+9 artikla Valmisteluvaihe
---+9 artikla 1
---+9 artikla 2
---+9 artikla 3
---+9 artikla 4
---+9 artikla 5
---+9 artikla 6
---+9 artikla 7
---+9 artikla 8
---+9 artikla 9
---+9 artikla 10
---+9 artikla 11
---+9 artikla 12

9 artikla Valmisteluvaihe

-

1. Yleiskatsaus

,
9 artikla 1

1.   Asetuksen (EU) 2022/2554 26 artiklan 8 kohdan kolmannessa alakohdassa tarkoitetun finanssiyhteisön on käynnistettävä uhkaperusteinen tunkeutumistestaus sen jälkeen, kun uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on ilmoittanut, että testi on toteutettava.
9 artikla 2

2.   Finanssiyhteisön on kolmen kuukauden kuluessa 1 kohdassa tarkoitetun ilmoituksen vastaanottamisesta toimitettava testauspäälliköille kaikki seuraavat tiedot uhkaperusteisen tunkeutumistestauksen käynnistämisestä:

a)

hankekuvaus, johon sisältyy liitteessä I esitetyt tiedot sisältävä ylätason hankesuunnitelma;

b)

testaustoimintaa johtavan ryhmän vetäjän yhteystiedot;

c)

tapauksen mukaan 15 artiklan mukaiset tiedot aikomuksesta käyttää sisäisiä tai ulkoisia testaajia tai molempia;

d)

tiedot uhkaperusteisen tunkeutumistestauksen aikana käytettävistä viestintäkanavista;

e)

uhkaperusteisen tunkeutumistestauksen koodinimi.
9 artikla 3

3.   Jos 2 kohdan a–e alakohdassa tarkoitetut tiedot ovat täydelliset ja niillä varmistetaan uhkaperusteisen tunkeutumistestauksen toteuttaminen tarkoituksenmukaisesti ja tuloksellisesti, uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on vahvistettava finanssiyhteisön uhkaperusteisen tunkeutumistestauksen käynnistämistä koskevat tiedot ja ilmoitettava asiasta finanssiyhteisölle.
9 artikla 4

4.   Kun uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on vahvistanut uhkaperusteisen tunkeutumistestauksen käynnistämistä koskevat tiedot, finanssiyhteisön on perustettava testaustoimintaa johtava ryhmä, joka avustaa testaustoimintaa johtavan ryhmän vetäjää seuraavissa tehtävissä:

a)

viestintäkanavien ja -prosessien määrittäminen testaustoimintaa johtavan ryhmän sisäiseen viestintään sekä viestintään testaajien ja uhkatiedustelutietojen tarjoajien kanssa kaikissa uhkaperusteiseen tunkeutumistestaukseen liittyvissä asioissa;

b)

uhkaperusteisen tunkeutumistestauksen edistymisestä ja siihen liittyvistä riskeistä tiedottaminen finanssiyhteisön ylimmälle hallintoelimelle;

c)

aihekohtaiseen asiantuntemukseen perustuvien päätösten tekeminen uhkaperusteisen tunkeutumistestauksen aikana;

d)

uhkaperusteisen tunkeutumistestauksen läpivienti tämän asetuksen mukaisesti;

e)

uhkatiedustelutietojen tarjoajan valitseminen uhkaperusteista tunkeutumistestausta varten;

f)

ulkoisten testaajien, sisäisten testaajien tai molempien valitseminen;

g)

testauksen soveltamisalan määrittävän asiakirjan laatiminen.
9 artikla 5

5.   Jos uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen katsoo, että testaustoimintaa johtava ryhmä on alkuperäisessä kokoonpanossaan ja siihen myöhemmin mahdollisesti tehtävien muutosten jälkeen asianmukainen suorittamaan 4 kohdassa tarkoitetut tehtävät, kyseisen viranomaisen on vahvistettava testaustoimintaa johtava ryhmä ja ilmoitettava asiasta ryhmän vetäjälle.
9 artikla 6

6.   Finanssiyhteisön on toimitettava testauspäälliköille testauksen soveltamisalan määrittävä asiakirja, joka sisältää kaikki liitteessä II esitetyt tiedot, kuuden kuukauden kuluessa siitä, kun se on vastaanottanut uhkaperusteisesta tunkeutumistestauksesta vastaavalta viranomaiselta 1 kohdassa tarkoitetun ilmoituksen. Finanssiyhteisön ylimmän hallintoelimen on hyväksyttävä testauksen soveltamisalan määrittävä asiakirja.
9 artikla 7

