12 artikla Päättämisvaihe

1.   Punaisen tiimin aktiivisen testausvaiheen päätyttyä testaustoimintaa johtavan ryhmän vetäjän on ilmoitettava siniselle tiimille, että uhkaperusteinen tunkeutumistestaus on toteutettu.

2.   Testaajien on neljän viikon kuluessa punaisen tiimin aktiivisen testausvaiheen päättymisestä toimitettava testaustoimintaa johtavalle ryhmälle punaisen tiimin testiraportti, jossa on liitteessä V esitetyt tiedot.

3.   Testaustoimintaa johtavan ryhmän on toimitettava punaisen tiimin testiraportti siniselle tiimille ja testauspäälliköille ilman aiheetonta viivytystä.

Ensimmäisessä alakohdassa tarkoitettu raportti ei saa sisältää arkaluonteisia tietoja, jos testauspäälliköt niin pyytävät.

4.   Sinisen tiimin on punaisen tiimin testiraportin saatuaan ja viimeistään kymmenen viikon kuluttua punaisen tiimin aktiivisen testausvaiheen päättymisestä toimitettava testaustoimintaa johtavalle ryhmälle sinisen tiimin testiraportti, jossa on liitteessä VI esitetyt tiedot. Testaustoimintaa johtavan ryhmän on toimitettava sinisen tiimin testiraportti testaajille ja testauspäälliköille ilman aiheetonta viivytystä.

Ensimmäisessä alakohdassa tarkoitettu raportti ei saa sisältää arkaluonteisia tietoja, jos testauspäälliköt niin pyytävät.

5.   Sinisen tiimin ja testaajien on kymmenen viikon kuluessa punaisen tiimin aktiivisen testausvaiheen päättymisestä käytävä läpi uhkaperusteisen tunkeutumistestin aikana toteutetut hyökkäys- ja puolustustoimet. Testaustoimintaa johtavan ryhmän on myös toteutettava sinisen tiimin ja testaajien yhdessä yksilöimiin aiheisiin liittyvä purppuran tiimin harjoitus, joka perustuu testauksen aikana havaittuihin haavoittuvuuksiin ja tarvittaessa seikkoihin, joita ei voitu testata punaisen tiimin aktiivisen testausvaiheen aikana.

6.   Kun läpikäynti ja purppuran tiimin harjoitus on saatu päätökseen, testaustoimintaa johtavan ryhmän, sinisen tiimin, testaajien ja uhkatiedustelutietojen tarjoajien on annettava toisilleen palautetta uhkaperusteisesta tunkeutumistestauksesta. Myös testauspäälliköt voivat antaa palautetta.

7.   Kun uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on ilmoittanut testaustoimintaa johtavan ryhmän vetäjälle arvioineensa, että sinisen tiimin testiraportti ja punaisen tiimin testiraportti sisältävät liitteissä V ja VI esitetyt tiedot, finanssiyhteisön on kahdeksan viikon kuluessa toimitettava asetuksen (EU) 2022/2554 26 artiklan 6 kohdassa tarkoitetulle uhkaperusteisesta tunkeutumistestauksesta vastaavalle viranomaiselle hyväksyntää varten liitteessä VII esitetyt tiedot sisältävä raportti, jossa esitetään yhteenveto asiaankuuluvista uhkaperusteiseen tunkeutumistestaukseen liittyvistä havainnoista.

Ensimmäisessä alakohdassa tarkoitettu raportti ei saa sisältää arkaluonteisia tietoja, jos uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen niin pyytää.