Resilience Testing Program

1.   Voidakseen arvioida varautumista TVT:hen liittyvien poikkeamien käsittelyyn ja yksilöidä digitaalisen häiriönsietokyvyn heikkouksia, puutteita ja aukkoja ja toteuttaa korjaavia toimenpiteitä nopeasti, muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen laadittava vankka ja kattava digitaalisen häiriönsietokyvyn testausohjelma, joka on olennainen osa 6 artiklassa tarkoitettua TVT-riskinhallintajärjestelmää, pidettävä sitä yllä ja tarkistettava sitä.

2.   Digitaalisen häiriönsietokyvyn testausohjelman on sisällettävä erilaisia arviointeja, testejä, menetelmiä, käytäntöjä ja välineitä, joita sovelletaan 25 ja 26 artiklan mukaisesti.

3.   Tämän artiklan 1 kohdassa tarkoitettua digitaalisen häiriönsietokyvyn testausohjelmaa toteuttaessaan muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on 4 artiklan 2 kohdassa vahvistetut kriteerit huomioon ottaen noudatettava riskiperusteista lähestymistapaa ottamalla asianmukaisesti huomioon muuttuva TVT-riski, asianomaiseen finanssiyhteisöön kohdistuvat tai mahdollisesti kohdistuvat erityiset riskit, tieto-omaisuuden ja tarjottujen palvelujen kriittisyys sekä kaikki muut tekijät, jotka finanssiyhteisö katsoo aiheellisiksi.

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on varmistettava, että testien suorittajat ovat riippumattomia, olivatpa ne sisäisiä tai ulkoisia osapuolia. Jos testit suorittaa sisäinen testaaja, finanssiyhteisöjen on osoitettava riittävästi resursseja ja varmistettava, että eturistiriidat vältetään testin suunnittelu- ja toteutusvaiheissa.

5.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on laadittava menettelyt ja toimintaperiaatteet, joiden avulla ne voivat asettaa tärkeysjärjestykseen, luokitella ja korjata kaikki testien aikana paljastuneet ongelmat, ja otettava käyttöön sisäiset validointimenetelmät sen varmistamiseksi, että kaikki havaitut heikkoudet, puutteet ja aukot korjataan kaikilta osin.

6.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on vähintään kerran vuodessa varmistettava, että kaikille kriittisiä tai tärkeitä toimintoja tukeville TVT-järjestelmille ja -sovelluksille tehdään asianmukaiset testit.

1.   Edellä 24 artiklassa tarkoitetussa digitaalisen häiriönsietokyvyn testausohjelmassa on määrättävä 4 artiklan 2 kohdassa esitettyjen kriteerien mukaisesti aiheellisten testien, kuten haavoittuvuusarviointien ja -kartoitusten, avoimen lähdekoodin analyysien, verkkoturvallisuusarviointien, kuiluanalyysien, fyysisen turvallisuuden tarkastelujen, kyselylomakkeiden ja ohjelmistoratkaisujen kartoittamisen, lähdekoodin tarkastelujen siltä osin kuin mahdollista, skenaarioihin perustuvien testien, yhteensopivuustestauksen, suorituskykytestauksen, päästä päähän -testauksen ja tunkeutumistestauksen, toteuttamisesta.