Artikkel 10 Testimisetapp: ohuteadmus

1.   Pärast seda, kui ohuteabel põhineva läbistustestimise asutus on kohaldamisala kirjeldamise dokumendi heaks kiitnud, peab ohuteadmuse pakkuja analüüsima finantssektori ettevõtjaga seotud üldist ja sektoripõhist ohuteadmust. Kui ohuteabel põhineva läbistustestimise asutus on esitanud liikmesriigi finantssektori üldise ohumaastiku, siis võib ohuteadmuse pakkuja kasutada seda maastikku riikliku ohumaastiku lähtealusena. Ohuteadmuse pakkuja peab tegema kindlaks finantssektori ettevõtjale avalduvad küberohud ja tema olemasolevad või võimalikud haavatavused. Lisaks sellele peab ohuteadmuse pakkuja koguma teavet konkreetse, kasutatava ja kontekstipõhise sihtmärgi ja ohuteadmuse kohta, mis käsitleb finantssektori ettevõtjat, sh konsulteerides kontrollitiimi ja testijuhtidega, ning seda analüüsima.

2.   Ohuteadmuse pakkuja peab esitama asjakohased ohud ja sihipärase ohuteadmuse ning pakkuma kontrollitiimile, testijatele ja testijuhtidele välja nõutavad stsenaariumid. Välja pakutud stsenaariumid erinevad, olenevalt kindlaks tehtud ohusubjektidest ja nendega seotud taktikatest, võtetest ja menetlustest, ning nende sihtmärgiks on kõik ohuteabel põhineva läbistustestimise kohaldamisalasse kuuluvad kriitilise tähtsusega või olulised funktsioonid.

3.   Kontrollitiim peab valima ohuteabel põhineva läbistustestimise tegemiseks vähemalt kolm stsenaariumi kõigi järgmiste elementide põhjal:

4.   Ainult üks valitud stsenaariumidest võib olla mitte-ohupõhine ning põhineda tulevikku vaataval ja võimalikul teoreetilisel ohul, millel on suur prognoosiv, ennetav, oportunistlik või võimalik väärtus, arvestades finantssektori ettevõtja ohumaastiku eeldatavaid muutusi.

Ühiste ohuteabel põhinevate läbistustestimiste puhul, piiramata testimises osalevate finantssektori ettevõtjate kriitilise tähtsusega või olulistele funktsioonidele otseselt suunatud stsenaariumide kohaldamist, peab vähemalt üks stsenaarium hõlmama kolmandast isikust IKT-teenuste osutaja asjakohaseid aluseks olevaid IKT-süsteeme, -protsesse ja -tehnoloogiat, mis toetavad kohaldamisalasse kuuluvate finantssektori ettevõtjate kriitilise tähtsusega või olulisi funktsioone.

Kui test on liidetud ohuteabel põhinev läbistustestimine, mis hõlmab kontsernisisest IKT-teenuste osutajat, piiramata testimises osalevate finantssektori ettevõtjate kriitilise tähtsusega või olulistele funktsioonidele otseselt suunatud stsenaariumide kohaldamist, peab vähemalt üks stsenaarium hõlmama kolmandast isikust kontsernisisese IKT-teenuste osutaja asjakohaseid aluseks olevaid IKT-süsteeme, -protsesse ja -tehnoloogiat, mis toetavad kohaldamisalasse kuuluvate finantssektori ettevõtjate kriitilise tähtsusega või olulisi funktsioone.

5.   Ohuteadmuse pakkuja peab esitama kontrollitiimile sihipärase ohuteadmuse aruande, sh lõigete 3 ja 4 kohaselt valitud stsenaariumid. Ohuteadmuse aruanne peab sisaldama III lisas märgitud teavet.

6.   Kontrollitiim peab esitama sihipärase ohuteadmuse aruande testijuhile heakskiitmiseks. Kui sihipärase ohuteadmuse aruanne on terviklik ja sellega tagatakse tulemusliku ohuteabel põhineva läbistustestimise läbiviimine, kiidab ohuteabel põhineva läbistustestimise asutus sihipärase ohuteadmuse aruande heaks ja teavitab sellest kontrollitiimi juhti.