+RIALACHÁN TARMLIGTHE (AE) 2025/1190 ÓN gCOIMISIÚN an 13 Feabhra 2025 lena bhforlíontar Rialachán (AE) 2022/2554 ó Pharlaimint na hEorpa agus ón gComhairle maidir le caighdeáin theicniúla rialála lena sonraítear na critéir a úsáidtear chun eintitis airgeadais a shainaithint a gceanglaítear orthu tástáil treáite bunaithe ar bhagairtí a dhéanamh, na ceanglais agus na caighdeáin lena rialaítear úsáid tástálaithe inmheánacha, na ceanglais i ndáil leis an raon feidhme, leis an modheolaíocht tástála agus leis an gcur chuige le haghaidh gach céime de na céimeanna tástála, torthaí, clabhsúir agus feabhsúcháin agus an cineál comhair maoirseachta agus comhair ábhartha eile is gá chun TLPT a chur chun feidhme agus chun aitheantas frithpháirteach a éascú (Téacs atá ábhartha maidir le LEE)
---+Preamble: 1
---+Airteagal 1 Sainmhínithe
------+Airteagal 1 (1)
------+Airteagal 1 (2)
------+Airteagal 1 (3)
------+Airteagal 1 (4)
------+Airteagal 1 (5)
------+Airteagal 1 (6)
------+Airteagal 1 (7)
------+Airteagal 1 (8)
------+Airteagal 1 (9)
------+Airteagal 1 (10)
------+Airteagal 1 (11)
------+Airteagal 1 (12)
------+Airteagal 1 (13)
------+Airteagal 1 (14)
------+Airteagal 1 (15)
------+Airteagal 1 (16)
------+Airteagal 1 (17)
------+Airteagal 1 (18)
---+Airteagal 2 Eintitis airgeadais a shainaithint a gceanglaítear orthu TLPT a dhéanamh
------+Airteagal 2 1
------+Airteagal 2 2
------+Airteagal 2 3
---+Airteagal 3 Bainisteoirí Tástála TCT agus TLPT
------+Airteagal 3 1
------+Airteagal 3 2
------+Airteagal 3 3
------+Airteagal 3 4
------+Airteagal 3 5
---+Airteagal 4 Socruithe eagraíochtúla le haghaidh eintitis airgeadais
------+Airteagal 4 1
------+Airteagal 4 2
---+Airteagal 5 Bainistíocht riosca do TLPT
------+Airteagal 5 1
------+Airteagal 5 2
---+Airteagal 6 Bainistíocht riosca le haghaidh TLPTanna comhthiomsaithe nó comhpháirteacha
------+Airteagal 6 1
------+Airteagal 6 2
---+Airteagal 7 Soláthraithe TLPT a roghnú
------+Airteagal 7 1
------+Airteagal 7 2
---+Airteagal 8 Sainiúlachtaí le haghaidh TLPTanna comhthiomsaithe nó TLPTanna comhpháirteacha
------+Airteagal 8 1
------+Airteagal 8 2
---+Airteagal 9 Céim an ullmhúcháin
------+Airteagal 9 1
------+Airteagal 9 2
------+Airteagal 9 3
------+Airteagal 9 4
------+Airteagal 9 5
------+Airteagal 9 6
------+Airteagal 9 7
------+Airteagal 9 8
------+Airteagal 9 9
------+Airteagal 9 10
------+Airteagal 9 11
------+Airteagal 9 12
---+Airteagal 10 An chéim thástála: Faisnéis bhagartha
------+Airteagal 10 1
------+Airteagal 10 2
------+Airteagal 10 3
------+Airteagal 10 4
------+Airteagal 10 5
------+Airteagal 10 6
---+Airteagal 11 An chéim thástála: Tástáil na Foirne Deirge
------+Airteagal 11 1
------+Airteagal 11 2
------+Airteagal 11 3
------+Airteagal 11 4
------+Airteagal 11 5
------+Airteagal 11 6
------+Airteagal 11 7
------+Airteagal 11 8
------+Airteagal 11 9
------+Airteagal 11 10
---+Airteagal 12 Céim an chlabhsúir
------+Airteagal 12 1
------+Airteagal 12 2
------+Airteagal 12 3
------+Airteagal 12 4
------+Airteagal 12 5
------+Airteagal 12 6
------+Airteagal 12 7
---+Airteagal 13 Plean feabhsúcháin
------+Airteagal 13 1
------+Airteagal 13 2
---+Airteagal 14 Fianú
------+Airteagal 14 1
------+Airteagal 14 2
---+Airteagal 15 Tástálaithe inmheánacha a úsáid
------+Airteagal 15 1
------+Airteagal 15 2
------+Airteagal 15 3
------+Airteagal 15 4
---+Airteagal 16 Comhar agus aitheantas frithpháirteach
------+Airteagal 16 1
------+Airteagal 16 2
------+Airteagal 16 3
------+Airteagal 16 4
------+Airteagal 16 5
------+Airteagal 16 6
---+Airteagal 17 Teacht i bhfeidhm
---+ANNEX I Content of the project charter (Article 9(2)(a))
---+ANNEX II Content of the scope specification document (Article 9(6))
---+ANNEX III Content of the targeted threat intelligence report (Article 10(5))
------+1. The overall scope of the intelligence research including at least the following: (a) critical or …
------+2. The overall assessment of what concrete actionable intelligence can be found about the financial …
------+3. Threat intelligence analysis considering the general threat landscape and the particular …
------+4. Threat profiles of the malicious actors (specific individual/group or generic class) that may …
------+5. Threat scenarios: at least three end-to-end threat scenarios for the threat profiles identified …
------+6. Where relevant, a description of the non-threat-led scenario referred to in Article 10(4).
---+ANNEX IV Content of the red team test plan (Article 11(1))
---+ANNEX V Content of the red team test report (Article 12(2))
---+ANNEX VI Content of the blue team test report (Article 12(4))
------+1. for each attack step described by the testers in the red team test report: (a) list of detected …
------+2. assessment of the findings and recommendations of the testers;
------+3. evidence of the attack by the testers collected by the blue team;
------+4. blue team root cause analysis of successful attacks by the testers;
------+5. list of lessons learned and identified potential for improvement;
------+6. list of topics to be addressed in purple teaming.
