+26 artikla TVT-välineiden, -järjestelmien ja -prosessien kehittynyt testaus uhkaperusteisen tunkeutumistestauksen pohjalta
---+26 artikla 1
---+26 artikla 2
---+26 artikla 3
---+26 artikla 4
---+26 artikla 5
---+26 artikla 6
---+26 artikla 7
---+26 artikla 8
---+26 artikla 9
---+26 artikla 10
---+26 artikla 11

26 artikla TVT-välineiden, -järjestelmien ja -prosessien kehittynyt testaus uhkaperusteisen tunkeutumistestauksen pohjalta

-

1. Yleiskatsaus

,
26 artikla 1

1.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä ja jotka yksilöidään tämän artiklan 8 kohdan kolmannen alakohdan mukaisesti, on suoritettava vähintään kolmen vuoden välein kehittynyt testaus uhkaperusteisen tunkeutumistestauksen avulla. Toimivaltainen viranomainen voi tarvittaessa pyytää finanssiyhteisöä harventamaan tai tiuhentamaan tätä testausväliä finanssiyhteisön riskiprofiilin perusteella ja ottaen huomioon toimintaolosuhteet.
26 artikla 2

2.   Kunkin uhkaperusteisen tunkeutumistestin on katettava finanssiyhteisön useat tai kaikki kriittiset tai tärkeät toiminnot, ja se on toteutettava tällaisia toimintoja tukevilla toiminnassa olevilla tuotantojärjestelmillä.

Finanssiyhteisöjen on yksilöitävä kaikki kriittisiä tai tärkeitä toimintoja ja TVT-palveluja tukevat asiaankuuluvat TVT-järjestelmät, -prosessit ja -teknologiat, mukaan lukien ne, jotka tukevat kriittisiä tai tärkeitä toimintoja, jotka on ulkoistettu tai joista on tehty sopimus TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on arvioitava, mitkä kriittiset tai tärkeät toiminnot on sisällytettävä uhkaperusteisen tunkeutumistestauksen piiriin. Tämän arvioinnin tulos määrittää uhkaperusteisen tunkeutumistestauksen tarkan soveltamisalan, ja toimivaltaiset viranomaiset vahvistavat sen.
26 artikla 3

3.   Jos uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluu TVT-palveluntarjoajana olevia kolmansia osapuolia, finanssiyhteisön on toteutettava tarvittavat toimenpiteet ja suojatoimet varmistaakseen tällaisten TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumisen uhkaperusteiseen tunkeutumistestaukseen ja se on koko ajan täysin vastuussa tämän asetuksen noudattamisen varmistamisesta.
26 artikla 4

4.   Rajoittamatta 2 kohdan ensimmäisen ja toisen alakohdan soveltamista kun voidaan kohtuudella odottaa, että 3 kohdassa tarkoitettu TVT-palveluntarjoajana olevan kolmannen osapuolen osallistuminen uhkaperusteiseen tunkeutumistestaukseen vaikuttaa kielteisesti niiden palvelujen laatuun tai turvallisuuteen, joita TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa asiakkaille, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, taikka tällaisiin palveluihin liittyvien tietojen luottamuksellisuuteen, finanssiyhteisö ja TVT-palveluntarjoajana oleva kolmas osapuoli voivat sopia kirjallisesti, että TVT-palveluntarjoajana oleva kolmas osapuoli tekee suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa yhdistetyn uhkaperusteisen tunkeutumistestauksen toteuttamiseksi yhden nimetyn finanssiyhteisön johdolla siten, että siihen osallistuu useita sellaisia finanssiyhteisöjä (yhdistetty testaus), joille TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa TVT-palveluja.

Kyseisen yhdistetyn testauksen on katettava asiaankuuluvat TVT-palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja, joista finanssiyhteisöt ovat tehneet sopimuksen kyseisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa. Yhdistettyä testausta on pidettävä yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen suorittamana uhkaperusteisena tunkeutumistestauksena.

Yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen lukumäärä on kalibroitava asianmukaisesti ottaen huomioon asiaan liittyvien palvelujen monimutkaisuus ja tyypit.
26 artikla 5

5.   Finanssiyhteisöjen on sovellettava yhteistyössä TVT-palveluntarjoajina olevien kolmansien osapuolten ja muiden asiaan liittyvien osapuolten kanssa, mukaan lukien testaajat mutta lukuun ottamatta toimivaltaisia viranomaisia, vaikuttavia riskienhallinnan valvontamenetelmiä lieventääkseen mahdollisten dataan kohdistuvien vaikutusten, omaisuuserille koituvien vahinkojen ja kriittisten tai tärkeiden toimintojen, palvelujen tai toimintojen keskeytymisten riskejä finanssiyhteisössä itsessään, sen vastapuolissa tai finanssialalla.
26 artikla 6

6.   Testauksen lopuksi, kun raporteista ja korjaussuunnitelmista on sovittu, finanssiyhteisön ja tapauksen mukaan ulkopuolisten testaajien on toimitettava 9 tai 10 kohdan mukaisesti nimetylle viranomaiselle yhteenveto asiaankuuluvista havainnoista, korjaussuunnitelmat ja asiakirjat osoituksena siitä, että uhkaperusteinen tunkeutumistestaus on suoritettu vaatimusten mukaisesti.
26 artikla 7

7.   Viranomaisten on annettava finanssiyhteisöille todistus, jossa vahvistetaan, että testi on suoritettu asiakirjoissa osoitetun mukaisesti vaatimuksia noudattaen, jotta toimivaltaiset viranomaiset voivat vastavuoroisesti tunnustaa uhkaperusteiset tunkeutumistestit. Finanssiyhteisön on toimitettava todistus, yhteenveto asiaankuuluvista havainnoista ja korjaussuunnitelmat asianomaiselle toimivaltaiselle viranomaiselle.

Tällaisesta todistuksesta huolimatta finanssiyhteisöt ovat edelleen koko ajan täysin vastuussa 4 kohdassa tarkoitetuista testien vaikutuksista.
26 artikla 8

8.   Finanssiyhteisöjen on tehtävä testaajien kanssa sopimuksia 27 artiklan mukaisen uhkaperusteisen tunkeutumistestauksen toteuttamiseksi. Kun finanssiyhteisöt käyttävät sisäisiä testaajia uhkaperusteisen tunkeutumistestauksen toteuttamisessa, niiden on teetettävä joka kolmas testi ulkopuolisilla testaajilla.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, saavat käyttää ainoastaan 27 artiklan 1 kohdan a–e alakohdan mukaisia ulkopuolisia testaajia.

Toimivaltaisten viranomaisten on yksilöitävä finanssiyhteisöt, joilta vaaditaan 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen uhkaperusteisen tunkeutumistestauksen tekemistä seuraavien seikkojen arvioinnin perusteella:

a)

vaikutuksiin liittyvät tekijät, erityisesti missä määrin finanssiyhteisön tarjoamat palvelut ja sen harjoittama toiminta vaikuttavat finanssialaan;

b)

mahdolliset rahoitusvakauteen liittyvät ongelmat, mukaan lukien tapauksen mukaan finanssiyhteisön systeeminen luonne unionin tai kansallisella tasolla;

c)

erityinen TVT-riskiprofiili, finanssiyhteisön TVT-valmiuksien taso tai siihen liittyvät tekniset ominaisuudet.
26 artikla 9

9.   Jäsenvaltiot voivat nimetä rahoitusalan yhden viranomaisen, joka vastaa rahoitusalalla uhkaperusteiseen tunkeutumistestaukseen kansallisella tasolla liittyvistä asioista, ja antaa sille kaikki tätä koskevat toimivaltuudet ja tehtävät.
26 artikla 10

10.   Jos tämän artiklan 9 kohdan mukaista nimeämistä ei ole tehty ja rajoittamatta valtuuksia yksilöidä finanssiyhteisöt, joiden on suoritettava uhkaperusteinen tunkeutumistestaus, toimivaltainen viranomainen voi siirtää joidenkin tai kaikkien tässä artiklassa ja 27 artiklassa tarkoitettujen tehtävien hoitamisen toiselle finanssialan kansalliselle viranomaiselle.
26 artikla 11