7.   Kun finanssiyhteisöt päättävät kriittisten tai tärkeiden toimintojen sisällyttämisestä uhkaperusteiseen tunkeutumistestaukseen, niiden on otettava huomioon seuraavat kriteerit:

a)

toiminnon kriittisyys tai tärkeys ja sen mahdollinen vaikutus finanssialaan ja rahoitusvakauteen unionin ja kansallisella tasolla;

b)

toiminnon merkitys finanssiyhteisön päivittäisessä liiketoiminnassa;

c)

toiminnon korvattavuus;

d)

yhteydet muihin toimintoihin;

e)

toiminnon maantieteellinen sijainti;

f)

alan muiden yhteisöjen riippuvuus toiminnosta;

g)

toimintoa koskevat uhkatiedustelutiedot, jos niitä on saatavilla.
9 artikla 8

8.   Testaustoimintaa johtavan ryhmän on jaettava uhkaperusteisen tunkeutumistestauksen käynnistämistä koskevat tiedot ja testauksen soveltamisalan määrittävä asiakirja testaajille ja uhkatiedustelutietojen tarjoajille sen jälkeen, kun sopimus näiden kanssa on tehty. Testaustoimintaa johtavan ryhmän on ilmoitettava testaajille ja uhkatiedustelutiedon tarjoajille testausprosessi, jota näiden on noudatettava.
9 artikla 9

9.   Finanssiyhteisön on varmistettava, että testaajat ja uhkatiedustelutietojen tarjoajat on hankittu tai osoitettu ennen testausvaiheen aloittamista.
9 artikla 10

10.   Ennen testausvaiheen aloittamista testaustoimintaa johtavan ryhmän on kuultava testauspäälliköitä uhkaperusteisen tunkeutumistestauksen riskinarvioinnista ja riskinhallintatoimenpiteistä. Testaustoimintaa johtavan ryhmän on tarkasteltava riskinarviointia tai riskinhallintatoimenpiteitä uudelleen, jos uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen katsoo, että niillä ei asianmukaisesti kateta uhkaperusteisen tunkeutumistestauksen riskejä.
9 artikla 11

11.   Testaustoimintaa johtavan ryhmän on arvioitava, täyttävätkö uhkatiedustelutietojen tarjoajat ja testaajat, joiden on tarkoitus osallistua uhkaperusteiseen tunkeutumistestaukseen, asetuksen (EU) 2022/2554 27 artiklassa ja tämän asetuksen 7 artiklan 1 kohdassa säädetyt vaatimukset, ja dokumentoitava arvioinnin tulokset. Testaustoimintaa johtavan ryhmän on valittava uhkatiedustelutietojen tarjoajat kyseisen arvioinnin ja riskinhallintakäytäntöjensä perusteella. Ennen kuin testaustoimintaa johtava ryhmä tekee sopimukset valittujen uhkatiedustelutietojen tarjoajien ja ulkoisten testaajien kanssa, sen on toimitettava testauspäälliköille näyttöä siitä, että kyseiset uhkatiedustelutietojen tarjoajat ja testaajat täyttävät asetuksen (EU) 2022/2554 27 artiklassa ja tämän asetuksen 7 artiklan 1 kohdassa säädetyt vaatimukset. Testaustoimintaa johtava ryhmä ei saa tehdä sopimuksia valittujen uhkatiedustelutietojen tarjoajien ja ulkopuolisten testaajien kanssa, jos uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen katsoo, että valitut uhkatiedustelutietojen tarjoajat ja ulkoiset testaajat eivät täytä asetuksen (EU) 2022/2554 27 artiklassa tai tämän asetuksen 7 artiklan 1 kohdassa säädettyjä vaatimuksia tai unionin oikeuden mukaisesta kansallisesta turvallisuuslainsäädännöstä johtuvia lisävaatimuksia, tai jos finanssiyhteisö ei noudata tämän asetuksen 7 artiklan 2 kohdan ensimmäistä alakohtaa tai jos tämän asetuksen 7 artiklan 2 kohdan toisessa alakohdassa tarkoitetut olosuhteet eivät täyty.
9 artikla 12

12.   Jos testauksen soveltamisalan määrittelevä asiakirja on täydellinen ja sillä varmistetaan uhkaperusteisen tunkeutumistestauksen toteuttaminen asianmukaisesti ja tuloksellisesti, uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on hyväksyttävä kyseinen asiakirja ja ilmoitettava asiasta testaustoimintaa johtavan ryhmän vetäjälle.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit