DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/1190 z 13. februára 2025, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie špecifikujú kritériá používané na identifikáciu finančných subjektov povinných vykonať penetračné testovanie na základe konkrétnej hrozby, požiadavky a normy, ktorými sa riadi využívanie interných testovacích subjektov, požiadavky týkajúce sa rozsahu pôsobnosti, metodiky testovania a prístupu pre každú fázu testovania, výsledkov, záverečného a nápravného štádia a druh spolupráce v oblasti dohľadu a v iných relevantných oblastiach potrebnej na vykonávanie TLPT a na uľahčenie vzájomného uznávania (Text s významom pre EHP)

(1)

Toto nariadenie bolo vypracované v súlade s rámcom TIBER-EÚ a odzrkadľuje metodiku, proces a štruktúru penetračného testovania na základe konkrétnej hrozby (TLPT), ako sa opisuje v rámci TIBER-EÚ. Finančné subjekty, na ktoré sa vzťahuje TLPT, môžu odkazovať na rámec TIBER-EÚ alebo na jedno z jeho vnútroštátnych vykonávaní a uplatňovať ich, pokiaľ je tento rámec alebo vykonávanie v súlade s požiadavkami stanovenými v článkoch 26 a 27 nariadenia (EÚ) 2022/2554 a v tomto nariadení. Určením jedného verejného orgánu vo finančnom sektore, ktorý je zodpovedný za záležitosti súvisiace s TLPT na vnútroštátnej úrovni v súlade s článkom 26 ods. 9 nariadenia (EÚ) 2022/2554, by nemala byť dotknutá právomoc príslušných orgánov zverená na úrovni Únie v oblasti dohľadu nad určitými finančnými subjektmi v súlade s článkom 46 uvedeného nariadenia, ako je napríklad právomoc Európskej centrálnej banky v prípade významných úverových inštitúcií, ktoré sa majú považovať za príslušné v záležitostiach súvisiacich s TLPT. Ak sa na iný vnútroštátny orgán vo finančnom sektore delegujú len niektoré úlohy súvisiace s TLPT podľa článku 26 ods. 10 nariadenia (EÚ) 2022/2554, príslušný orgán finančného subjektu uvedený v článku 46 uvedeného nariadenia by mal zostať orgánom zodpovedným za úlohy súvisiace s TLPT, ktoré neboli delegované.

(2)

Vzhľadom na zložitosť TLPT a s ním súvisiace riziká by sa jeho používanie malo obmedziť na tie finančné subjekty, pre ktoré je odôvodnené. Orgány zodpovedné za záležitosti TLPT (orgány TLPT buď na úrovni Únie alebo na vnútroštátnej úrovni) by preto mali z rozsahu pôsobnosti TLPT vylúčiť tie finančné subjekty, ktoré pôsobia v hlavných pododvetviach finančných služieb, pre ktoré TLPT nie je odôvodnené. To znamená, že aj keď úverové inštitúcie, platobné inštitúcie a inštitúcie elektronického peňažníctva, centrálne depozitáre cenných papierov, centrálne protistrany, obchodné miesta, poisťovne a zaisťovne spĺňajú kvantitatívne kritériá, mohli by byť oslobodené od požiadavky TLPT vzhľadom na celkové posúdenie ich rizikového profilu a vyspelosti v oblasti IKT, vplyvu na finančný sektor a súvisiacich obáv týkajúcich sa finančnej stability.

(3)

Orgány TLPT by mali so zreteľom na celkové posúdenie rizikového profilu a vyspelosti v oblasti IKT, vplyvu na finančný sektor a súvisiacich obáv týkajúcich sa finančnej stability posúdiť, či by sa TLPT malo vzťahovať na akýkoľvek druh finančného subjektu iného než úverové inštitúcie, platobné inštitúcie, inštitúcie elektronického peňažníctva, centrálne protistrany, centrálne depozitáre cenných papierov, obchodné miesta, poisťovne a zaisťovne. Posúdenie, či takéto finančné subjekty spĺňajú uvedené kvalitatívne kritériá, by malo byť zamerané na identifikáciu finančných subjektov, pre ktoré je TLPT vhodné, a to použitím medzisektorových a objektívnych ukazovateľov. Zároveň by sa posudzovanie toho, či finančný subjekt spĺňa tieto kvalitatívne kritériá, malo zo skupiny subjektov, na ktoré sa vzťahuje TLPT, týkať len tých subjektov, pre ktoré je testovanie odôvodnené. To, či finančný subjekt spĺňa tieto kvalitatívne kritériá, by sa malo posudzovať aj so zreteľom na nový vývoj na trhoch a na rastúci význam nových účastníkov trhu pre finančný sektor v budúcnosti vrátane poskytovateľov služieb kryptoaktív, ktorým bolo udelené povolenie v súlade s článkom 59 nariadenia Európskeho parlamentu a Rady (EÚ) 2023/1114 (2).