11.   Euroopan valvontaviranomaiset laativat yhdessä EKP:n kanssa yhteisten teknisten sääntelystandardien luonnoksia TIBER–EU-kehyksen mukaisesti tarkoituksena täsmentää tarkemmin:

a)

8 kohdan toisen alakohdan soveltamiseksi käytetyt kriteerit;

b)

sisäisten testaajien käyttöä koskevat vaatimukset ja standardit;

c)

vaatimukset, jotka koskevat

i)

edellä 2 kohdassa tarkoitetun uhkaperusteisen tunkeutumistestauksen soveltamisalaa;

ii)

testausmenetelmää ja lähestymistapaa, jota kussakin testausprosessin vaiheessa on noudatettava;

iii)

testauksen tuloksia, sen lopettamista ja korjaustoimenpiteiden vaiheita;

d)

valvontayhteistyö ja muu asianmukainen yhteistyö, joita uhkaperusteisen tunkeutumistestauksen toteuttamisessa ja kyseisen testauksen vastavuoroisen tunnustamisen helpottamiseksi tarvitaan finanssiyhteisöissä, jotka toimivat useammassa kuin yhdessä jäsenvaltiossa, jotta saavutetaan asianmukainen valvonnan taso ja joustava toteutus niin, että voidaan ottaa huomioon finanssialan alasektoreiden tai paikallisten finanssimarkkinoiden erityispiirteet.

Laatiessaan kyseisiä teknisten sääntelystandardien luonnoksia Euroopan valvontaviranomaiset ottavat asianmukaisesti huomioon eri rahoituspalvelusektoreilla harjoitettavan toiminnan erilaisesta luonteesta johtuvat erityispiirteet.

Euroopan valvontaviranomaiset toimittavat kyseiset teknisten sääntelystandardien luonnokset komissiolle viimeistään 17 päivänä heinäkuuta 2024.

Siirretään komissiolle valta täydentää tätä asetusta hyväksymällä ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit asetusten (EU) N:o 1093/2010, (EU) N:o 1094/2010 ja (EU) N:o 1095/2010 10–14 artiklan mukaisesti.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit
SCF Penetration Testing

Description

Mechanisms exist to conduct penetration testing on Technology Assets, Applications and/or Services (TAAS).

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Annual external vulnerability scan; penetration test when required by customers/contracts

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Annual penetration test by qualified tester

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Annual penetration test by qualified third-party tester

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Enterprise penetration testing program
∙ Annual external and internal pen tests

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Enterprise penetration testing program
∙ Annual and event-driven pen tests
∙ Red team exercises
∙ Purple teaming

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

Vulnerability & Patch Management (VPM) domain capabilities are ad hoc and inconsistent. Capability criteria associated with this control may include:
▪ Policies, standards & procedures associated with VPM domain capabilities provide limited coverage due to the depth and breadth of the existing documentation.
▪ Attack Surface Management (ASM)-related activities are decentralized (e.g., a localized/regionalized function) and uses non-standardized methods to implement secure, resilient and compliant practices.

Level 2 Planned Tracked

Vulnerability & Patch Management (VPM) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with VPM domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with VPM domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with VPM domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Vulnerability management-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Vulnerability management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel, or contracted professionals, conduct annual penetration testing on network segments hosting High Value Assets (HVAs).

Level 3 Well Defined

Vulnerability & Patch Management (VPM) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with VPM domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with VPM domain capabilities are well-documented and kept current by process owners.
▪ A vulnerability management team, or similar function, is appropriately staffed and supported to implement and maintain VPM domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of vulnerability management operations (e.g., patch management solution and vulnerability scanning solution).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with VPM domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to conduct penetration testing on Technology Assets, Applications and/or Services (TAAS).

Level 4 Quantitatively Controlled

Vulnerability & Patch Management (VPM) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.