11. cikk Tesztelési szakasz: a vörös csapat által végzett teszt

(1)   A fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentés TLPT-hatóság általi jóváhagyását követően a tesztelők elkészítik a vörös csapat által végzett teszt tervét, amely tartalmazza a IV. mellékletben meghatározott információkat. A tesztelők a terjedelmet meghatározó dokumentumot és a fenyegetettséggel kapcsolatos hírszerzésre vonatkozó célzott jelentést veszik alapul a támadási forgatókönyvek elkészítéséhez.

(2)   A tesztelők konzultálnak az ellenőrzést végző csapattal, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatóval és a tesztvezetőkkel a vörös csapat által végzett teszt tervéről, beleértve a kommunikációs, eljárási és projektirányítási megállapodást, a kisegítés aktiválásának előkészítését és eseteit, valamint az ellenőrzést végző csapat és a tesztvezetők felé történő jelentéstétellel kapcsolatos megállapodásokat.

(3)   Amennyiben a vörös csapat által végzett teszt terve teljes, és biztosítja a hatékony TLPT elvégzését, az ellenőrzést végző csapat és a TLPT-hatóság jóváhagyja a vörös csapat által végzett teszt tervét, és a TLPT-hatóság erről tájékoztatja az ellenőrzést végző csapat vezetőjét.

(4)   A vörös csapat által végzett teszt tervének (3) bekezdéssel összhangban történő jóváhagyását követően a tesztelők elvégzik a TLPT-t a vörös csapat által végzett aktív tesztelési szakasz során.

(5)   A vörös csapat által végzett aktív tesztelési szakasz időtartamának arányosnak kell lennie a TLPT terjedelmével, a TLPT-ben részt vevő pénzügyi szervezetek és harmadik fél IKT-szolgáltatók vagy csoporton belüli IKT-szolgáltatók nagyságrendjével, tevékenységével, összetettségével és számával, és minden esetben legalább 12 hétig kell tartania. A támadási forgatókönyvek egymás után vagy egyidejűleg is végrehajthatók. Az ellenőrzést végző csapat, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató, a tesztelők és a tesztvezetők megállapodnak a vörös csapat által végzett aktív tesztelési szakasz befejezéséről.

(6)   Annak biztosítása érdekében, hogy a vörös csapat által végzett teszt terve teljes maradjon, és lehetővé tegye a hatékony TLPT elvégzését, az ellenőrzést végző csapat vezetője és a tesztvezetők jóváhagyják a vörös csapat által végzett teszt tervének a jóváhagyást követő bármely módosítását, beleértve az ütemezést, a terjedelmet, a célrendszereket és a tesztcélokat érintő módosításokat is.

(7)   A tesztelők a vörös csapat által végzett aktív tesztelési szakasz teljes egészében legalább hetente jelentést tesznek az ellenőrzést végző csapatnak és a tesztvezetőknek a TLPT terén elért eredményekről, a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató pedig továbbra is az ellenőrzést végző csapat rendelkezésére áll konzultáció és fenyegetettséggel kapcsolatos további hírszerzés céljából.

(8)   Az ellenőrzést végző csapat kellő időben a vörös csapat által végzett teszt terve alapján kidolgozott segítséget nyújt „kisegítés” formájában. Az ellenőrzést végző csapat és a tesztvezetők jóváhagyásával további kisegítés nyújtható vagy az módosítható.

(9)   Amennyiben a pénzügyi szervezet vagy annak harmadik fél IKT-szolgáltatója vagy csoporton belüli IKT-szolgáltatója személyzetének bármely tagja észleli a tesztelési tevékenységeket, az ellenőrzést végző csapat a tesztelőkkel konzultálva és a (10) bekezdés sérelme nélkül olyan intézkedéseket javasol és nyújt be a tesztvezetők számára validálás céljából, amelyek lehetővé teszik a TLPT folytatását, ugyanakkor biztosítják annak titkosságát.

(10)   Kivételes körülmények között, amelyek a pénzügyi szervezet, a harmadik fél IKT-szolgáltatói vagy csoporton belüli IKT-szolgáltatói adataira gyakorolt hatással, eszközei károsodásával és kritikus vagy fontos funkcióinak, szolgáltatásainak vagy műveleteinek megzavarásával kapcsolatos kockázatot, illetve a partnereivel vagy a pénzügyi ágazattal kapcsolatos zavarok kockázatát idézik elő, az ellenőrzést végző csapat vezetője felfüggesztheti a TLPT-t, vagy végső esetben – amennyiben a TLPT folytatása egyébként nem lehetséges –, a TLPT-hatóság előzetes jóváhagyása mellett, korlátozott terjedelmű közös teszteléssel folytathatja a TLPT-t. A korlátozott terjedelmű közös tesztelés időtartamát bele kell számítani az (5) bekezdésben említett, a vörös csapat által végzett aktív tesztelési szakasz 12 hetes minimális időtartamába.