(4)

Finančné subjekty môžu mať toho istého vnútroskupinového poskytovateľa IKT služieb alebo môžu patriť do tej istej skupiny a využívať zdieľané IKT systémy. V takom prípade je dôležité, aby orgány TLPT pri posudzovaní toho, či by sa na finančný subjekt malo vzťahovať TLPT a či by sa TLPT malo vykonávať na úrovni subjektu alebo na úrovni skupiny (prostredníctvom spoločného TLPT), zohľadňovali štruktúru a systémový charakter alebo význam daného finančného subjektu pre finančný sektor na vnútroštátnej úrovni alebo na úrovni Únie.

(5)

S cieľom kopírovať rámec TIBER-EÚ je nevyhnutné, aby metodika testovania zabezpečovala zapojenie týchto hlavných účastníkov: finančného subjektu s kontrolným tímom (kopírujúc „kontrolný tím“ TIBER-EÚ) a modrým tímom (kopírujúc „modrý tím“ TIBER-EÚ) a orgánu TLPT vo forme kybernetického tímu TLPT (kopírujúc „TIBER kybernetické tímy“ TIBER-EÚ), poskytovateľa spravodajských informácií o hrozbách a testovacích subjektov (kde testovacie subjekty kopírujú „poskytovateľa červeného tímu“ TIBER-EÚ).

(6)

V snahe zabezpečiť, aby TLPT využívalo skúsenosti získané v rámci vykonávania TIBER-EÚ, a znížiť riziká spojené s vykonávaním TLPT by sa malo zabezpečiť, aby povinnosti kybernetických tímov TLPT, ktoré sa majú zriadiť na úrovni orgánov TLPT, čo najviac zodpovedali povinnostiam kybernetických tímov TIBER-EÚ. Kybernetické tímy TLPT by preto mali mať testovacích manažérov, ktorí sú zodpovední za dohľad nad jednotlivými TLPT a za plánovanie a koordináciu jednotlivých testov. Kybernetické tímy TLPT by mali slúžiť ako jednotné kontaktné miesto pre komunikáciu s internými a externými zainteresovanými stranami týkajúcu sa testov, pre získavanie a spracovávanie spätnej väzby a skúseností získaných z predchádzajúcich testov a pre podporu finančných subjektov, ktoré sa podrobujú testovaniu TLPT.

(7)

S cieľom kopírovať metodiku rámca TIBER-EÚ by testovací manažéri mali mať zručnosti a schopnosti potrebné na poskytovanie poradenstva a na zaujatie stanoviska k návrhom testovacích subjektov. Skúsenosti z rámca TIBER-EÚ preukázali, že je cenné, aby bol ku každému testu pridelený tím zložený z najmenej dvoch testovacích manažérov. V snahe zohľadniť, že TLPT sa používa na podporu vzdelávacích skúseností, na ochranu dôvernosti testov, a pokiaľ orgány TLPT nemajú problémy so zdrojmi alebo odbornými znalosťami, dôrazne sa im odporúča, aby zvážili, že počas trvania TLPT by testovací manažéri testov nemali vykonávať činnosti dohľadu nad tým istým finančným subjektom, ktorý sa podrobuje testovaniu TLPT.

(8)

Na účely konzistentnosti s rámcom TIBER-EÚ je dôležité, aby orgán TLPT dôsledne sledoval testovanie v každom z jeho štádií. Vzhľadom na povahu testovania a riziká s ním spojené je nevyhnutné, aby bol orgán TLPT zapojený do každej konkrétnej fázy testovania. Predovšetkým by mali s orgánom TLPT prebiehať konzultácie, mal by validovať tie posúdenia alebo rozhodnutia finančných subjektov, ktoré môžu na jednej strane ovplyvniť účinnosť testu a na druhej strane môžu mať vplyv na riziká spojené s testom. Medzi základné kroky, pri ktorých je potrebné konkrétne zapojenie orgánu TLPT, patrí validovanie určitej základnej dokumentácie testovania a výber poskytovateľov spravodajských informácií o hrozbách a testovacích subjektov, ako aj opatrení na riadenie rizík. Zapojenie orgánov TLPT a najmä validácie by nemali viesť k nadmernému zaťaženiu týchto orgánov, a preto by mali byť obmedzené na tie dokumenty a rozhodnutia, ktoré priamo ovplyvňujú vykonávanie TLPT. Prostredníctvom aktívnej účasti v každej fáze testovania môžu orgány TLPT účinne posúdiť súlad finančných subjektov s príslušnými požiadavkami, čo by týmto orgánom malo umožniť vydávať osvedčenia podľa článku 26 ods. 7 nariadenia (EÚ) 2022/2554.

(9)

Utajenie je pri TLPT mimoriadne dôležité, aby sa zabezpečilo, že podmienky testovania budú realistické. Z tohto dôvodu by testovanie malo byť tajné a mali by sa prijať preventívne opatrenia na zachovanie dôvernosti TLPT vrátane výberu kódových označení, ktoré by mali byť navrhnuté tak, aby sa zabránilo identifikácii TLPT tretími stranami. Ak by zamestnanci zodpovední za bezpečnosť finančného tímu vedeli o plánovanom alebo prebiehajúcom TLPT, je pravdepodobné, že by boli pozornejší a ostražitejší ako za bežných pracovných podmienok, čo by viedlo k zmene výsledku testovania. Zamestnanci finančného subjektu mimo kontrolného tímu by preto mali byť informovaní o akomkoľvek plánovanom alebo prebiehajúcom TLPT len vtedy, ak na to existujú presvedčivé dôvody a na základe predchádzajúceho súhlasu testovacích manažérov, aby sa okrem iného zabezpečilo utajenie testu v prípade, že člen modrého tímu odhalil testovanie.

(10)

Ako vyplýva zo skúseností zhromaždených v rámci TIBER-EÚ v súvislosti s „kontrolným tímom“, výber primeraného vedúceho kontrolného tímu je nevyhnutný pre bezpečné vykonávanie TLPT. Vedúci kontrolného tímu by mal mať v rámci finančného subjektu potrebný mandát na usmerňovanie všetkých aspektov testovania bez toho, aby bola ohrozená jeho dôvernosť. Z rovnakého dôvodu by členovia kontrolného tímu mali mať dôkladné znalosti o finančnom subjekte, pracovných úlohách a strategickom postavení vedúceho kontrolného tímu, mali by mať požadovaný počet odpracovaných rokov a mali by mať prístup k správnej rade. V záujme zníženia rizika ohrozenia TLPT by mal byť kontrolný tím čo najmenší.

(11)

Existujú inherentné prvky rizík spojených s TLPT, keďže kritické funkcie sa testujú v živom produkčnom prostredí s možnosťou spôsobiť incidenty odmietnutia služby, neočakávané zrútenia systému, poškodenie kritických živých produkčných systémov alebo stratu, zmenu alebo zverejnenie údajov. Tieto riziká poukazujú na potrebu spoľahlivých opatrení na riadenie rizík. V snahe zabezpečiť, aby sa TLPT počas celého testovania vykonávalo kontrolovaným spôsobom, je veľmi dôležité, aby si finančné subjekty boli vždy vedomé konkrétnych rizík, ktoré vznikajú pri TLPT, a aby sa tieto riziká zmierňovali. V tejto súvislosti a bez toho, aby boli dotknuté vnútorné procesy finančného subjektu a zodpovednosť a delegovanie, ktoré sa už poskytli vedúcemu kontrolného tímu, môžu byť vhodné informácie o opatreniach na riadenie rizík TLPT alebo v osobitných prípadoch schválenie týchto opatrení na riadenie rizík samotným riadiacim orgánom finančného subjektu. Na to, aby bolo možné poskytovať účinné a čo najkvalifikovanejšie odborné služby a znížiť tieto riziká, je takisto nevyhnutné, aby testovacie subjekty a poskytovatelia spravodajských informácií o hrozbách (spoločne poskytovatelia TLPT) mali čo najvyššiu úroveň zručností, odborných znalostí a primeraných skúseností v oblasti spravodajských informácií o hrozbách a TLPT v sektore finančných služieb.

