Outsourced System testing

1.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä ja jotka yksilöidään tämän artiklan 8 kohdan kolmannen alakohdan mukaisesti, on suoritettava vähintään kolmen vuoden välein kehittynyt testaus uhkaperusteisen tunkeutumistestauksen avulla. Toimivaltainen viranomainen voi tarvittaessa pyytää finanssiyhteisöä harventamaan tai tiuhentamaan tätä testausväliä finanssiyhteisön riskiprofiilin perusteella ja ottaen huomioon toimintaolosuhteet.

2.   Kunkin uhkaperusteisen tunkeutumistestin on katettava finanssiyhteisön useat tai kaikki kriittiset tai tärkeät toiminnot, ja se on toteutettava tällaisia toimintoja tukevilla toiminnassa olevilla tuotantojärjestelmillä.

Finanssiyhteisöjen on yksilöitävä kaikki kriittisiä tai tärkeitä toimintoja ja TVT-palveluja tukevat asiaankuuluvat TVT-järjestelmät, -prosessit ja -teknologiat, mukaan lukien ne, jotka tukevat kriittisiä tai tärkeitä toimintoja, jotka on ulkoistettu tai joista on tehty sopimus TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa.

Finanssiyhteisöjen on arvioitava, mitkä kriittiset tai tärkeät toiminnot on sisällytettävä uhkaperusteisen tunkeutumistestauksen piiriin. Tämän arvioinnin tulos määrittää uhkaperusteisen tunkeutumistestauksen tarkan soveltamisalan, ja toimivaltaiset viranomaiset vahvistavat sen.

3.   Jos uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluu TVT-palveluntarjoajana olevia kolmansia osapuolia, finanssiyhteisön on toteutettava tarvittavat toimenpiteet ja suojatoimet varmistaakseen tällaisten TVT-palveluntarjoajina olevien kolmansien osapuolten osallistumisen uhkaperusteiseen tunkeutumistestaukseen ja se on koko ajan täysin vastuussa tämän asetuksen noudattamisen varmistamisesta.

4.   Rajoittamatta 2 kohdan ensimmäisen ja toisen alakohdan soveltamista kun voidaan kohtuudella odottaa, että 3 kohdassa tarkoitettu TVT-palveluntarjoajana olevan kolmannen osapuolen osallistuminen uhkaperusteiseen tunkeutumistestaukseen vaikuttaa kielteisesti niiden palvelujen laatuun tai turvallisuuteen, joita TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa asiakkaille, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, taikka tällaisiin palveluihin liittyvien tietojen luottamuksellisuuteen, finanssiyhteisö ja TVT-palveluntarjoajana oleva kolmas osapuoli voivat sopia kirjallisesti, että TVT-palveluntarjoajana oleva kolmas osapuoli tekee suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa yhdistetyn uhkaperusteisen tunkeutumistestauksen toteuttamiseksi yhden nimetyn finanssiyhteisön johdolla siten, että siihen osallistuu useita sellaisia finanssiyhteisöjä (yhdistetty testaus), joille TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa TVT-palveluja.

Kyseisen yhdistetyn testauksen on katettava asiaankuuluvat TVT-palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja, joista finanssiyhteisöt ovat tehneet sopimuksen kyseisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa. Yhdistettyä testausta on pidettävä yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen suorittamana uhkaperusteisena tunkeutumistestauksena.

Yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen lukumäärä on kalibroitava asianmukaisesti ottaen huomioon asiaan liittyvien palvelujen monimutkaisuus ja tyypit.

6.   Testauksen lopuksi, kun raporteista ja korjaussuunnitelmista on sovittu, finanssiyhteisön ja tapauksen mukaan ulkopuolisten testaajien on toimitettava 9 tai 10 kohdan mukaisesti nimetylle viranomaiselle yhteenveto asiaankuuluvista havainnoista, korjaussuunnitelmat ja asiakirjat osoituksena siitä, että uhkaperusteinen tunkeutumistestaus on suoritettu vaatimusten mukaisesti.

7.   Viranomaisten on annettava finanssiyhteisöille todistus, jossa vahvistetaan, että testi on suoritettu asiakirjoissa osoitetun mukaisesti vaatimuksia noudattaen, jotta toimivaltaiset viranomaiset voivat vastavuoroisesti tunnustaa uhkaperusteiset tunkeutumistestit. Finanssiyhteisön on toimitettava todistus, yhteenveto asiaankuuluvista havainnoista ja korjaussuunnitelmat asianomaiselle toimivaltaiselle viranomaiselle.

Tällaisesta todistuksesta huolimatta finanssiyhteisöt ovat edelleen koko ajan täysin vastuussa 4 kohdassa tarkoitetuista testien vaikutuksista.

8.   Finanssiyhteisöjen on tehtävä testaajien kanssa sopimuksia 27 artiklan mukaisen uhkaperusteisen tunkeutumistestauksen toteuttamiseksi. Kun finanssiyhteisöt käyttävät sisäisiä testaajia uhkaperusteisen tunkeutumistestauksen toteuttamisessa, niiden on teetettävä joka kolmas testi ulkopuolisilla testaajilla.

Luottolaitokset, jotka on luokiteltu merkittäviksi asetuksen (EU) N:o 1024/2013 6 artiklan 4 kohdan mukaisesti, saavat käyttää ainoastaan 27 artiklan 1 kohdan a–e alakohdan mukaisia ulkopuolisia testaajia.

Toimivaltaisten viranomaisten on yksilöitävä finanssiyhteisöt, joilta vaaditaan 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen uhkaperusteisen tunkeutumistestauksen tekemistä seuraavien seikkojen arvioinnin perusteella:

1.   Finanssiyhteisöjen on käytettävä uhkaperusteisen tunkeutumistestauksen suorittamiseen vain testaajia,

2.   Jos käytetään sisäisiä testaajia, finanssiyhteisöjen on varmistettava, että 1 kohdan vaatimusten lisäksi noudatetaan seuraavia edellytyksiä:

3.   Finanssiyhteisöjen on varmistettava, että ulkopuolisten testaajien kanssa tehdyissä sopimuksissa edellytetään uhkaperusteisen tunkeutumistestauksen tulosten moitteetonta hallintaa ja että niihin liittyvien tietojen käsittely, mukaan lukien tulosten generointi, tallentaminen, koontaminen, luonnostelu, raportointi, välittäminen tai tuhoaminen, eivät aiheuta finanssiyhteisölle riskejä.