+Periodic TLPT Testing
|
Periodic TLPT Testing
Conduct Threat-led penetration testing (TLPT) every three years, aligning with the entity's risk profile. Ensure TLPT covers all critical or important functions and test on live production systems. Provide the regulator with a report encompassing TLPT findings, remediation plans, and documentation demonstrating adherence to this control. Perform TLPT according to the DORA TLPT framework (based on the TIBER-EU framework) as defined in the corresponding RTS.
*Note that this control is only applicable for financial institutions wich are eligible for TLPT. Refer to the RTS on TLPT for more information on applicability.
1. Forbhreathnú
1.1 Tagairtí
1.2 Ceanglais aitheanta
1.3 Rialacháin ghaolmhara
2. Ceanglais aitheanta
Ceanglais
| Foinse |
Ceanglas |
3. Rialacháin ghaolmhara
Rialacháin
| Foinse |
Rialáil |
|
EULAW
|
Airteagal 26 1
1. Déanfaidh eintitis airgeadais, nach eintitis dá dtagraítear in Airteagal 16(1), an chéád fhomhír, agus nach micrifhiontair iad, a shainaithnítear i gcomhréir le mír 8, an triú fomhír, den Airteagal seo, ardtástáil gach 3 bliana ar a laghad trí bhíthin TLPT. Bunaithe ar phróifíl riosca an eintitis airgeadais agus imthosca oibríochtúla á gcur san áireamh, féadfaidh an t-údarás inniúil, i gcás inar gá, a iarraidh ar an eintiteas airgeadais an mhinicíocht sin a laghdú nó a mhéadú.
|
|
EULAW
|
Airteagal 26 2
2. Cumhdófar le gach tástáil treáite bunaithe ar bhagairtí roinnt feidhmeanna agus seirbhísí criticiúla nó tábhachtacha de chuid eintitis airgeadais nó iad uile, agus déanfar an tástáil sin ar chórais táirgeachta bheo a thacaíonn leis na feidhmeanna sin.
Sainaithneoidh eintitis airgeadais gach bunchóras, bunphróiseas agus bunteicneolaíocht ábhartha TFC lena dtacaítear le feidhmeanna criticiúla nó tábhachtacha agus le seirbhísí TFC ábhartha uile, lena n-áirítear iad sin lena dtacaítear leis na feidhmeanna criticiúla nó tábhachtacha a seachfhoinsíodh chuig soláthraithe seirbhísí TFC tríú páirtí nó a cuireadh faoi cheangal conartha do sholáthraithe seirbhísí TFC tríú páirtí.
Déanfaidh eintitis airgeadais measúnú ar na feidhmeanna criticiúla is gá a bheith cumhdaithe ag TLPT. Cinnfear le toradh an mheasúnaithe sin raon feidhme beacht TLPT agus déanfaidh na húdaráis inniúla é a bhailíochtú.
|
|
EULAW
|
Airteagal 26 3
3. I gcás ina n-áireofar soláthraithe seirbhísí TFC tríú páirtí i raon feidhme TLPT, déanfaidh an t-eintiteas airgeadais na bearta agus na coimircí is gá chun rannpháirtíocht na soláthraithe seirbhísí TFC tríú páirtí sin in TLPT a áirithiú agus coinneoidh sé an fhreagracht iomlán i gcónaí as comhlíonadh an Rialacháin seo a áirithiú.
|
|
EULAW
|
Airteagal 26 4
4. Gan dochar do mhír 2, an chéad agus an dara fomhír, i gcás ina mbeifear ag súil go réasúnach leis go mbeidh drochthionchar ag rannpháirtíocht soláthraithe seirbhísí TFC tríú páirtí in TLPT, dá dtagraítear i mír 3, ar cháilíocht nó slándáil na seirbhísí a sholáthraíonn soláthraí seirbhísí TFC tríú páirtí do chustaiméirí ar eintitis iad nach dtagann faoi raon feidhme an Rialacháin seo, nó ar rúndacht na sonraí a bhaineann le seirbhísí den sórt sin, féadfaidh an t-eintiteas airgeadais agus soláthraí seirbhísí TFC tríú páirtí a chomhaontú i scríbhinn go ndéanfaidh soláthraí seirbhísí TFC tríú páirtí socruithe conarthacha go díreach le tástálaí seachtrach, chun TLPT comhchruinnithe a dhéanamh, faoi stiúir eintiteas airgeadais ainmnithe amháin, ina bhfuil roinnt eintiteas airgeadais páirteach (tástáil chomhthiomsaithe) a sholáthraíonn soláthraí seirbhísí TFC tríú páirtí seirbhísí TFC dóibh.
Cumhdófar leis an tástáil chomhthiomsaithe sin an raon ábhartha seirbhísí TFC lena dtacaítear leis na feidhmeanna criticiúla nó tábhachtacha atá curtha faoi cheangal conartha do sholáthraí seirbhísí TFC tríú páirtí faoi seach ag na heintitis airgeadais. Measfar an tástáil chomhthiomsaithe a bheith ina TLPT arna déanamh ag na heintitis airgeadais atá rannpháirteach sa tástáil chomhthiomsaithe.
Déanfar líon na n-eintiteas airgeadais atá rannpháirteach sa tástáil chomhthiomsaithe a chalabrú go cuí agus castacht agus cineálacha na seirbhísí lena mbaineann á gcur san áireamh.
|
|
EULAW
|
Airteagal 26 6
6. Ag deireadh na tástála, tar éis tuarascálacha agus pleananna feabhsúcháin a bheith comhaontaithe, cuirfidh an t-eintiteas airgeadais agus, i gcás inarb infheidhme, na tástálaithe seachtracha achoimre ar fáil don údarás, arna ainmniú i gcomhréir le mír 9 nó mír 10, ar na torthaí ábhartha, ar na pleananna feabhsúcháin agus ar an doiciméadacht lena léirítear go ndearnadh TLPT i gcomhréir leis na ceanglais.
|
|
EULAW
|
Airteagal 26 7
7. Tabharfaidh na húdaráis fianú d’eintitis airgeadais lena ndeimhneofar go ndearnadh an tástáil i gcomhréir leis na ceanglais mar a léirítear sa doiciméadacht chun go bhféadfar aitheantas frithpháirteach a thabhairt do thástálacha treáite bunaithe ar bhagairtí idir údaráis inniúla. Tabharfaidh an t-eintiteas airgeadais fógra don údarás inniúil ábhartha maidir leis an bhfianú, an achoimre ar na torthaí ábhartha agus na pleananna feabhsúcháin.
Gan dochar d’fhianú den sórt sin, leanfaidh eintitis airgeadais de bheith freagrach go hiomlán i gcónaí as tionchar na dtástálacha dá dtagraítear i mír 4.
|
|
EULAW
|
Airteagal 26 8
8. Déanfaidh eintitis airgeadais tástálaithe a chur faoi chonradh chun TLPT a dhéanamh i gcomhréir le hAirteagal 27. I gcás ina n-úsáideann eintitis airgeadais tástálaithe inmheánacha chun TLPT a dhéanamh, cuirfidh siad tástálaithe seachtrach faoi chonradh i ngach tríú tástáil.
Institiúidí creidmheasa a aicmítear mar eintitis shuntasacha i gcomhréir le hAirteagal 6(4) de Rialachán (AE) Uimh. 1024/2013, ní úsáidfidh siad ach tástálaithe seachtracha i gcomhréir le hAirteagal 27(1), pointí (a) go (e).
Sainaithneoidh na húdaráis inniúla eintitis airgeadais a gceanglaítear orthu TLPT a dhéanamh agus na critéir a leagtar amach in Airteagal 4(2) á gcur san áireamh, bunaithe ar mheasúnú ar an méid seo a leanas:
|
(a)
|
tosca a bhaineann le tionchar, go háirithe a mhéid a bhíonn tionchar ag na seirbhísí arna soláthar agus ag na gníomhaíochtaí a dhéanann an t-eintiteas airgeadais ar an earnáil airgeadais;
|
|
(b)
|
ábhair imní fhéideartha maidir le cobhsaíocht airgeadais, lena n-áirítear saintréithe sistéamacha an eintitis airgeadais ar leibhéal náisiúnta nó leibhéal an Aontais, de réir mar is infheidhme;
|
|
(c)
|
próifíl riosca shonrach TFC, leibhéal sonrach aibíochta TFC an eintitis airgeadais nó gnéithe sonracha teicneolaíochta atá i gceist.
|
|
|
EULAW
|
Airteagal 27 1
1. Ní úsáidfidh eintitis airgeadais ach na tástálaithe seo a leanas chun TLPT a dhéanamh:
|
(a)
|
tástálaithe lena mbaineann an oiriúnacht is mó agus an clú is fearr;
|
|
(b)
|
tástálaithe a bhfuil cumais theicniúla agus cumais eagrúcháin acu agus a léiríonn oilteacht shonrach maidir le faisnéis bhagartha, tástáil treáite agus tástáil foirne deirge;
|
|
(c)
|
tástálaithe atá deimhnithe ag comhlacht creidiúnúcháin i mBallstát nó lena gcloítear le cóid fhoirmiúla iompair nó le creataí eitice;
|
|
(d)
|
tástálaithe a sholáthraíonn dearbhú neamhspleách nó tuarascáil iniúchóireachta i ndáil le bainistíocht fhónta rioscaí a bhaineann le TLPT a dhéanamh, lena n-áirítear faisnéis rúnda an eintitis airgeadais a chosaint go cuí agus sásamh le haghaidh rioscaí gnó an eintitis airgeadais;
|
|
(e)
|
tástálaithe a bhfuil cumhdach cuí iomlán acu le hárachais slánaíochta gairmiúla ábhartha, lena n-áirítear i gcoinne rioscaí mí-iompair agus faillí.
|
|
|
EULAW
|
Airteagal 27 2
2. Agus tástálaithe inmheánacha á n-úsáid acu, áiritheoidh eintitis airgeadais, sa bhreis ar na ceanglais i mír 1, go gcomhlíonfar na coinníollacha seo a leanas:
|
(a)
|
tá úsáid den sórt sin formheasta ag an údarás inniúil ábhartha nó ag an údarás poiblí aonair arna ainmniú i gcomhréir le hAirteagal 26(9) agus (10);
|
|
(b)
|
tá sé fíoraithe ag an údarás inniúil ábhartha go bhfuil dóthain acmhainní tiomnaithe ag an eintiteas airgeadais agus d’áirithigh sé go seachnófar coinbhleachtaí leasa le linn chéim deartha agus chur i gcrích na tástála; agus
|
|
(c)
|
tá an soláthraí faisnéise bhagartha lasmuigh den eintiteas airgeadais.
|
|
|
EULAW
|
Airteagal 27 3
3. Áiritheoidh eintitis airgeadais go n-éileofar le conarthaí a dhéanfar le tástálaithe seachtracha go mbainisteofar torthaí TLPT go fónta agus nach gcruthófar rioscaí don eintiteas airgeadais de thoradh aon phróiseáil sonraí a dhéantar ar na torthaí sin, nó de thoradh aon ghiniúint, aon stóráil, aon chomhiomlánú, aon dréachtú, aon tuairisciú, aon chumarsáid nó aon scriosadh dá ndéantar i leith na dtorthaí sin.
|
|