(12)

Konvenčné penetračné testy poskytujú podrobné a užitočné posúdenie technických a konfiguračných zraniteľných miest, ktoré sa často nachádzajú v jednom systéme alebo v izolovanom prostredí, ale na rozdiel od testu červeného tímu na základe spravodajských informácií neposudzujú úplný scenár cieleného útoku na celý subjekt vrátane úplného rozsahu jeho ľudí, procesov a technológií. Počas výberového procesu poskytovateľov TLPT by preto finančné subjekty mali zabezpečovať, aby títo poskytovatelia mali potrebné zručnosti na vykonanie testov červeného tímu na základe spravodajských informácií, a nielen penetračných testov. Preto je nevyhnutné stanoviť komplexné kritériá pre testovacie subjekty, a to interné aj externé, a poskytovateľov spravodajských informácií o hrozbách, ktorí sú vždy externí. Ak poskytovatelia TLPT patria k tej istej spoločnosti, zamestnanci pridelení na TLPT by mali byť primerane oddelení.

(13)

Výnimočné okolnosti môžu nastať, keď finančné subjekty nedokážu uzavrieť zmluvu s poskytovateľmi TLPT, ktorí spĺňajú komplexné kritériá. Finančné subjekty by preto po preukázaní nedostupnosti takýchto poskytovateľov spravodajských informácií o hrozbách mali mať možnosť zapojiť osoby, ktoré nespĺňajú všetky komplexné kritériá, za predpokladu, že náležite zmiernia akékoľvek výsledné dodatočné riziká a že orgán TLPT všetky tieto kritériá posúdi.

(14)

Ak je do TLPT zapojených viacero finančných subjektov a viacero orgánov TLPT, úlohy všetkých strán v procese TLPT by sa mali určiť s cieľom vykonať najúčinnejší a najbezpečnejší test. Na účely združeného testovania sú potrebné osobitné požiadavky na bližšie špecifikovanie úlohy určeného finančného subjektu, konkrétne to, že by mal byť zodpovedný za poskytovanie všetkej potrebnej dokumentácie vedúcemu orgánu TLPT a za monitorovanie procesu testovania. Určený finančný subjekt by mal byť zodpovedný aj za spoločné aspekty posudzovania riadenia rizík. Bez ohľadu na úlohu určeného finančného subjektu by povinnosti každého finančného subjektu, ktorý sa zúčastňuje na procese združeného TLPT, mali zostať počas združeného testu nedotknuté. Rovnaká zásada by sa mala uplatňovať na spoločné TLPT.

(15)

Ako vyplýva zo skúseností s vykonávaním rámca TIBER-EÚ, najúčinnejším spôsobom na zabezpečenie primeraného vykonávania testovania je uskutočňovanie osobných alebo virtuálnych stretnutí so všetkými dotknutými zainteresovanými stranami (finančné subjekty, orgány, testovacie subjekty a poskytovatelia spravodajských informácií o hrozbách). Osobné a virtuálne stretnutia by sa preto mali uskutočniť v rôznych fázach procesu, a to najmä počas prípravnej fázy pri spustení TLPT s cieľom sfinalizovať jeho rozsah pôsobnosti, počas testovacej fázy s cieľom dokončiť správu o spravodajských informáciách o hrozbách a plán testu červeného tímu a na účely týždenných aktualizácií, ako aj v záverečnej fáze s cieľom znovu si prehrať kroky testovacích subjektov a modrého tímu, fialové tímové cvičenie a poskytovať spätnú väzbu o TLPT.

(16)

V snahe zabezpečiť hladké fungovanie TLPT by mal orgán TLPT finančnému subjektu jasne predstaviť svoje očakávania týkajúce sa testovania. V tejto súvislosti by testovací manažéri mali zabezpečiť vytvorenie primeraného toku informácií s kontrolným tímom v rámci finančného subjektu a s poskytovateľmi TLPT.

(17)

Finančný subjekt by mal vybrať kritické alebo dôležité funkcie, ktoré budú spadať do rozsahu pôsobnosti TLPT. Pri výbere týchto funkcií by mal finančný subjekt použiť rôzne kritériá týkajúce sa významu každej funkcie pre samotný finančný subjekt a pre finančný sektor na úrovni Únie aj na vnútroštátnej úrovni, a to nielen z hospodárskeho hľadiska, ale aj s ohľadom na symbolický alebo politický štatút funkcie. V záujme uľahčenia hladkého prechodu do fázy zhromažďovania spravodajských informácií o hrozbách by mal kontrolný tím poskytovať testovacím subjektom a poskytovateľovi spravodajských informácií o hrozbách, ktorí nie sú zapojení do procesu určovania rozsahu pôsobnosti, podrobné informácie o dohodnutom stanovení rozsahu pôsobnosti.