---+ANNEX VII Details of the report summarizing the relevant findings of the TLPT referred to in Article 26(6) of Regulation (EU) 2022/2554
---+ANNEX VIII Details of the attestation of the TLPT referred to in Article 26(7) of Regulation (EU) 2022/2554
|
English -
European Union -
Financial Industry -
DORA -
ICT -
Cybersecurity -
RIALACHÁN TARMLIGTHE (AE) 2025/1190 ÓN gCOIMISIÚN an 13 Feabhra 2025 lena bhforlíontar Rialachán (AE) 2022/2554 ó Pharlaimint na hEorpa agus ón gComhairle maidir le caighdeáin theicniúla rialála lena sonraítear na critéir a úsáidtear chun eintitis airgeadais a shainaithint a gceanglaítear orthu tástáil treáite bunaithe ar bhagairtí a dhéanamh, na ceanglais agus na caighdeáin lena rialaítear úsáid tástálaithe inmheánacha, na ceanglais i ndáil leis an raon feidhme, leis an modheolaíocht tástála agus leis an gcur chuige le haghaidh gach céime de na céimeanna tástála, torthaí, clabhsúir agus feabhsúcháin agus an cineál comhair maoirseachta agus comhair ábhartha eile is gá chun TLPT a chur chun feidhme agus chun aitheantas frithpháirteach a éascú (Téacs atá ábhartha maidir le LEE)
RIALACHÁN TARMLIGTHE (AE) 2025/1190 ÓN gCOIMISIÚN
an 13 Feabhra 2025
lena bhforlíontar Rialachán (AE) 2022/2554 ó Pharlaimint na hEorpa agus ón gComhairle maidir le caighdeáin theicniúla rialála lena sonraítear na critéir a úsáidtear chun eintitis airgeadais a shainaithint a gceanglaítear orthu tástáil treáite bunaithe ar bhagairtí a dhéanamh, na ceanglais agus na caighdeáin lena rialaítear úsáid tástálaithe inmheánacha, na ceanglais i ndáil leis an raon feidhme, leis an modheolaíocht tástála agus leis an gcur chuige le haghaidh gach céime de na céimeanna tástála, torthaí, clabhsúir agus feabhsúcháin agus an cineál comhair maoirseachta agus comhair ábhartha eile is gá chun TLPT a chur chun feidhme agus chun aitheantas frithpháirteach a éascú
(Téacs atá ábhartha maidir le LEE)
1. Forbhreathnú
| Teideal |
Rialáil |
|
Preamble: 1
|
TÁ AN COIMISIÚN EORPACH,
Ag féachaint don Chonradh ar Fheidhmiú an Aontais Eorpaigh,
Ag féachaint do Rialachán (AE) 2022/2554 ó Pharlaimint na hEorpa agus ón gComhairle an 14 Nollaig 2022 maidir le hathléimneacht dhigiteach oibríochtúil don earnáil airgeadais agus lena leasaítear Rialacháin (CE) Uimh. 1060/2009, (AE) Uimh. 648/2012, (AE) Uimh. 600/2014, (AE) Uimh. 909/2014 agus (AE) 2016/1011 (1), agus go háirithe Airteagal 26(11), an ceathrú mír, de,
De bharr an mhéid seo a leanas:
|
(1)
|
Dréachtaíodh an Rialachán seo i gcomhréir le creat TIBER-EU agus tá sé ar aon dul le modheolaíocht, próiseas agus struchtúr na tástála treáite bunaithe ar bhagairtí (TLPT) mar a thuairiscítear in TIBER-EU. Féadfaidh eintitis airgeadais atá faoi réir TLPT tagairt a dhéanamh do chreat TIBER-EU, nó do cheann dá chur chun feidhme náisiúnta, agus é a chur i bhfeidhm, a mhéid atá an creat nó an cur chun feidhme sin comhsheasmhach leis na ceanglais a leagtar amach in Airteagail 26 agus 27 de Rialachán (AE) 2022/2554 agus sa Rialachán seo. Maidir le hainmniú údaráis phoiblí aonair san earnáil airgeadais atá freagrach as ábhair a bhaineann le TLPT ar an leibhéal náisiúnta i gcomhréir le hAirteagal 26(9) de Rialachán (AE) 2022/2554, ba cheart an t-ainmniú sin a bheith gan dochar d’inniúlacht údarás inniúil arna cur ar iontaoibh ar leibhéal an Aontais maoirseacht a dhéanamh ar eintitis airgeadais áirithe i gcomhréir le hAirteagal 46 den Rialachán sin amhail, mar shampla, an Banc Ceannais Eorpach le haghaidh institiúidí creidmheasa móra a mheasfar a bheith inniúil ar ábhair a bhaineann le TLPT. I gcás nach ndéantar ach cuid de na cúraimí a bhaineann le TLPTanna a tharmligean chuig údarás náisiúnta eile san earnáil airgeadais de bhun Airteagal 26(10) de Rialachán (AE) 2022/2554, ba cheart d’údarás inniúil an eintitis airgeadais dá dtagraítear in Airteagal 46 den Rialachán sin leanúint de bheith ina údarás le haghaidh na gcúraimí a bhaineann le TLPT nár tarmligeadh.
|
|
(2)
|
I bhfianaise chastacht TLPT agus na rioscaí a bhaineann leis, ba cheart a úsáid a theorannú do na heintitis airgeadais sin a bhfuil údar leis ina leith. Dá bhrí sin, ba cheart do na húdaráis atá freagrach as cúrsaí TLPT (údaráis TLPT, ar leibhéal an Aontais nó ar an leibhéal náisiúnta) na heintitis airgeadais sin a oibríonn i bhfo-earnálacha croísheirbhísí airgeadais nach bhfuil údar le TLPT ina leith a eisiamh ó raon feidhme TLPT. Ciallaíonn sé sin go bhféadfaí institiúidí creidmheasa, institiúidí íocaíochta agus ríomh-airgid, taisclanna lárnacha slándála, contrapháirtithe lárnacha, ionaid trádála, gnóthais árachais agus athárachais, cé go gcomhlíonann siad na critéir chainníochtúla, a scaoileadh ó cheanglas TLPT i bhfianaise measúnú foriomlán ar a bpróifíl riosca TFC agus ar a n-aibíocht, ar a dtionchar ar an earnáil airgeadais, agus ar na hábhair imní ghaolmhara maidir le cobhsaíocht airgeadais.
|
|
(3)
|
Ba cheart d’údaráis TLPT measúnú a dhéanamh, i bhfianaise measúnú foriomlán ar an bpróifíl riosca TFC agus ar an aibíocht, ar an tionchar ar an earnáil airgeadais, agus ar ábhair imní ghaolmhara maidir le cobhsaíocht airgeadais, ar cheart d’aon chineál eintitis airgeadais seachas institiúidí creidmheasa, institiúidí íocaíochta, institiúidí ríomh-airgid, contrapháirtithe lárnacha, taisclanna lárnacha urrús, ionaid trádála, gnóthais árachais agus athárachais a bheith faoi réir TLPT. Ba cheart é a bheith d’aidhm ag an measúnú ar cé acu a chomhlíonann nó nach gcomhlíonann eintitis airgeadais den sórt sin na critéir cháilíochtúla sin eintitis airgeadais a shainaithint a bhfuil TLPT iomchuí ina leith trí tháscairí trasearnála agus oibiachtúla a úsáid. An tráth céanna, leis an measúnú ar cé acu a chomhlíonann nó nach gcomhlíonann eintiteas airgeadais na critéir cháilíochtúla sin, ba cheart na heintitis atá faoi réir TLPT a theorannú dóibh siúd a bhfuil údar leis an tástáil ina leith. Ba cheart measúnú a dhéanamh freisin ar cé acu a chomhlíonann nó nach gcomhlíonann eintiteas airgeadais na critéir cháilíochtúla sin i bhfianaise forbairt margaí nua agus thábhacht mhéadaitheach rannpháirtithe nua sa mhargadh don earnáil airgeadais amach anseo, lena n-áirítear soláthraithe seirbhísí cripteashócmhainní a údaraítear i gcomhréir le hAirteagal 59 de Rialachán (AE) 2023/1114 ó Pharlaimint na hEorpa agus ón gComhairle (2).
|
|
(4)
|
D’fhéadfadh an soláthraí seirbhíse TFC inghrúpa céanna a bheith ag eintitis airgeadais nó d’fhéadfaidís a bheith sa ghrúpa céanna agus a bheith ag brath ar chórais TFC chomhroinnte a úsáid. Sa chás sin, tá sé tábhachtach go gcuirfeadh údaráis TLPT struchtúr agus cineál sistéamach nó tábhacht d’earnáil airgeadais an eintitis airgeadais sin san áireamh ar an leibhéal náisiúnta nó ar leibhéal an Aontais agus measúnú á dhéanamh acu ar cheart d’eintiteas airgeadais a bheith faoi réir TLPT agus ar cheart TLPT a dhéanamh ar leibhéal an eintitis nó ar leibhéal an ghrúpa (trí TLPT comhpháirteach).
|
|
(5)
|
Chun bheith ar aon dul leis an gcreat TIBER-EU, is gá foráil a dhéanamh sa mhodheolaíocht tástála maidir le rannpháirtíocht na bpríomh-rannpháirtithe seo a leanas: an t-eintiteas airgeadais, le foireann rialaithe (ar aon dul le ‘foireann rialaithe’ TIBER-EU) agus foireann ghorm (ar aon dul le ‘foireann ghorm’ TIBER-EU), agus údarás TLPT, i bhfoirm cibearfhoireann TLPT (ar aon dul le ‘cibearfhoirne TIBER-EU’), soláthraí faisnéise bagartha, agus tástálaithe (trína bhfuil na tástálaithe ar aon dul le ‘soláthraí fhoireann dhearg’ TIBER-EU).
|
|
(6)
|
Chun a áirithiú go dtairbheoidh TLPT den taithí a forbraíodh faoi chuimsiú chur chun feidhme TIBER-EU agus chun na rioscaí a bhaineann le feidhmíocht TLPT a laghdú, ba cheart a áirithiú go mbeidh freagrachtaí chibearfhoirne TLPT atá le bunú ar leibhéal údaráis TLPT chomh gar agus is féidir do fhreagrachtaí chibearfhoirne TIBER-EU. Dá bhrí sin, ba cheart bainisteoirí tástála a bheith ag cibearfhoirne TLPT atá freagrach as maoirseacht a dhéanamh ar TLPTanna aonair agus as tástálacha aonair a phleanáil agus a chomhordú. Ba cheart do chibearfhoirne TLPT feidhmiú mar phointe teagmhála aonair le haghaidh cumarsáid a bhaineann le tástálacha le páirtithe leasmhara inmheánacha agus seachtracha, chun aiseolas agus ceachtanna a foghlaimíodh ó thástálacha a rinneadh roimhe seo a bhailiú agus a phróiseáil, agus chun tacú le heintitis airgeadais a bhfuil tástáil TLPT á déanamh orthu.
|
|
(7)
|
Chun bheith ar aon dul le modheolaíocht chreat TIBER-EU, ba cheart na scileanna agus na cumais is gá a bheith ag bainisteoirí tástála chun comhairle a sholáthar agus chun dúshlán a thabhairt do thograí tástálaithe. Cruthaíodh le taithí faoi chreat TIBER-EU go bhfuil sé luachmhar foireann de bheirt bhainisteoirí tástála ar a laghad a shannadh do gach tástáil. Chun a léiriú go n-úsáidtear TLPT chun an t-eispéireas foghlama a spreagadh, chun rúndacht na dtástálacha a choimirciú, agus mura bhfuil saincheisteanna acmhainní nó saineolais acu, moltar go láidir d’údaráis TLPT a mheas nár cheart do bhainisteoirí tástála, ar feadh fhad TLPT, gníomhaíochtaí maoirseachta a dhéanamh ar an eintiteas airgeadais céanna a bhfuil TLPT á dhéanamh air.
|
|
(8)
|
Tá sé tábhachtach, ar mhaithe le comhsheasmhacht le creat TIBER-EU, go leanfaidh údarás TLPT an tástáil go dlúth i ngach ceann dá chéimeanna. I bhfianaise chineál na tástála agus na rioscaí a bhaineann léi, tá sé bunúsach go mbeidh baint ag údarás TLPT le gach céim shonrach den tástáil. Go háirithe, ba cheart dul i gcomhairle le húdarás TLPT agus ba cheart dó na measúnuithe nó na cinntí sin de chuid na n-eintiteas airgeadais a bhailíochtú a d’fhéadfadh, ar thaobh amháin, tionchar a imirt ar éifeachtacht na tástála agus, ar an taobh eile, tionchar a imirt ar na rioscaí a bhaineann leis an tástáil. Áirítear ar na céimeanna bunúsacha ar a bhfuil gá le rannpháirtíocht shonrach údarás TLPT bailíochtú doiciméadachta bunúsaí áirithe den tástáil, agus roghnú soláthraithe agus tástálaithe faisnéise bagartha agus bearta bainistíochta riosca. Níor cheart ualach iomarcach ar na húdaráis sin a bheith mar thoradh ar rannpháirtíocht údaráis TLPT, agus go háirithe i gcás bailíochtú, agus ba cheart, dá bhrí sin, í a theorannú do na doiciméid agus na cinntí sin a dhéanann difear díreach do dhéanamh TLPT. Tríd an rannpháirtíocht ghníomhach i ngach céim den tástáil, féadfaidh údaráis TLPT measúnú éifeachtach a dhéanamh ar chomhlíontacht na n-eintiteas airgeadais leis na ceanglais ábhartha, rud ba cheart a cheadú do na húdaráis sin fianuithe a eisiúint de bhun Airteagal 26(7) de Rialachán (AE) 2022/2554.
|
|
(9)
|
Tá rúndacht TLPT ríthábhachtach chun a áirithiú go bhfuil dálaí na tástála réalaíoch. Ar an gcúis sin, ba cheart tástáil a dhéanamh faoi cheilt, agus ba cheart réamhchúraimí a ghlacadh chun TLPT a choimeád faoi rún, lena n-áirítear rogha na gcódainmneacha ba cheart a cheapadh chun cosc a chur ar thríú páirtithe TLPT a shainaithint. Dá mbeadh na baill foirne atá freagrach as slándáil na foirne airgeadais ar an eolas faoi TLPT atá beartaithe nó atá ar siúl faoi láthair, is dócha go mbeidís níos géarchúisí agus níos airdeallaí ná mar a bheidís le linn gnáthdhálaí oibre, rud a d’fhágfadh go mbeadh toradh athraithe ar an tástáil. Dá bhrí sin, níor cheart baill foirne an eintitis airgeadais lasmuigh den fhoireann rialaithe a chur ar an eolas faoi aon TLPT atá beartaithe nó atá ar siúl faoi láthair ach amháin i gcás ina bhfuil cúiseanna áititheacha ann agus faoi réir chomhaontú roimh ré na mbainisteoirí tástála, inter alia chun rúndacht na tástála a áirithiú i gcás ina mbraithfidh comhaltaí den fhoireann ghorm an tástáil.
