Resilience Testing Program

1.   Για τους σκοπούς της αξιολόγησης της ετοιμότητας όσον αφορά τον χειρισμό συμβάντων που σχετίζονται με τις ΤΠΕ, του εντοπισμού αδυναμιών, ελλείψεων και κενών στην ψηφιακή επιχειρησιακή ανθεκτικότητα, καθώς και της άμεσης εφαρμογής διορθωτικών μέτρων, οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, λαμβάνοντας υπόψη τα κριτήρια του άρθρου 4 παράγραφος 2, θεσπίζουν, διατηρούν και επανεξετάζουν ένα άρτιο και ολοκληρωμένο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας ως αναπόσπαστο μέρος του πλαισίου διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6.

2.   Το πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας περιλαμβάνει σειρά αξιολογήσεων, δοκιμών, μεθοδολογιών, πρακτικών και εργαλείων που πρέπει να εφαρμόζονται σύμφωνα με τα άρθρα 25 και 26.

3.   Κατά τη διεξαγωγή του προγράμματος δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου, οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, ακολουθούν προσέγγιση βάσει κινδύνου, λαμβάνοντας υπόψη τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, συνεκτιμώντας δεόντως το εξελισσόμενο τοπίο του κινδύνου ΤΠΕ, τυχόν ειδικούς κινδύνους στους οποίους εκτίθεται ή ενδέχεται να εκτεθεί η συγκεκριμένη χρηματοοικονομική οντότητα, την κρισιμότητα των πληροφοριακών πόρων και των παρεχόμενων υπηρεσιών, καθώς και κάθε άλλο παράγοντα τον οποίο κρίνει κατάλληλο η χρηματοοικονομική οντότητα.

4.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διασφαλίζουν ότι οι δοκιμές πραγματοποιούνται από ανεξάρτητους φορείς, εσωτερικούς ή εξωτερικούς. Όταν διενεργούνται δοκιμές από εσωτερικό δοκιμαστή, οι χρηματοοικονομικές οντότητες διαθέτουν επαρκείς πόρους και διασφαλίζουν την αποφυγή συγκρούσεων συμφερόντων καθ’ όλη τη διάρκεια των φάσεων σχεδιασμού και εκτέλεσης της δοκιμής.

5.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, θεσπίζουν διαδικασίες και πολιτικές για την ιεράρχηση, την ταξινόμηση και την επίλυση όλων των ζητημάτων που ανακύπτουν κατά τη διενέργεια των δοκιμών, και καθιερώνουν εσωτερικές μεθοδολογίες επικύρωσης, ώστε να εξακριβώνεται ότι αντιμετωπίζονται πλήρως όλες οι αδυναμίες, οι ελλείψεις ή τα κενά που έχουν διαπιστωθεί.

6.   Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διασφαλίζουν τουλάχιστον ετησίως ότι διενεργούνται κατάλληλες δοκιμές σε όλα τα συστήματα και εφαρμογές ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.

1.   Το πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας που αναφέρεται στο άρθρο 24 προβλέπει, σύμφωνα με τα κριτήρια του άρθρου 4 παράγραφος 2, τη διενέργεια κατάλληλων δοκιμών, όπως αξιολογήσεις και έλεγχοι ευπαθειών, αναλύσεις ανοικτού κώδικα, αξιολογήσεις ασφάλειας δικτύου, αναλύσεις ελλείψεων, επισκοπήσεις υλικής ασφάλειας, ερωτηματολόγια και λύσεις λογισμικού σάρωσης, επανεξετάσεις πηγαίου κώδικα εφόσον είναι εφικτό, δοκιμές βάσει σεναρίων, δοκιμές συμβατότητας, δοκιμές επιδόσεων, διατερματικές δοκιμές και δοκιμές παρείσδυσης.