Άρθρο 26 Προηγμένες δοκιμές εργαλείων, συστημάτων και διαδικασιών ΤΠΕ με βάση τις δοκιμές διείσδυσης βάσει απειλών (TLPT)

1.   Οι χρηματοοικονομικές οντότητες, πλην των οντοτήτων που αναφέρονται στο άρθρο 16 παράγραφος 1 πρώτο εδάφιο και των πολύ μικρών επιχειρήσεων, οι οποίες προσδιορίζονται σύμφωνα με την παράγραφο 8 τρίτο εδάφιο του παρόντος άρθρου, διενεργούν τουλάχιστον ανά τριετία προηγμένες δοκιμές μέσω TLPT. Με βάση το προφίλ κινδύνου της χρηματοοικονομικής οντότητας και λαμβάνοντας υπόψη τις επιχειρησιακές συνθήκες, η αρμόδια αρχή μπορεί, εφόσον απαιτείται, να ζητήσει από τη χρηματοοικονομική οντότητα να μειώσει ή να αυξήσει τη συχνότητα αυτή.

2.   Κάθε δοκιμή παρείσδυσης βάσει απειλών καλύπτει μερικές ή όλες τις κρίσιμες ή σημαντικές λειτουργίες μιας χρηματοοικονομικής οντότητας και διενεργείται σε συστήματα παραγωγής που υποστηρίζουν τις εν λόγω λειτουργίες.

Οι χρηματοοικονομικές οντότητες προσδιορίζουν όλα τα σχετικά υποκείμενα συστήματα, διαδικασίες και τεχνολογίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες και υπηρεσίες ΤΠΕ, συμπεριλαμβανομένων όσων υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες που έχουν αποτελέσει αντικείμενο εξωτερικής ανάθεσης ή υπεργολαβίας σε τρίτους παρόχους υπηρεσιών ΤΠΕ.

Οι χρηματοοικονομικές οντότητες αξιολογούν ποιες κρίσιμες ή σημαντικές λειτουργίες είναι ανάγκη να καλύπτονται από τις TLPT. Το αποτέλεσμα της αξιολόγησης αυτής καθορίζει το ακριβές πεδίο των TLPT και επικυρώνεται από τις αρμόδιες αρχές.

3.   Όταν στο πεδίο των TLPT περιλαμβάνονται τρίτοι πάροχοι υπηρεσιών ΤΠΕ, η χρηματοοικονομική οντότητα λαμβάνει τα αναγκαία μέτρα και διασφαλίσεις για να εξασφαλίσει τη συμμετοχή των εν λόγω τρίτων παρόχων υπηρεσιών ΤΠΕ στις TLPT και διατηρεί ανά πάσα στιγμή την πλήρη ευθύνη για τη διασφάλιση της συμμόρφωσης με τον παρόντα κανονισμό.

4.   Με την επιφύλαξη της παραγράφου 2 πρώτο και δεύτερο εδάφιο, όταν η συμμετοχή τρίτου παρόχου υπηρεσιών ΤΠΕ στις TLPT, που αναφέρεται στην παράγραφο 3, αναμένεται ευλόγως να έχει αρνητικό αντίκτυπο στην ποιότητα ή στην ασφάλεια των υπηρεσιών που παρέχονται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ σε πελάτες που είναι οντότητες μη εμπίπτουσες στο πεδίο εφαρμογής του παρόντος κανονισμού, ή στην εμπιστευτικότητα των δεδομένων που σχετίζονται με τις εν λόγω υπηρεσίες, η χρηματοοικονομική οντότητα και ο τρίτος πάροχος υπηρεσιών ΤΠΕ μπορούν να συμφωνήσουν εγγράφως ότι ο τρίτος πάροχος υπηρεσιών ΤΠΕ συνάπτει απευθείας συμβατικές ρυθμίσεις με εξωτερικό δοκιμαστή, για τον σκοπό της διεξαγωγής, υπό τη διεύθυνση μιας ορισθείσας χρηματοοικονομικής οντότητας, ομαδικών TLPT όπου συμμετέχουν διάφορες χρηματοοικονομικές οντότητες (ομαδικές δοκιμές) στις οποίες ο τρίτος πάροχος υπηρεσιών ΤΠΕ παρέχει υπηρεσίες ΤΠΕ.

Οι εν λόγω ομαδικές δοκιμές καλύπτουν το σχετικό φάσμα υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες που ανατίθενται στον αντίστοιχο τρίτο πάροχο υπηρεσιών ΤΠΕ από τις χρηματοοικονομικές οντότητες. Οι ομαδικές δοκιμές θεωρούνται TLPT που διενεργούνται από τις χρηματοοικονομικές οντότητες που συμμετέχουν στις ομαδικές δοκιμές.

Ο αριθμός των χρηματοοικονομικών οντοτήτων που συμμετέχουν στις ομαδικές δοκιμές βαθμονομείται δεόντως, λαμβανομένων υπόψη της πολυπλοκότητας και των τύπων των σχετικών υπηρεσιών.