|
|
(10)
|
Mar a léirítear tríd an taithí a bailíodh i gcreat TIBER-EU i ndáil leis an ‘bhfoireann rialaithe’, tá roghnú ceannasaí foirne rialaithe leordhóthanach fíor-riachtanach chun TLPT a dhéanamh go sábháilte. Ba cheart an sainordú is gá a bheith ag ceannasaí na foirne rialaithe laistigh den eintiteas airgeadais chun gnéithe uile na tástála a threorú, gan a rúndacht a chur i mbaol. Ar an gcúis chéanna, ba cheart eolas domhain a bheith ag comhaltaí na foirne rialaithe ar an eintiteas airgeadais, ar ról poist agus suíomh straitéiseach cheannasaí na foirne rialaithe, ba cheart an tsinsearacht is gá a bheith acu agus ba cheart rochtain a bheith acu ar an mbord bainistíochta. Chun an riosca go gcuirfí TLPT i mbaol a laghdú, ba cheart an fhoireann rialaithe a bheith chomh beag agus is féidir.
|
|
(11)
|
Tá gnéithe bunúsacha de rioscaí a bhaineann le TLPT ann de réir mar a dhéantar feidhmeanna criticiúla a thástáil i dtimpeallacht táirgthe bheo, agus an fhéidearthacht ann go mbeadh sé ina chúis le teagmhais diúltaithe seirbhíse, tuairteanna córais gan choinne, damáistí do chórais táirgthe bheo chriticiúla, nó caillteanas, mionathrú nó nochtadh sonraí. Cuireann na rioscaí sin an gá atá le bearta láidre bainistíochta riosca i dtábhacht. Chun a áirithiú go ndéanfar TLPT ar bhealach rialaithe ar feadh na tástála, tá sé an-tábhachtach go mbeadh eintitis airgeadais ar an eolas i gcónaí faoi na rioscaí ar leith a thagann chun cinn in TLPT agus go maolófaí na rioscaí sin. I ndáil leis sin, gan dochar do phróisis inmheánacha an eintitis airgeadais agus don fhreagracht agus do na toscaireachtaí a soláthraíodh cheana féin do cheannasaí na foirne rialaithe, d’fhéadfadh sé gurb iomchuí faisnéis faoi bhearta bainistíochta riosca TLPT, nó, go háirithe i gcásanna áirithe, formheas na mbeart bainistíochta riosca sin ag comhlacht bainistíochta an eintitis airgeadais féin. Chun bheith in ann seirbhísí gairmiúla éifeachtacha arb iad na seirbhísí is cáilithe a sholáthar agus chun na rioscaí sin a laghdú, tá sé fíor-riachtanach freisin go mbeidh an leibhéal is airde scileanna, saineolais agus taithí iomchuí ag na tástálaithe agus ag na soláthraithe faisnéise bagartha (i dteannta a chéile, na soláthraithe TLPT) ar fhaisnéis bhagartha agus ar TLPT i dtionscal na seirbhísí airgeadais.
|
|
(12)
|
Soláthraítear le tástálacha treáite traidisiúnta measúnú mionsonraithe agus úsáideach ar leochaileachtaí teicniúla agus cumraíochta go minic i gcóras nó i dtimpeallacht aonair ar leithlis, ach murab ionann agus tástáil foirne deirge bunaithe ar fhaisnéis, ní dhéanann siad measúnú ar an gcás iomlán d’ionsaí spriocdhírithe in aghaidh eintiteas iomlán, lena n-áirítear raon feidhme iomlán a chuid daoine, próiseas agus teicneolaíochtaí. Le linn phróiseas roghnúcháin sholáthraithe TLPT, ba cheart d’eintitis airgeadais a áirithiú, dá bhrí sin, go bhfuil na scileanna riachtanacha ag na soláthraithe sin chun tástálacha foirne deirge bunaithe ar fhaisnéis a dhéanamh, agus ní hamháin tástálacha treáite. Is gá, dá bhrí sin, critéir chuimsitheacha a leagan síos do thástálaithe, idir thástálaithe inmheánacha agus tástálaithe seachtracha, agus do sholáthraithe faisnéise bagartha a bhíonn seachtrach i gcónaí. I gcás ina mbaineann na soláthraithe TLPT leis an gcuideachta chéanna, ba cheart an fhoireann atá sannta do TLPT a dheighilt go leordhóthanach.
|
|
(13)
|
D’fhéadfadh imthosca eisceachtúla a bheith ann nuair nach bhfuil eintitis airgeadais in ann conradh a dhéanamh le soláthraithe TLPT a chomhlíonann na critéir chuimsitheacha. Dá bhrí sin, ba cheart cead a bheith ag eintitis airgeadais, ar fhianaise a thabhairt nach bhfuil soláthraithe faisnéise bagartha den sórt sin ar fáil, daoine nach gcomhlíonann na critéir chuimsitheacha uile a ghlacadh, ar choinníoll go maolaíonn siad go cuí aon riosca breise a eascraíonn as sin agus go ndéanann údarás TLPT measúnú ar na critéir sin uile.
|
|
(14)
|
I gcás ina bhfuil roinnt eintitis airgeadais agus roinnt údaráis TLPT rannpháirteach in TLPT, ba cheart róil na bpáirtithe uile i bpróiseas TLPT a shonrú chun an tástáil is éifeachtúla agus is sábháilte a dhéanamh. Chun críocha na tástála comhthiomsaithe, tá gá le ceanglais shonracha chun ról an eintitis airgeadais ainmnithe a shonrú, is é sin gur cheart dó a bheith i gceannas ar an doiciméadacht uile is gá a sholáthar don phríomhúdarás TLPT agus ar fhaireachán a dhéanamh ar an bpróiseas tástála. Ba cheart don eintiteas airgeadais ainmnithe a bheith i gceannas freisin ar ghnéithe coiteanna an mheasúnaithe ar bhainistiú riosca. D’ainneoin ról an eintitis airgeadais ainmnithe, níor cheart difear a dhéanamh d’oibleagáidí gach eintitis airgeadais atá rannpháirteach sa phróiseas TLPT comhthiomsaithe le linn na tástála comhthiomsaithe. Ba cheart feidhm a bheith ag an bprionsabal céanna maidir le TLPTanna comhpháirteacha.
|
|
(15)
|
Mar is léir ón taithí a fuarthas ar chur chun feidhme chreat TIBER-EU, is é an bealach is éifeachtúla chun a áirithiú go ndéanfar an tástáil go hiomchuí cruinnithe pearsanta nó fíorúla a thionól lena n-áirítear na páirtithe leasmhara uile lena mbaineann (eintitis airgeadais, údaráis, tástálaithe agus soláthraithe faisnéise bagartha). Dá bhrí sin, ba cheart cruinnithe pearsanta agus cruinnithe fíorúla a thionól ag céimeanna éagsúla den phróiseas, agus go háirithe le linn na céime ullmhúcháin ag seoladh TLPT agus chun bailchríoch a chur ar a raon feidhme, le linn na céime tástála, chun bailchríoch a chur ar an tuarascáil maidir le faisnéis bhagartha agus ar phlean tástála na foirne deirge agus le haghaidh na nuashonruithe seachtainiúla, agus le linn chéim an chlabhsúir le haghaidh tástálaithe aithrise agus ghníomhaíochtaí na foirne goirme, modh na foirne corcra agus aiseolas ar TLPT a mhalartú.
|
|
(16)
|
Chun feidhmíocht rianúil TLPT a áirithiú, ba cheart d’údarás TLPT a ionchais maidir leis an tástáil a chur faoi bhráid an eintitis airgeadais go soiléir. I ndáil leis sin, ba cheart do na bainisteoirí tástála a áirithiú go mbunófar sreabhadh iomchuí faisnéise leis an bhfoireann rialaithe laistigh den eintiteas airgeadais, agus le soláthraithe TLPT.
|
|
(17)
|
Ba cheart don eintiteas airgeadais na feidhmeanna criticiúla nó tábhachtacha a bheidh faoi raon feidhme TLPT a roghnú. Agus na feidhmeanna sin á roghnú aige, ba cheart don eintiteas airgeadais é féin a bhunú ar chritéir éagsúla a bhaineann le tábhacht gach feidhme don eintiteas airgeadais féin agus don earnáil airgeadais, ar leibhéal an Aontais agus ar an leibhéal náisiúnta, ní hamháin i dtéarmaí eacnamaíocha ach i bhfianaise stádas siombalach nó polaitiúil na feidhme freisin. Chun aistriú rianúil chuig céim an bhailithe faisnéise bagartha a éascú, ba cheart don fhoireann rialaithe faisnéis mhionsonraithe maidir leis an raon feidhme a comhaontaíodh a sholáthar do na tástálaithe agus don soláthraí faisnéise bagartha nach bhfuil baint acu leis an bpróiseas raoin feidhme.
|
|
(18)
|
Chun an fhaisnéis is gá a sholáthar do na tástálaithe chun ionsaí fíorshaoil réalaíoch a ionsamhlú ar chórais bheo an eintitis airgeadais atá mar bhonn taca faoina fheidhmeanna criticiúla nó tábhachtacha, ba cheart don soláthraí faisnéise bagartha faisnéis a bhailiú lena gcumhdaítear dhá phríomhréimse spéise ar a laghad: na spriocanna, trí raonta inionsaithe a d’fhéadfadh a bheith ann ar fud an eintitis airgeadais a shainaithint, agus na bagairtí, trí ghníomhaithe bagartha ábhartha agus cásanna bagartha dóchúla a shainaithint. Chun a áirithiú go gcuirfidh an soláthraí faisnéise bagartha na bagairtí ábhartha don eintiteas airgeadais san áireamh, ba cheart do na tástálaithe, don fhoireann rialaithe, agus do na bainisteoirí tástála aiseolas a sholáthar faoin dréacht-tuarascáil maidir le faisnéis bhagartha. Má tá sé ar fáil, féadfaidh an soláthraí faisnéise bagartha úsáid a bhaint as timpeallacht chineálach na bagartha arna soláthar ag údarás TLPT d’earnáil airgeadais Ballstáit mar bhonnlíne do thimpeallacht náisiúnta na bagartha. Bunaithe ar fheidhmchlár chreat TIBER-EU, maireann an próiseas bailithe faisnéise bagartha thart ar 4 seachtaine de ghnáth.
|
|
(19)
|
Chun é a chur ar a gcumas do na tástálaithe léargas a fháil agus athbhreithniú breise a dhéanamh ar dhoiciméad na sonraíochta raoin feidhme agus ar an tuarascáil faisnéise bagartha spriocdhírithe chun plean tástála na foirne deirge a thabhairt chun críche, tá sé fíor-riachtanach, roimh chéim thástála fhoireann dhearg TLPT, go bhfaighidh na tástálaithe mínithe mionsonraithe ón soláthraí faisnéise bagartha maidir leis an tuarascáil faisnéise bagartha spriocdhírithe agus maidir leis an anailís ar chásanna bagartha a d’fhéadfadh a bheith ann.
|
|
(20)
|
Chun é a chur ar a gcumas do na tástálaithe tástáil réalaíoch agus chuimsitheach a dhéanamh ina bhforghníomhaítear gach céim ionsaithe agus ina mbaintear bratacha amach, ba cheart am leordhóthanach a leithdháileadh ar chéim thástála na foirne deirge gníomhaí. Ar bhonn na taithí a bailíodh le creat TIBER-EU, ba cheart 12 sheachtain ar a laghad a bheith san am a leithdháilfear agus ba cheart é a chinneadh agus an líon páirtithe lena mbaineann, raon feidhme TLPT, acmhainní an eintitis airgeadais nó na n-eintiteas airgeadais lena mbaineann, aon cheanglas seachtrach, agus infhaighteacht na faisnéise tacaíochta arna soláthar ag an eintiteas airgeadais á gcur san áireamh.
|
|
(21)
|
Le linn chéim thástála na foirne deirge gníomhaí, ba cheart do na tástálaithe raon beartaíochta, teicnící agus nósanna imeachta (TTPanna) a úsáid chun tástáil leordhóthanach a dhéanamh ar chórais táirgthe bheo an eintitis airgeadais. Ba cheart an méid a leanas a bheith sna TTPanna, de réir mar is iomchuí; taiscéalaíocht (i.e. an oiread faisnéise agus is féidir a bhailiú maidir le sprioc), armáil (i.e. anailís a dhéanamh ar fhaisnéis maidir leis an mbonneagar, na saoráidí, agus na fostaithe agus ullmhú do na hoibríochtaí a bhaineann go sonrach leis an sprioc), seachadadh (i.e. seoladh gníomhach na hoibríochta iomláine ar an sprioc), dúshaothrú (i.e. i gcás inarb é sprioc na dtástálaithe na freastalaithe, líonraí an eintitis airgeadais a chur i mbaol agus a fhoireann a dhúshaothrú trí innealtóireacht shóisialta), rialú agus gluaiseacht (i.e. iarrachtaí bogadh ó na córais a cuireadh i mbaol go córais leochaileacha nó ardluacha eile), agus gníomhaíochtaí ar sprioc (i.e. rochtain bhreise a fháil ar chórais a cuireadh i mbaol agus rochtain a fháil ar an bhfaisnéis agus na sonraí sprice a comhaontaíodh roimhe seo, mar a comhaontaíodh roimhe seo i bplean tástála na foirne deirge).
|
|
(22)
|
Agus TLPT á dhéanamh acu, ba cheart do thástálaithe gníomhú agus an t-am atá ar fáil chun an t-ionsaí a dhéanamh, na hacmhainní agus na teorainneacha eiticiúla agus dlíthiúla a chur san áireamh. Mura mbeidh na tástálaithe in ann dul ar aghaidh chuig an gcéad chéim eile den ionsaí atá cláraithe, ba cheart don fhoireann rialaithe cúnamh ócáideach a sholáthar, ar chomhaontú ó údarás TLPT, i bhfoirm ‘fóirithintí’. Is féidir fóirithintí a chatagóiriú den chuid is mó i bhfóirithintí faisnéise agus rochtana agus d’fhéadfadh soláthar rochtana ar chórais TFC nó ar líonraí inmheánacha a bheith iontu chun leanúint ar aghaidh leis an tástáil agus díriú ar na céimeanna ionsaithe seo a leanas.
|
|
(23)
|
Le linn mhodh gníomhach na foirne deirge sa chéim tástála, más gá chun gur féidir leanúint le TLPT mar rogha dheiridh in imthosca eisceachtúla agus a luaithe a bheidh na roghanna malartacha uile ídithe, ba cheart gníomhaíocht tástála chomhoibríoch a bhfuil baint ag na tástálaithe agus ag an bhfoireann ghorm araon léi a úsáid. I gcomhthéacs chleachtadh teoranta mhodh na foirne corcra den sórt sin, is féidir na modhanna seo a leanas a úsáid: ‘gabháil agus scaoileadh’, ina ndéanann tástálaithe iarracht leanúint ar aghaidh leis na cásanna, brath a fháil agus ansin an tástáil a atosú, ‘cluichíocht chogaidh’, lenar féidir cásanna níos casta a bheith ann chun cinnteoireacht straitéiseach a thástáil, nó ‘cruthúnas coincheapa comhoibritheach’ lena gcuirtear é ar a gcumas do thástálaithe agus do bhaill den fhoireann ghorm bearta, uirlisí nó teicnící slándála sonracha a bhailíochtú go comhpháirteach i dtimpeallacht rialaithe agus chomhoibríoch.
|
|
(24)
|
Ba cheart TLPT a úsáid mar eispéireas foghlama chun athléimneacht dhigiteach oibríochtúil na n-eintiteas airgeadais a fheabhsú. I ndáil leis sin, ba cheart don fhoireann ghorm agus do na tástálaithe an t-ionsaí a dhéanamh arís agus athbhreithniú a dhéanamh ar na céimeanna a glacadh chun foghlaim ón taithí tástála i gcomhar leis na tástálaithe. Chun na críche sin agus chun go mbeifear in ann ullmhúchán leordhóthanach a dhéanamh, ba cheart tuarascáil tástála na foirne deirge agus tuarascáil tástála na foirne goirme a chur ar fáil do na páirtithe uile a bhfuil baint acu leis na gníomhaíochtaí aithrise, sula ndéanfar aon ghníomhaíocht aithrise. Ina theannta sin, ba cheart cleachtadh mhodh na foirne corcra a dhéanamh, le linn na céime clabhsúir, chun an taithí foghlama a uasmhéadú. Ba cheart a áireamh ar na modhanna a fhéadfar a úsáid le haghaidh mhodh na foirne corcra sa chéim chlabhsúir plé ar chásanna malartacha ionsaithe, imscrúdú ar chórais bheo a dhéanamh ar chásanna malartacha nó imscrúdú a athdhéanamh ar chásanna pleanáilte ar chórais bheo nárbh fhéidir leis na tástálaithe a chur i gcrích ná a fhorghníomhú le linn na céime tástála.
|
|
(25)
|
Chun eispéireas foghlama na bpáirtithe uile a bhfuil baint acu le TLPT a éascú a thuilleadh, ar mhaithe le tástálacha amach anseo, agus chun athléimneacht oibríochtúil dhigiteach na n-eintiteas airgeadais a chur chun cinn, ba cheart do na páirtithe lena mbaineann aiseolas a sholáthar dá chéile maidir leis an bpróiseas foriomlán, agus go háirithe a shainaithint cé hiad na gníomhaíochtaí a ndearnadh dul chun cinn maith ina leith nó a bhféadfaí feabhas a chur orthu, agus cé hiad na gnéithe de phróiseas TLPT a d’oibrigh go maith nó a bhféadfaí feabhas a chur orthu.
|
|
(26)
|
Ba cheart do na húdaráis inniúla dá dtagraítear in Airteagal 46 de Rialachán (AE) 2022/2554 agus d’údaráis TLPT, i gcás nach ionann iad, comhoibriú chun ardtástáil trí bhíthin TLPT a ionchorprú sna próisis mhaoirseachta atá ann cheana. I ndáil leis sin agus chun an tuiscint cheart a roinnt ar thorthaí TLPT agus ar an gcaoi ar cheart iad a léirmhíniú, is iomchuí, go háirithe i gcás na tuarascála achoimre tástála agus na bpleananna feabhsúcháin, go mbunófaí dlúthchomhar idir bainisteoirí tástála a bhí rannpháirteach in TLPT agus na maoirseoirí freagracha.
|
|
(27)
|
Ceanglaítear le hAirteagal 26(8), an chéad fhomhír, de Rialachán (AE) 2022/2554 ó eintitis airgeadais go ndéanfaidh siad conradh le tástálaithe seachtracha gach trí thástáil. I gcás ina n-áiríonn eintitis airgeadais tástálaithe inmheánacha agus seachtracha araon ar an bhfoireann tástálaithe, ba cheart a mheas gur TLPT é a dhéantar le tástálaithe inmheánacha chun críocha an Airteagail sin.
|
|
(28)
|
Tá an Rialachán seo bunaithe ar na dréachtchaighdeáin theicniúla rialála a chuir an tÚdarás Baincéireachta Eorpach, an tÚdarás Eorpach um Árachas agus Pinsin Cheirde, an tÚdarás Eorpach um Urrúis agus Margaí (Údaráis Mhaoirseachta Eorpacha) faoi bhráid an Choimisiúin, i gcomhaontú leis an mBanc Ceannais Eorpach.
|
|
(29)
|
Reáchtáil na hÚdaráis Mhaoirseachta Eorpacha comhairliúcháin phoiblí oscailte maidir leis na dréachtchaighdeáin theicniúla rialála ar a bhfuil an Rialachán seo bunaithe, rinne siad anailís ar na costais agus ar na tairbhí a d’fhéadfadh a bheith ag baint leo agus d’iarr siad comhairle ar an nGrúpa Geallsealbhóirí Baincéireachta arna bhunú i gcomhréir le hAirteagal 37 de Rialachán (AE) Uimh. 1093/2010 ó Pharlaimint na hEorpa agus ón gComhairle (3), ar an nGrúpa Geallsealbhóirí Árachais agus Athárachais agus ar an nGrúpa Geallsealbhóirí Pinsean Ceirde arna bhunú i gcomhréir le hAirteagal 37 de Rialachán (AE) Uimh. 1094/2010 ó Pharlaimint na hEorpa agus ón gComhairle (4), agus ar an nGrúpa Geallsealbhóirí um Urrúis agus Margaí arna bhunú i gcomhréir le hAirteagal 37 de Rialachán (AE) Uimh. 1095/2010 ó Pharlaimint na hEorpa agus ón gComhairle (5).
|
|
(30)
|
Chuathas i gcomhairle leis an Maoirseoir Eorpach ar Chosaint Sonraí i gcomhréir le hAirteagal 42(1) de Rialachán (AE) 2018/1725 ó Pharlaimint na hEorpa agus ón gComhairle (6) agus thug an Maoirseoir tuairim an 20 Lúnasa 2024,
|
TAR ÉIS AN RIALACHÁN SEO A GHLACADH:
Beidh an Rialachán seo ina cheangal go huile agus go hiomlán agus beidh sé infheidhme go díreach i ngach Ballstát.
Arna dhéanamh sa Bhruiséil, an 13 Feabhra 2025.