(18)

S cieľom poskytnúť testovacím subjektom informácie potrebné na simuláciu reálneho a realistického útoku na živé systémy finančného subjektu, ktoré podporujú jeho kritické alebo dôležité funkcie, by mal poskytovateľ spravodajských informácií o hrozbách zhromažďovať spravodajské informácie alebo informácie, ktoré sa týkajú aspoň dvoch kľúčových oblastí záujmu: cieľov, a to identifikáciou potenciálnych plôch útoku v celom finančnom subjekte, a hrozieb, a to identifikáciou relevantných aktérov hrozieb a pravdepodobných scenárov hrozieb. S cieľom zabezpečiť, aby poskytovateľ spravodajských informácií o hrozbách zohľadnil relevantné hrozby pre finančný subjekt, by testovacie subjekty, kontrolný tím a testovací manažéri mali poskytovať spätnú väzbu k návrhu správy o spravodajských informáciách o hrozbách. Poskytovateľ spravodajských informácií o hrozbách môže použiť všeobecnú panorámu hrozieb, ktorú poskytol orgán TLPT pre finančný sektor členského štátu, ako základ pre vnútroštátnu panorámu hrozieb, ak je takáto panoráma k dispozícii. Na základe uplatňovania rámca TIBER-EÚ zvyčajne trvá proces zhromažďovania spravodajských informácií o hrozbách približne 4 týždne.

(19)

V snahe umožniť testovacím subjektom získať prehľad a ďalej skúmať dokument so špecifikáciou rozsahu a cielenú správu o spravodajských informáciách o hrozbách s cieľom dokončiť plán testovania prostredníctvom červeného tímu je nevyhnutné, aby pred fázou testovania TLPT prostredníctvom červeného tímu testujúce subjekty dostali od poskytovateľa spravodajských informácií o hrozbách podrobné vysvetlenia k cielenej správe o spravodajských informáciách o hrozbách a analýzu možných scenárov hrozieb.

(20)

V záujme umožnenia testovacím subjektom vykonať realistické a komplexné testovanie, v rámci ktorého sa vykonajú všetky fázy útoku a dosiahnu sa vlajky, by sa fáze aktívneho testovania prostredníctvom červeného tímu mal alokovať dostatočný čas. Na základe skúseností získaných s rámcom TIBER-EÚ by mal byť alokovaný čas v trvaní aspoň 12 týždňov a mal by sa určiť s prihliadnutím na počet zúčastnených strán, rozsah pôsobnosti TLPT, zdroje zapojeného finančného subjektu alebo subjektov, akékoľvek externé požiadavky a dostupnosť podporných informácií, ktoré poskytol finančný subjekt.

(21)

Počas fázy aktívneho testovania prostredníctvom červeného tímu by testovacie subjekty mali na primerané otestovanie živých produkčných systémov finančného subjektu použiť celú škálu taktík, techník a postupov (TTP). TTP by mali podľa potreby obsahovať prieskum (t. j. zhromažďovanie čo najväčšieho množstva informácií o cieli), využívanie informácií ako zbraní (t. j. analýza informácií o infraštruktúre, zariadeniach a zamestnancoch a príprava na operácie špecifické pre daný cieľ), realizáciu (t. j. aktívne spustenie plnej operácie na cieľ), využitie (t. j. kde je cieľom testovacích subjektov napadnúť servery, siete finančného subjektu a využívať jeho zamestnancov prostredníctvom sociálneho inžinierstva), kontrolu a pohyb (t. j. pokusy o prechod od napadnutých systémov k ďalším zraniteľným systémom alebo systémom s vysokou hodnotou) a opatrenia zamerané na cieľ (t. j. získanie ďalšieho prístupu s cieľom napadnúť systémy a získanie prístupu k predtým dohodnutým cieľovým informáciám a údajom, ako sa predtým dohodlo v pláne testu červeného tímu).

(22)

Pri vykonávaní TLPT by mali testovacie subjekty konať s prihliadnutím na čas, ktorý je k dispozícii na vykonanie útoku, zdroje a etické a právne hranice. Ak by testovacie subjekty nedokázali prikročiť k ďalšej naprogramovanej fáze útoku, kontrolný tím by im mal po dohode s orgánom TLPT príležitostne poskytnúť pomoc vo forme „opôr“. Opory môžu byť vo všeobecnosti kategorizované do informačných opôr a prístupových opôr a môžu spočívať v poskytovaní prístupu k systémom IKT alebo interným sieťam, aby sa mohlo pokračovať v teste a zamerať sa na nasledujúce kroky útoku.