5.   Οι χρηματοοικονομικές οντότητες, σε συνεργασία με τρίτους παρόχους υπηρεσιών ΤΠΕ και άλλα εμπλεκόμενα μέρη, συμπεριλαμβανομένων δοκιμαστών αλλά εξαιρουμένων των αρμόδιων αρχών, εφαρμόζουν αποτελεσματικούς ελέγχους διαχείρισης κινδύνων με σκοπό τη μείωση των κινδύνων όσον αφορά τις πιθανές επιπτώσεις στα δεδομένα, την πρόκληση ζημίας στα περιουσιακά στοιχεία και τη διαταραχή κρίσιμων ή σημαντικών λειτουργιών, υπηρεσιών ή δραστηριοτήτων της ίδιας της χρηματοοικονομικής οντότητας, των αντισυμβαλλομένων της ή του χρηματοοικονομικού τομέα.

6.   Με την ολοκλήρωση της δοκιμής, αφού συμφωνηθούν οι εκθέσεις και τα σχέδια αποκατάστασης, η χρηματοοικονομική οντότητα και, κατά περίπτωση, οι εξωτερικοί δοκιμαστές παρέχουν, στην αρχή που έχει οριστεί σύμφωνα με την παράγραφο 9 ή 10, περίληψη των σχετικών ευρημάτων, των σχεδίων αποκατάστασης και της τεκμηρίωσης που αποδεικνύει ότι η TLPT διενεργήθηκε σύμφωνα με τις απαιτήσεις.

7.   Οι αρχές παρέχουν σε χρηματοοικονομικές οντότητες βεβαίωση που επιβεβαιώνει ότι η δοκιμή διενεργήθηκε σύμφωνα με τις απαιτήσεις και τα στοιχεία της τεκμηρίωσης, προκειμένου να καταστεί δυνατή η αμοιβαία αναγνώριση των δοκιμών παρείσδυσης βάσει απειλών μεταξύ των αρμόδιων αρχών. Η χρηματοοικονομική οντότητα κοινοποιεί στη σχετική αρμόδια αρχή τη βεβαίωση, την περίληψη των σχετικών ευρημάτων και τα σχέδια αποκατάστασης.

Με την επιφύλαξη της βεβαίωσης αυτής, οι χρηματοοικονομικές οντότητες παραμένουν ανά πάσα στιγμή πλήρως υπεύθυνες για τις επιπτώσεις των δοκιμών που αναφέρονται στην παράγραφο 4.

8.   Οι χρηματοοικονομικές οντότητες συνάπτουν συμβάσεις με δοκιμαστές για τους σκοπούς της ανάληψης TLPT σύμφωνα με το άρθρο 27. Όταν οι χρηματοοικονομικές οντότητες χρησιμοποιούν εσωτερικούς δοκιμαστές για τους σκοπούς της ανάληψης TLPT, συνάπτουν σύμβαση με εξωτερικούς δοκιμαστές ανά τρεις δοκιμές.

Τα πιστωτικά ιδρύματα τα οποία χαρακτηρίζονται ως σημαντικά σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013 χρησιμοποιούν μόνο εξωτερικούς δοκιμαστές σύμφωνα με το άρθρο 27 παράγραφος 1 στοιχεία α) έως ε).

Οι αρμόδιες αρχές προσδιορίζουν τις χρηματοοικονομικές οντότητες που υποχρεούνται να διενεργούν TLPT, λαμβάνοντας υπόψη τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, αξιολογώντας τα ακόλουθα:

9.   Τα κράτη μέλη μπορούν να ορίσουν μία ενιαία δημόσια αρχή στον χρηματοοικονομικό τομέα ως υπεύθυνη για θέματα σχετικά με τις TLPT στον χρηματοοικονομικό τομέα σε εθνικό επίπεδο και της αναθέτουν όλες τις αρμοδιότητες και τα καθήκοντα για τον σκοπό αυτό.

10.   Ελλείψει ορισμού σύμφωνα με την παράγραφο 9 του παρόντος άρθρου, και με την επιφύλαξη της εξουσίας προσδιορισμού των χρηματοοικονομικών οντοτήτων που απαιτούνται για την εκτέλεση TLPT, μια αρμόδια αρχή μπορεί να αναθέσει την άσκηση ορισμένων ή όλων των καθηκόντων που αναφέρονται στο παρόν άρθρο και στο άρθρο 27 σε άλλη εθνική αρχή του χρηματοοικονομικού τομέα.

11.   Οι ΕΕΑ, σε συμφωνία με την ΕΚΤ, καταρτίζουν κοινά σχέδια ρυθμιστικών τεχνικών προτύπων σύμφωνα με το πλαίσιο TIBER-ΕU, προκειμένου να προσδιορίσουν περαιτέρω:

Κατά την κατάρτιση των εν λόγω σχεδίων ρυθμιστικών τεχνικών προτύπων, οι ΕΕΑ λαμβάνουν δεόντως υπόψη κάθε ειδικό χαρακτηριστικό που προκύπτει από τη διακριτή φύση των δραστηριοτήτων σε διάφορους τομείς χρηματοοικονομικών υπηρεσιών.

Οι ΕΕΑ υποβάλλουν τα εν λόγω σχέδια ρυθμιστικών τεχνικών προτύπων στην Επιτροπή έως τις 17 Ιουλίου 2024.

Ανατίθεται στην Επιτροπή η εξουσία να συμπληρώνει τον παρόντα κανονισμό εκδίδοντας τα ρυθμιστικά τεχνικά πρότυπα που αναφέρονται στο πρώτο εδάφιο, σύμφωνα με τα άρθρα 10 έως 14 των κανονισμών (ΕΕ) αριθ. 1093/2010, (ΕΕ) αριθ. 1094/2010 και (ΕΕ) αριθ. 1095/2010.