forstyrrelser, der berører dens modparter eller den finansielle sektor, kan kontrolholdet suspendere TLPT'en eller, som en sidste udvej, hvis det ikke på anden måde er muligt at videreføre TLPT'en, og med forbehold af TLPT-myndighedens forudgående validering heraf, fortsætte TLPT'en ved hjælp af et begrænset »purple teaming«-forløb. Varigheden af det begrænsede »purple teaming«-forløb regnes med i minimumsvarigheden på 12 uger af det røde teams aktive testfase, der er omhandlet i stk. 5.