(23)

Počas aktívneho červeného tímového cvičenia v testovacej fáze, ak je to potrebné na umožnenie pokračovania TLPT ako poslednej možnosti za výnimočných okolností a po vyčerpaní všetkých alternatívnych možností, by sa mala použiť kolaboratívna testovacia činnosť, ktorá zahŕňa testovacie subjekty a modrý tím. V súvislosti s takýmto obmedzeným fialovým tímovým cvičením sa môžu použiť tieto metódy: „chyť a pusti“ (catch-and-release), kde sa testovacie subjekty pokúšajú pokračovať v scenároch, sú odhalení a potom obnovia testovanie, „vojnové hry“ (war gaming), ktoré počítajú so zložitejšími scenármi na testovanie strategického rozhodovania, alebo „kolaboratívne overovanie konceptu“ (collaborative proof-of-concept), ktoré umožňuje testovacím subjektom a členom modrého tímu spoločne validovať konkrétne bezpečnostné opatrenia, nástroje alebo techniky v kontrolovanom a kooperatívnom prostredí.

(24)

TLPT by sa malo využívať ako vzdelávacia skúsenosť s cieľom zvýšiť digitálnu prevádzkovú odolnosť finančných subjektov. V tejto súvislosti by si modrý tím a testovacie subjekty mali znovu prehrať útok a preskúmať kroky prijaté s cieľom poučiť sa zo skúseností s testovaním v spolupráci s testovacími subjektmi. Na tento účel a s cieľom umožniť primeranú prípravu by sa mala správa o teste červeného tímu a správa o teste modrého tímu sprístupniť všetkým stranám zapojeným do činností opätovného prehrávania pred vykonaním akýchkoľvek činností opätovného prehrávania. Okrem toho by sa v záverečnej fáze malo uskutočniť fialové tímové cvičenie, aby sa maximalizovali vzdelávacie skúsenosti. Metódy, ktoré sa môžu použiť pri fialovom tímovom cvičení v záverečnej fáze, by mali zahŕňať diskusie o alternatívnych scenároch útoku, preskúmanie živých systémov v alternatívnych scenároch alebo opätovné preskúmanie plánovaných scenárov na živých systémoch, ktoré testovacie subjekty neboli schopné dokončiť alebo vykonať počas testovacej fázy.

(25)

Na ďalšie uľahčenie vzdelávacích skúseností všetkých strán zapojených do TLPT v prospech budúcich testov a na podporu digitálnej prevádzkovej odolnosti finančných subjektov by si dotknuté strany mali navzájom poskytovať spätnú väzbu o celkovom procese, a najmä určiť, ktoré činnosti napredovali dobre alebo sa mohli zlepšiť a ktoré aspekty procesu TLPT fungovali dobre alebo by sa mohli zlepšiť.

(26)

Príslušné orgány uvedené v článku 46 nariadenia (EÚ) 2022/2554 a, ak sú odlišné, orgány TLPT by mali spolupracovať s cieľom začleniť pokročilé testovanie prostredníctvom TLPT do existujúcich procesov dohľadu. V tejto súvislosti a s cieľom dosiahnuť správne pochopenie zistení TLPT a spôsobu ich výkladu je vhodné, aby sa najmä v prípade súhrnnej správy o teste a plánov nápravy nadviazala úzka spolupráca medzi testovacími manažérmi, ktorí boli zapojení do TLPT, a zodpovednými orgánmi dohľadu.

(27)

V článku 26 ods. 8 prvom pododseku nariadenia (EÚ) 2022/2554 sa od finančných subjektov vyžaduje, aby uzatvárali zmluvy s externými testovacími subjektmi po každom treťom testovaní. Ak finančné subjekty zahŕňajú do tímu testovacích subjektov interné aj externé testovacie subjekty, malo by sa to na účely uvedeného článku považovať za TLPT vykonávané s internými testovacími subjektmi.

(28)

Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložili Európsky orgán pre bankovníctvo, Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov a Európsky orgán pre cenné papiere a trhy (európske orgány dohľadu) so súhlasom Európskej centrálnej banky.

(29)

Európske orgány dohľadu uskutočnili otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzovali možné súvisiace náklady a prínosy a požiadali o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), Skupinu zainteresovaných strán v poisťovníctve a zaisťovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (4) a Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (5),

(30)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 20. augusta 2024 svoje stanovisko,