Thar ceann an Choimisiúin
An tUachtarán
Ursula VON DER LEYEN
|
|
Airteagal 1 Sainmhínithe
|
Chun críocha an Rialacháin seo, beidh feidhm ag na sainmhínithe seo a leanas:
|
|
Airteagal 2 Eintitis airgeadais a shainaithint a gceanglaítear orthu TLPT a dhéanamh
|
-
|
|
Airteagal 3 Bainisteoirí Tástála TCT agus TLPT
|
-
|
|
Airteagal 4 Socruithe eagraíochtúla le haghaidh eintitis airgeadais
|
-
|
|
Airteagal 5 Bainistíocht riosca do TLPT
|
-
|
|
Airteagal 6 Bainistíocht riosca le haghaidh TLPTanna comhthiomsaithe nó comhpháirteacha
|
-
|
|
Airteagal 7 Soláthraithe TLPT a roghnú
|
-
|
|
Airteagal 8 Sainiúlachtaí le haghaidh TLPTanna comhthiomsaithe nó TLPTanna comhpháirteacha
|
-
|
|
Airteagal 9 Céim an ullmhúcháin
|
-
|
|
Airteagal 10 An chéim thástála: Faisnéis bhagartha
|
-
|
|
Airteagal 11 An chéim thástála: Tástáil na Foirne Deirge
|
-
|
|
Airteagal 12 Céim an chlabhsúir
|
-
|
|
Airteagal 13 Plean feabhsúcháin
|
-
|
|
Airteagal 14 Fianú
|
-
|
|
Airteagal 15 Tástálaithe inmheánacha a úsáid
|
-
|
|
Airteagal 16 Comhar agus aitheantas frithpháirteach
|
-
|
|
Airteagal 17 Teacht i bhfeidhm
|
Airteagal 17
Tiocfaidh an Rialachán seo i bhfeidhm an fichiú lá tar éis lá a fhoilsithe in Iris Oifigiúil an Aontais Eorpaigh.
(1)
IO L 333, 27.12.2022, lch. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj.
(2) Rialachán (AE) 2023/1114 ó Pharlaimint na hEorpa agus ón gComhairle an 31 Bealtaine 2023 maidir le margaí i gcripteashócmhainní, agus lena leasaítear Rialacháin (AE) Uimh. 1093/2010 agus (AE) Uimh. 1095/2010 agus Treoracha 2013/36/AE agus (AE) 2019/1937 (IO L 150, 9.6.2023, lch. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj).
(3) Rialachán (AE) Uimh. 1093/2010 ó Pharlaimint na hEorpa agus ón gComhairle an 24 Samhain 2010 lena mbunaítear Údarás Maoirseachta Eorpach (an tÚdarás Baincéireachta Eorpach), lena leasaítear Cinneadh Uimh. 716/2009/CE agus lena n-aisghairtear Cinneadh 2009/78/CE ón gCoimisiún (IO L 331, 15.12.2010, lch. 12, ELI: http://data.europa.eu/eli/reg/2010/1093/oj).
(4) Rialachán (AE) Uimh. 1094/2010 ó Pharlaimint na hEorpa agus ón gComhairle an 24 Samhain 2010 lena mbunaítear Údarás Maoirseachta Eorpach (An tÚdarás Eorpach um Árachas agus Pinsin Cheirde), lena leasaítear Cinneadh Uimh. 716/2009/CE agus lena n-aisghairtear Cinneadh 2009/79/CE ón gCoimisiún (IO L 331, 15.12.2010, lch. 48, ELI: http://data.europa.eu/eli/reg/2010/1094/oj).
(5) Rialachán (AE) Uimh. 1095/2010 ó Pharlaimint na hEorpa agus ón gComhairle an 24 Samhain 2010 lena mbunaítear Údarás Maoirseachta Eorpach (an tÚdarás Eorpach um Urrúis agus Margaí), lena leasaítear Cinneadh Uimh. 716/2009/CE agus lena n-aisghairtear Cinneadh 2009/77/CE ón gCoimisiún (IO L 331, 15.12.2010, lch. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).
(6) Rialachán (AE) 2018/1725 ó Pharlaimint na hEorpa agus ón gComhairle an 23 Deireadh Fómhair 2018 maidir le daoine nádúrtha a chosaint i ndáil le sonraí pearsanta a phróiseáil ag institiúidí, comhlachtaí, oifigí agus gníomhaireachtaí an Aontais agus maidir le saorghluaiseacht sonraí den sórt sin, agus lena n-aisghairtear Rialachán (CE) Uimh. 45/2001 agus Cinneadh Uimh. 1247/2002/CE (IO L 295, 21.11.2018, lch. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(7) Treoir 2013/36/AE ó Pharlaimint na hEorpa agus ón gComhairle an 26 Meitheamh 2013 maidir le rochtain ar ghníomhaíocht institiúidí creidmheasa agus maoirseacht stuamachta ar institiúidí creidmheasa agus ar ghnólachtaí infheistíochta, lena leasaítear Treoir 2002/87/CE agus lena n-aisghairtear Treoracha 2006/48/CE agus 2006/49/CE (IO L 176, 27.6.2013, lch. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).
(8) Treoir (AE) 2015/2366 ó Pharlaimint na hEorpa agus ón gComhairle an 25 Samhain 2015 maidir le seirbhísí íocaíochta sa mhargadh inmheánach, lena leasaítear Treoir 2002/65/CE, Treoir 2009/110/CE agus Treoir 2013/36/AE agus Rialachán (AE) Uimh. 1093/2010, agus lena n-aisghairtear Treoir 2007/64/CE (IO L 337, 23.12.2015, lch. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj).
(9) Treoir 2014/65/AE ó Pharlaimint na hEorpa agus ón gComhairle an 15 Bealtaine 2014 maidir le margaí in ionstraimí airgeadais agus lena leasaítear Treoir 2002/92/CE agus Treoir 2011/61/AE (IO L 173, 12.6.2014, lch. 349, ELI: http://data.europa.eu/eli/dir/2014/65/oj).
(10) Rialachán (AE) Uimh. 600/2014 ó Pharlaimint na hEorpa agus ón gComhairle an 15 Bealtaine 2014 maidir le margaí in ionstraimí airgeadais agus lena leasaítear Rialachán (AE) Uimh. 648/2012 (IO L 173, 12.6.2014, lch. 84, ELI: http://data.europa.eu/eli/dir/2009/138/oj).
(11) Treoir 2009/138/CE ó Pharlaimint na hEorpa agus ón gComhairle an 25 Samhain 2009 maidir le dul i mbun ghnó an Árachais agus an Athárachais agus an gnó sin a shaothrú (Sócmhainneacht II) (IO L 335, 17.12.2009, lch. 1, ELI: http://data.europa.eu/eli/dir/2009/138/oj).
|
|
ANNEX I Content of the project charter (Article 9(2)(a))
|
ANNEX I
Content of the project charter (Article 9(2)(a))
|
Item of information
|
Information required
|
|
Person responsible for the project plan, i.e. the Control Team Lead
|
Name
Contact details
|
|
Testers
|
|
|
Communication channels selected in accordance with Article 9(2), point (d), and Article 9(4) point (a), including:
|
(a)
|
email encryption to be used
|
|
(b)
|
online data rooms to be used
|
|
(c)
|
instant messaging to be used
|
|
|
|
Codename for the TLPT
|
|
|
If any, critical or important functions the financial entity operates in other Member States
|
|
1.
|
list of critical or important functions operated in another Member State
|
|
2.
|
for each critical or important function, indication of the Member State or States in which they are operated
|
|
|
If any, critical or important functions supported by ICT third party service providers
|
|
3.
|
list of critical or important functions supported by ICT third-party service providers
|
|
4.
|
for each function, identification of the ICT third party service provider
|
|
|
Expected deadlines for the completion of the:
|
|
(1)
|
Preparation Phase, in accordance with Article 9
|
|
yyyy-mm-dd
|
|
(2)
|
Testing Phase, in accordance with Articles 10 and 11
|
|
yyyy-mm-dd
|
|
(3)
|
Closure Phase, in accordance with Article 12
|
|
yyyy-mm-dd
|
|
(4)
|
Remediation plan in accordance with Article 13
|
|
yyyy-mm-dd
|
|
|
ANNEX II Content of the scope specification document (Article 9(6))
|
ANNEX II
Content of the scope specification document (Article 9(6))
1.
