Članak 10. Faza testiranja: saznanja o prijetnjama

1.   Nakon što tijelo za TLPT odobri dokument o utvrđivanju opsega testiranja pružatelj saznanja o prijetnjama analizira saznanja o općim i sektorskim prijetnjama relevantna za financijski subjekt. Ako je tijelo za TLPT dostavilo opis općih prijetnji za financijski sektor države članice, pružatelj saznanja o prijetnjama može te informacije upotrijebiti kao osnovu za utvrđivanje stanja u pogledu prijetnji na nacionalnoj razini. Pružatelj saznanja o prijetnjama utvrđuje kibernetičke prijetnje i postojeće ili moguće ranjivosti povezane s financijskim subjektom. Uz to, pružatelj saznanja o prijetnjama prikuplja informacije i analizira konkretna, provediva i kontekstualizirana saznanja o metama i prijetnjama koja se odnose na financijski subjekt, među ostalim u okviru savjetovanja s kontrolnim timom i voditeljima testiranja.

2.   Pružatelj saznanja o prijetnjama iznosi relevantne prijetnje i posebna saznanja o prijetnjama te predlaže potrebne scenarije kontrolnom timu, provoditeljima testiranja i voditeljima testiranja. Predloženi scenariji razlikuju se s obzirom na utvrđene aktere prijetnji i povezane taktike, tehnike i postupke te su usmjereni na svaku ključnu ili važnu funkciju obuhvaćenu TLPT-om.

3.   Voditelj kontrolnog tima odabire najmanje tri scenarija za provedbu TLPT-a na temelju svih sljedećih elemenata:

4.   Najviše jedan od odabranih scenarija ne mora biti vođen prijetnjama i može se temeljiti na budućoj i potencijalno fiktivnoj prijetnji s visokom prediktivnom, anticipativnom, oportunističkom ili prospektivnom vrijednošću s obzirom na očekivana kretanja prijetnji koje se odnose na financijski subjekt.

Kad je riječ o skupnim TPLT-ima, ne dovodeći u pitanje scenarije koji su usmjereni izravno na ključne ili važne funkcije financijskih subjekata uključenih u testiranje, barem jedan scenarij mora uključivati relevantne temeljne IKT sustave, procese i tehnologije treće strane pružatelja IKT usluga kojima se podupiru ključne ili važne funkcije obuhvaćenih financijskih subjekata.

Kad je riječ o zajedničkom TLPT-u koji uključuje pružatelja IKT usluga unutar grupe, ne dovodeći u pitanje scenarije koji su usmjereni izravno na ključne ili važne funkcije financijskih subjekata uključenih u testiranje, barem jedan scenarij mora uključivati relevantne temeljne IKT sustave, procese i tehnologije pružatelja IKT usluga unutar grupe kojima se podupiru ključne ili važne funkcije obuhvaćenih financijskih subjekata.

5.   Pružatelj saznanja o prijetnjama dostavlja izvješće o posebnim saznanjima o prijetnjama kontrolnom timu, uključujući scenarije odabrane u skladu sa stavcima 3. i 4. Izvješće o saznanjima o prijetnjama sadržava informacije navedene u Prilogu III.

6.   Kontrolni tim dostavlja izvješće o posebnim saznanjima o prijetnjama voditelju testiranja na odobrenje. Ako je izvješće o posebnim saznanjima o prijetnjama potpuno i omogućuje provedbu učinkovitog TLPT-a, tijelo za TLPT odobrava izvješće i o tome obavješćuje voditelja kontrolnog tima.