10. cikk Tesztelési szakasz: fenyegetettséggel kapcsolatos hírszerzés

(1)   Miután a TLPT-hatóság jóváhagyta a terjedelmet meghatározó dokumentumot, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató elemzi a pénzügyi szervezet szempontjából releváns általános és ágazatspecifikus fenyegetettségi információkat. Amennyiben a TLPT-hatóság általános fenyegetettségi helyzetet biztosított valamely tagállam pénzügyi ágazata számára, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató ezt a helyzetet használhatja kiindulási alapként a nemzeti fenyegetettségi helyzetet illetően. A fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató azonosítja a kiberfenyegetéseket és a pénzügyi szervezetet érintő meglévő vagy potenciális sérülékenységeket. Ezen túlmenően a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a pénzügyi szervezetre vonatkozó információkat gyűjt, és elemzi a konkrét, gyakorlatban hasznosítható és kontextusba helyezett, célpontra vonatkozó és fenyegetettségi információkat, többek között az ellenőrzést végző csapattal és a tesztvezetőkkel folytatott konzultáció révén.

(2)   A fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató bemutatja a releváns fenyegetéseket és a célzott fenyegetettségi információkat, és javaslatot tesz a szükséges forgatókönyvekre az ellenőrzést végző csapatnak, a tesztelőknek és a tesztvezetőknek. A javasolt forgatókönyveknek az azonosított fenyegető szereplők és a kapcsolódó taktikák, módszerek és eljárások tekintetében eltérőeknek kell lenniük, és valamennyi olyan kritikus és fontos funkciót meg kell célozniuk, amelyekre a TLPT kiterjed.

(3)   Az ellenőrzést végző csapat vezetője legalább három forgatókönyvet kiválaszt a TLPT lefolytatására az alábbi elemek mindegyike alapján:

(4)   A kiválasztott forgatókönyvek közül csak egy lehet nem fenyegetés alapú, és alapulhat olyan előremutató és potenciálisan fiktív fenyegetésen, amely a pénzügyi szervezetet érintő fenyegetettségi helyzet várható alakulására tekintettel magas prediktív, előrejelzési, opportunisztikus vagy várható értékkel bír.

Csoportos TLPT-k esetében – a tesztelésben részt vevő pénzügyi szervezetek kritikus vagy fontos funkcióit közvetlenül célzó forgatókönyvek sérelme nélkül – legalább egy forgatókönyvnek magában kell foglalnia a harmadik fél IKT-szolgáltatónak az azon pénzügyi szervezetek kritikus vagy fontos funkcióit támogató releváns, alapul szolgáló IKT-rendszereit, -folyamatait és -technológiáit, amelyekre a TLPT kiterjed.

Amennyiben a teszt csoporton belüli IKT-szolgáltatót is érintő közös TLPT – a tesztben részt vevő pénzügyi szervezetek kritikus vagy fontos funkcióit közvetlenül célzó forgatókönyvek sérelme nélkül – legalább egy forgatókönyvnek magában kell foglalnia a csoporton belüli IKT-szolgáltatónak az azon pénzügyi szervezetek kritikus vagy fontos funkcióit támogató releváns, alapul szolgáló IKT-rendszereit, -folyamatait és -technológiáit, amelyekre a TLPT kiterjed.

(5)   A fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentést az ellenőrzést végző csapat rendelkezésére bocsátja, beleértve a (3) és (4) bekezdéssel összhangban kiválasztott forgatókönyveket is. A fenyegetettséggel kapcsolatos hírszerzésre vonatkozó jelentés a III. mellékletben meghatározott információkat tartalmazza.

(6)   Az ellenőrzést végző csapat jóváhagyásra benyújtja a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentést a tesztvezetőnek. Amennyiben a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentés teljes, és biztosítja a hatékony TLPT elvégzését, a TLPT-hatóság jóváhagyja a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentést, és erről tájékoztatja az ellenőrzést végző csapat vezetőjét.