1.   Finansielle enheder, der hverken er enheder som omhandlet i artikel 16, stk. 1, første afsnit, eller mikrovirksomheder, og som er identificeret i overensstemmelse med nærværende artikels stk. 8, tredje afsnit, foretager mindst hvert tredje år avancerede test ved hjælp af TLPT. På grundlag af den finansielle enheds risikoprofil og under hensyntagen til de operationelle omstændigheder kan den kompetente myndighed om nødvendigt anmode den finansielle enhed om at reducere eller øge denne hyppighed.

2.   Hver trusselsbaseret penetrationstest skal omfatte flere eller samtlige kritiske eller vigtige funktioner hos en finansiel enhed og foretages på live-produktionssystemer, der understøtter sådanne funktioner.

De finansielle enheder identificerer alle relevante underliggende IKT-systemer, -processer og -teknologier, der understøtter kritiske eller vigtige funktioner og alle relevante IKT-tjenester, herunder dem, der understøtter kritiske eller vigtige funktioner og tjenester, der er blevet outsourcet eller udliciteret til tredjepartsudbydere af IKT-tjenester.

De finansielle enheder vurderer, hvilke kritiske eller vigtige funktioner, der skal være omfattet af TLPT. Resultatet af denne vurdering bestemmer det nøjagtige omfang af TLPT og valideres af de kompetente myndigheder.

3.   Hvis tredjepartsudbydere af IKT-tjenester medtages i TLPT's anvendelsesområde, træffer den finansielle enhed de nødvendige foranstaltninger og sikkerhedsforanstaltninger for at sikre deltagelse af sådanne tredjepartsudbydere af IKT-tjenester i TLPT, og den har til enhver tid det fulde ansvar for at sikre overholdelse af denne forordning.

4.   Uden at det berører stk. 2, første og andet afsnit, kan den finansielle enhed og tredjepartsudbyderen af IKT-tjenester, hvis deltagelse af en tredjepartsudbyder af IKT-tjenester i TLPT som omhandlet i stk. 3 med rimelighed kan forventes at have en negativ indvirkning på kvaliteten eller sikkerheden af de tjenester, som tredjepartsudbyderen af IKT-tjenester leverer til kunder, der er enheder, som ikke henhører under denne forordnings anvendelsesområde, eller på fortroligheden af data forbundet med sådanne tjenester, skriftligt aftale, at tredjepartsudbyderen af IKT-tjenester direkte indgår kontraktlige ordninger med en ekstern tester med henblik på under ledelse af en udpeget finansiel enhed at foretage en samlet TLPT, der omfatter flere finansielle enheder (samlet test), som tredjepartsudbyderen af IKT-tjenester leverer IKT-tjenester til.

Denne samlede test skal omfatte en relevant vifte af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, som de finansielle enheder har udliciteret til den pågældende tredjepartsudbyder af IKT-tjenester. Den samlede test betragtes som en TLPT, som gennemføres af de finansielle enheder, der deltager i den samlede test.

Antallet af finansielle enheder, der deltager i den samlede test, afpasses behørigt under hensyntagen til kompleksiteten og typen af de involverede tjenester.

5.   De finansielle enheder anvender i samarbejde med tredjepartsudbydere af IKT-tjenester og andre involverede parter, herunder testere, men med undtagelse af de kompetente myndigheder, effektive risikostyringskontroller for at mindske risici for potentielle virkninger på data, skade på aktiver og forstyrrelser af kritiske eller vigtige funktioner, tjenester eller operationer i den finansielle enhed selv, hos dens modparter eller i den finansielle sektor.

6.   Efter afslutning af testen, og efter at der er opnået enighed om rapporter og udbedringsplaner, forelægger den finansielle enhed og, hvor det er relevant, de eksterne testere den myndighed, der er udpeget i overensstemmelse med stk. 9 eller 10, en sammenfatning af de relevante resultater, udbedringsplanerne og den dokumentation, som viser, at TLPT er blevet gennemført i overensstemmelse med kravene.

7.   Myndighederne forelægger de finansielle enheder en erklæring, der bekræfter, at testen er blevet gennemført i overensstemmelse med de krav, der fremgår af dokumentationen, for at give mulighed for gensidig anerkendelse af trusselsbaserede penetrationstest mellem de kompetente myndigheder. Den finansielle enhed underretter den relevante kompetente myndighed om erklæringen, sammenfatningen af de relevante resultater og udbedringsplanerne.

Med forbehold af denne erklæring har de finansielle enheder til enhver tid fortsat det fulde ansvar for virkningen af de i stk. 4 omhandlede test.

8.   De finansielle enheder indgår en kontrakt med testere med henblik på at gennemføre TLPT i overensstemmelse med artikel 27. Hvis de finansielle enheder anvender interne testere med henblik på at gennemføre TLPT, skal de indgå kontrakt med eksterne testere ved hver tredje test.

Kreditinstitutter, som er klassificeret som signifikante i overensstemmelse med artikel 6, stk. 4, i forordning (EU) nr. 1024/2013, må kun anvende eksterne testere i overensstemmelse med artikel 27, stk. 1, litra a)-e).

De kompetente myndigheder identificerer finansielle enheder, som pålægges at gennemføre TLPT under hensyntagen til kriterierne i artikel 4, stk. 2, på grundlag af en vurdering af følgende: