9. cikk Előkészítési szakasz

(1)   Az (EU) 2022/2554 rendelet 26. cikke (8) bekezdésének harmadik albekezdése alapján azonosított pénzügyi szervezetnek TLPT-t kell elindítania, miután a TLPT-hatóság értesíti, hogy TLPT-t kell elvégezni.

(2)   A pénzügyi szervezet az (1) bekezdésben említett értesítés kézhezvételétől számított 3 hónapon belül benyújtja a tesztvezetőknek a TLPT elindítására vonatkozó alábbi információkat:

(3)   Amennyiben a (2) bekezdés a)–e) pontjában említett információk hiánytalanok, és biztosítják a TLPT megfelelőségét és hatékony elvégzését, a TLPT-hatóság validálja a pénzügyi szervezet TLPT elindításával kapcsolatos információit, és erről értesíti a pénzügyi szervezetet.

(4)   A TLPT elindítására vonatkozó információk TLPT-hatóság általi validálását követően a pénzügyi szervezet ellenőrzést végző csapatot hoz létre, hogy támogassa az ellenőrzést végző csapat vezetőjét a következő feladatok ellátásában:

(5)   Amennyiben a TLPT-hatóság úgy ítéli meg, hogy az ellenőrzést végző csapat kezdeti összetétele és annak bármely későbbi változása megfelelő a (4) bekezdésben említett feladatok ellátásához, a TLPT-hatóság validálja az ellenőrzést végző csapatot, és erről értesíti annak vezetőjét.

(6)   A pénzügyi szervezet a TLPT-hatóság (1) bekezdésben említett értesítésének kézhezvételétől számított 6 hónapon belül benyújtja a tesztvezetőknek a II. mellékletben meghatározott valamennyi információt tartalmazó, terjedelmet meghatározó dokumentumot. A pénzügyi szervezet vezető testülete jóváhagyja a terjedelmet meghatározó dokumentumot.

(7)   A pénzügyi szervezeteknek a következő kritériumokat kell figyelembe venniük, amikor meghatározzák, hogy a TLPT mely kritikus és fontos funkciókra terjedjen ki:

(8)   Az ellenőrzést végző csapat megosztja a TLPT elindítására vonatkozó információkat és a terjedelmet meghatározó dokumentumot a tesztelőkkel és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókkal ezek szerződtetését követően. Az ellenőrzést végző csapat tájékoztatja a tesztelőket és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókat a követendő tesztelési folyamatról.

(9)   A pénzügyi szervezet biztosítja, hogy a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók szerződtetése vagy kijelölése a tesztelési szakasz megkezdése előtt befejeződjön.

(10)   A tesztelési szakasz megkezdése előtt az ellenőrzést végző csapat konzultál a tesztvezetőkkel a TLPT kockázatértékeléséről és a kockázatkezelési intézkedésekről. Az ellenőrzést végző csapat felülvizsgálja a kockázatértékelést vagy a kockázatkezelési intézkedéseket, amennyiben a TLPT-hatóság véleménye szerint azok nem megfelelőek a TLPT kockázatainak kezelésére.

(11)   Az ellenőrzést végző csapat értékeli, hogy azok a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók és tesztelők, akiket be kíván vonni a TLPT-be, megfelelnek-e az (EU) 2022/2554 rendelet 27. cikkében és az e rendelet 7. cikke (1) bekezdésében meghatározott követelményeknek, és dokumentálja az értékelés eredményét. Az ellenőrzést végző csapat az említett értékeléssel és kockázatkezelési gyakorlatával összhangban választja ki a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókat. A kiválasztott fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókkal és külső tesztelőkkel való szerződéskötést megelőzően az ellenőrzést végző csapat bizonyítékot szolgáltat a tesztvezetők számára arról, hogy az említett fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók és tesztelők megfelelnek az (EU) 2022/2554 rendelet 27. cikkében és e rendelet 7. cikke (1) bekezdésében meghatározott követelményeknek. Az ellenőrzést végző csapat nem köthet szerződést a kiválasztott fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókkal és külső tesztelőkkel, ha a TLPT-hatóság véleménye szerint a kiválasztott fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók és külső tesztelők nem felelnek meg az (EU) 2022/2554 rendelet 27. cikkében meghatározott követelményeknek vagy az e rendelet 7. cikkének (1) bekezdésében meghatározott követelményeknek, illetve az uniós joggal összhangban a nemzetbiztonsági jogszabályokból eredő további követelményeknek, vagy ha a pénzügyi szervezet nem felel meg e rendelet 7. cikke (2) bekezdése első albekezdésének, vagy ha az e rendelet 7. cikke (2) bekezdésének második albekezdésében említett körülmények nem teljesülnek.

(12)   Amennyiben a terjedelmet meghatározó dokumentum teljes, és biztosítja a megfelelő és hatékony TLPT elvégzését, a TLPT-hatóság jóváhagyja a dokumentumot, és erről tájékoztatja az ellenőrzést végző csapat vezetőjét.