10 straipsnis Testavimo etapas. Žvalgybos informacija apie grėsmes

1.   TLPT institucijai patvirtinus aprėpties aprašymą, žvalgybos informacijos apie grėsmes teikėjas išanalizuoja finansų sektoriaus subjektui aktualią bendro pobūdžio ir konkretaus sektoriaus žvalgybos informaciją apie grėsmes. Jeigu TLPT institucija pateikia valstybės narės finansų sektoriaus bendrą grėsmių panoramą, žvalgybos informacijos apie grėsmes teikėjas gali naudoti tą panoramą kaip nacionalinės grėsmių panoramos atskaitos tašką. Žvalgybos informacijos apie grėsmes teikėjas nustato kibernetines grėsmes ir esamus arba galimus finansų sektoriaus subjekto pažeidžiamumus. Be to, žvalgybos informacijos apie grėsmes teikėjas renka ir analizuoja konkrečią, praktiškai pritaikomą ir kontekstinę tikslinę bei žvalgybos informaciją apie grėsmes, susijusias su finansų sektoriaus subjektu, be kita ko, konsultuodamasis su kontrolės grupe ir testavimo vadovais.

2.   Žvalgybos informacijos apie grėsmes teikėjas kontrolės grupei, testuotojams ir testavimo vadovams pristato atitinkamas grėsmes ir tikslinę žvalgybos informaciją apie grėsmes ir pasiūlo reikalingus scenarijus. Siūlomi scenarijai skiriasi atsižvelgiant į nustatytus grėsmę keliančius subjektus ir susijusią taktiką, metodus bei procedūras ir kuriami kiekvienai ypatingos svarbos ar svarbiai funkcijai, kuriai taikomas TLPT.

3.   Kontrolės grupės vadovas pasirenka bent tris TLPT vykdymo scenarijus, remdamasis visais šiais elementais:

4.   Ne daugiau kaip vienas iš pasirinktų scenarijų gali būti negrindžiamas grėsmėmis ir gali būti paremtas ateities perspektyvomis grindžiama ir galimai fiktyvia grėsme, turinčia didelę prognozuojamąją, prevencinę, oportunistinę ar perspektyvinę reikšmę, atsižvelgiant į numatomus finansų sektoriaus subjekto grėsmių panoramos pokyčius.

Atliekant bendrą TLPT, nedarant poveikio scenarijams, kurie yra tiesiogiai susiję su testavime dalyvaujančių finansų sektoriaus subjektų ypatingos svarbos arba svarbiomis funkcijomis, bent vienas scenarijus turi būti susijęs su atitinkamomis IRT paslaugas teikiančios trečiosios šalies pagrindinėmis IRT sistemomis, procesais ir technologijomis, kuriomis palaikomos į aprėptį įtrauktų finansų sektoriaus subjektų ypatingos svarbos arba svarbios funkcijos.

Atliekant jungtinį TLPT, kurio metu dalyvauja grupės vidaus IRT paslaugų teikėjas, nedarant poveikio scenarijams, kurie yra tiesiogiai susiję su testavime dalyvaujančių finansų sektoriaus subjektų ypatingos svarbos arba svarbiomis funkcijomis, bent vienas scenarijus turi būti susijęs su atitinkamomis grupės vidaus IRT paslaugų teikėjo IRT sistemomis, procesais ir technologijomis, kuriomis palaikomos į aprėptį įtrauktų finansų sektoriaus subjektų ypatingos svarbos arba svarbios funkcijos.

5.   Žvalgybos informacijos apie grėsmes teikėjas kontrolės grupei pateikia tikslinės žvalgybos informacijos apie grėsmes ataskaitą, įskaitant pagal 3 ir 4 dalis parinktus scenarijus. Žvalgybos informacijos apie grėsmes ataskaitoje pateikiama III priede nurodyta informacija.

6.   Kontrolės grupė pateikia tikslinės žvalgybos informacijos apie grėsmes ataskaitą testavimo vadovui patvirtinti. Jeigu tikslinės žvalgybos informacijos apie grėsmes ataskaita yra išsami ir ja užtikrinamas veiksmingas TLPT, TLPT institucija patvirtina tą tikslinės žvalgybos informacijos apie grėsmes ataskaitą ir apie tai informuoja kontrolės grupės vadovą.