The scope specification document shall contain a list of all critical or important functions identified by the financial entity.
2.
For each identified critical or important function, the following information shall be included:
|
(a)
|
where the critical or important function is not included in the scope of the TLPT, the explanation of the reasons for which it is not included;
|
|
(b)
|
where the critical or important function is included in the scope of the TLPT:
|
(i)
|
the explanation of the reasons for its inclusion;
|
|
(ii)
|
the identified ICT system(s) supporting that critical or important function;
|
|
(iii)
|
for each identified ICT system:
|
1.
|
whether it is outsourced and if so, the name of the ICT third party service provider;
|
|
2.
|
the jurisdictions in which the ICT system is used;
|
|
3.
|
a high-level description of preliminary flag(s), indicating which security aspect of confidentiality, integrity, authenticity or availability is covered by each flag.
|
|
|
|
|
ANNEX III Content of the targeted threat intelligence report (Article 10(5))
|
ANNEX III Content of the targeted threat intelligence report (Article 10(5))
|
|
ANNEX IV Content of the red team test plan (Article 11(1))
|
ANNEX IV
Content of the red team test plan (Article 11(1))
The red team test plan shall contain information on all of the following:
|
(a)
|
communication channels and procedures;
|
|
(b)
|
the tactics, techniques and procedures allowed and not-allowed for use in the attack, including ethical boundaries for social engineering;
|
|
(c)
|
the risk management measures to be followed by the testers;
|
|
(d)
|
a description for each scenario, including:
|
(i)
|
the simulated threat actor;
|
|
(ii)
|
their intent, motivation and goals;
|
|
(iii)
|
the target function(s) and the supporting ICT system or systems;
|
|
(iv)
|
the targeted confidentiality, integrity, availability and authenticity aspects;
|
|
|
(e)
|
a detailed description of each expected attack path, including pre-requisites and possible leg-ups to be provided by the control team, including deadlines for their provision and potential usage;
|
|
(f)
|
the scheduling of red teaming activities, including time planning for the execution of each scenario, at a minimum split according to the three phases a tester takes throughout the testing phase, respectively entering financial entities’ ICT systems, moving through the ICT systems and ultimately executing actions on objectives and eventually extracting itself from the ICT systems (in, through, and out phases);
|
|
(g)
|
particularities of the financial entities’ infrastructure to be considered during testing;
|
|
(h)
|
if any, additional information or other resources necessary to the testers for executing the scenarios.
|
|
|
ANNEX V Content of the red team test report (Article 12(2))
|
ANNEX V
Content of the red team test report (Article 12(2))
The red team test report shall contain information on at least all of the following:
|
(a)
|
information on the performed attack, including:
|
(i)
|
the targeted critical or important functions and identified ICT systems, processes and technologies supporting the critical or important function, as identified in the red team test plan;
|
|
(ii)
|
summary of each scenario;
|
|
(iii)
|
flags reached and not reached;
|
|
(iv)
|
attack paths followed successfully and unsuccessfully;
|
|
(v)
|
tactics, techniques and procedures used successfully and unsuccessfully;
|
|
(vi)
|
deviations from the red team test plan, if any;
|
|
(vii)
|
leg-ups granted, if any;
|
|
|
(b)
|
all actions that the testers are aware of that were performed by the blue team to reconstruct the attack and to mitigate its effects;
|
|
(c)
|
discovered vulnerabilities and other findings, including:
|
(i)
|
vulnerability and other finding description including their criticality;
|
|
(ii)
|
root cause analysis of successful attacks;
|
|
(iii)
|
recommendations for remediation including indication of the remediation priority.
|
|
|
|
ANNEX VI Content of the blue team test report (Article 12(4))
|
ANNEX VI Content of the blue team test report (Article 12(4))
|
|
ANNEX VII Details of the report summarizing the relevant findings of the TLPT referred to in Article 26(6) of Regulation (EU) 2022/2554
|
ANNEX VII
Details of the report summarizing the relevant findings of the TLPT referred to in Article 26(6) of Regulation (EU) 2022/2554
The test summary report shall contain information on at least all of the following:
|
(a)
|
the parties involved;
|
|
(c)
|
the validated scope, including the rationale behind the inclusion or exclusion of critical or important functions and identified ICT systems, processes, and technologies supporting the critical or important functions covered by the TLPT;
|
|
(d)
|
selected scenarios and any significant deviation from the targeted threat intelligence report;
|
|
(e)
|
executed attack paths, and used tactics, techniques and procedures;
|
|
(f)
|
captured and non-captured flags;
|
|
(g)
|
deviations from the red team test plan, if any;
|
|
(h)
|
blue team detections, if any;
|
|
(i)
|
purple teaming in testing phase, where conducted and the related conditions;
|
|
(j)
|
leg-ups used, if any;
|
|
(k)
|
risk management measures taken;
|
|
(l)
|
identified vulnerabilities and other findings, including their criticality;
|
|
(m)
|
root cause analysis of successful attacks;
|
|
(n)
|
high level plan for remediation, linking the vulnerabilities and other findings, their root causes and remediation priority;
|
|
(o)
|
lessons derived from feedback received.
|
|
|
ANNEX VIII Details of the attestation of the TLPT referred to in Article 26(7) of Regulation (EU) 2022/2554
|
ANNEX VIII
Details of the attestation of the TLPT referred to in Article 26(7) of Regulation (EU) 2022/2554
The attestation shall contain at least all of the following information:
|
(a)
|
on the performed TLPT:
|
(i)
|
the starting and end dates of the TLPT;
|
|
(ii)
|
the critical or important functions in scope of the test;
|
|
(iii)
|
where relevant, information on critical or important functions in scope of the test in relation to which the TLPT was not performed;
|
|
(iv)
|
where relevant, other financial entities that were involved in the TLPT;
|
|
(v)
|
where relevant, the ICT third-party services providers that participated in the TLPT;
|
|
(vi)
|
in respect of testers:
|
1.
|
whether internal testers were used;
|
|
2.
|
whether Article 5(3), second subparagraph, was used by the financial entity;
|
|
|
(vii)
|
the duration, in calendar days, of the active red team testing phase;
|
|
|
(b)
|
where several TLPT authorities have been involved in the TLPT, the other TLPT authorities, and in which capacity;
|
|
(c)
|
list of the documents examined by the TLPT authority for the purposes of the attestation.
|
|
,
1.1 Tagairtí
1.2 Ceanglais aitheanta
1.3 Caighdeáin ghaolmhara
2. Ceanglais aitheanta
Ceanglais
| Foinse |
Ceanglas |
3. Caighdeáin ghaolmhara
Caighdeáin
| Foinse |
Ceanglas |
Saincheisteanna nasctha
|