KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2025/1190 af 13. februar 2025 om supplerende regler til Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder, der præciserer de kriterier, der anvendes til at identificere finansielle enheder, som skal gennemføre trusselsbaserede penetrationstest, kravene til og standarderne for anvendelsen af interne testere, kravene vedrørende testomfang, -metode og -tilgang for hver testfase samt resultater, afslutnings- og udbedringsfaser og den type tilsyn og andet relevant samarbejde, der er nødvendigt for gennemførelsen af TLPT og for at lette den gensidige anerkendelse (EØS-relevant tekst)

(1)

Denne forordning er udarbejdet i overensstemmelse med TIBER-EU-rammen og afspejler den metode, proces og struktur, som anvendes ved trusselsbaseret penetrationstest (TLPT), som beskrevet i TIBER-EU. Finansielle enheder, der er omfattet af TLPT, kan henvise til og anvende TIBER-EU-rammen eller en af dens nationale gennemførelser heraf, for så vidt som den pågældende ramme eller gennemførelse er i overensstemmelse med kravene i artikel 26 og 27 i forordning (EU) 2022/2554 og nærværende forordning. Udpegelsen af en fælles offentlig myndighed i den finansielle sektor, som har ansvar for TLPT-relaterede spørgsmål på nationalt plan i overensstemmelse med artikel 26, stk. 9, i forordning (EU) 2022/2554, bør ikke berøre den kompetence, som de kompetente myndigheder har fået overdraget på EU-plan til at føre tilsyn med visse finansielle enheder i overensstemmelse med nævnte forordnings artikel 46, f.eks. Den Europæiske Centralbank for signifikante kreditinstitutter, der skal anses for at være kompetente med hensyn til TLPT-relaterede spørgsmål. Hvis kun nogle af de opgaver, der vedrører TLPT'er, uddelegeres til en anden national myndighed i den finansielle sektor i henhold til artikel 26, stk. 10, i forordning (EU) 2022/2554, bør den kompetente myndighed for den finansielle enhed, der er omhandlet i nævnte forordnings artikel 46, fortsat være myndighed for de TLPT-relaterede opgaver, der ikke er uddelegeret.

(2)

I betragtning af TLPT'ens kompleksitet og de risici, der er forbundet hermed, bør anvendelsen heraf begrænses til de finansielle enheder, for hvilke den er berettiget. Myndigheder med ansvar for TLPT-forhold (TLPT-myndigheder, enten på EU-plan eller nationalt plan) bør derfor udelukke de finansielle enheder, der opererer inden for centrale delsektorer for finansielle tjenesteydelser, for hvilke TLPT ikke er berettiget, fra anvendelsesområdet for TLPT. Det betyder, at kreditinstitutter, betalingsinstitutter og e-pengeinstitutter, værdipapircentraler, centrale modparter, markedspladser, forsikrings- og genforsikringsselskaber, selvom de opfylder de kvantitative kriterier, kan fritages for kravet om TLPT på grundlag af en samlet vurdering af deres IKT-risikoprofil og -modenhed, indvirkning på den finansielle sektor og dertil relaterede betænkeligheder vedrørende finansiel stabilitet.

(3)

TLPT-myndighederne bør på grundlag af en samlet vurdering af IKT-risikoprofilen og -modenheden, af indvirkningen på den finansielle sektor og af dertil relaterede betænkeligheder vedrørende finansiel stabilitet vurdere, om andre typer finansielle enheder end kreditinstitutter, betalingsinstitutter, e-pengeinstitutter, centrale modparter, værdipapircentraler, markedspladser, forsikrings- og genforsikringsselskaber bør være omfattet af TLPT. Vurderingen af, om sådanne finansielle enheder opfylder disse kvalitative kriterier, bør tage sigte på at identificere finansielle enheder, for hvilke TLPT er hensigtsmæssig, ved hjælp af tværsektorielle og objektive indikatorer. Samtidig bør vurderingen af, om en finansiel enhed opfylder disse kvalitative kriterier, begrænse antallet af enheder, der er omfattet af TLPT, til dem, for hvilke testforløbet er berettiget. Hvorvidt en finansiel enhed opfylder disse kvalitative kriterier, bør også vurderes i lyset af den nye markedsudvikling og nye markedsdeltageres stadig større betydning for den finansielle sektor i fremtiden, herunder udbydere af kryptoaktivtjenester, som er meddelt tilladelse i overensstemmelse med artikel 59 i Europa-Parlamentets og Rådets forordning (EU) 2023/1114 (2).

(4)

Finansielle enheder kan have samme koncerninterne IKT-tjenesteudbyder eller kan tilhøre samme koncern og forlade sig på brugen af fælles IKT-systemer. I så fald er det vigtigt, at TLPT-myndighederne tager hensyn til den pågældende finansielle enheds struktur og systemiske karakter eller betydning for den finansielle sektor på nationalt plan eller EU-plan, når de vurderer, om en finansiel enhed bør være omfattet af TLPT, og om TLPT'en bør gennemføres på enheds- eller koncernniveau (gennem en fælles TLPT).

(5)

For at afspejle TIBER-EU-rammen er det nødvendigt, at testmetoden indeholder bestemmelser om inddragelse af følgende hoveddeltagere: den finansielle enhed — med et kontrolteam (der afspejler TIBER-EU-rammens »control team«) og et blåt team (der afspejler TIBER-EU's »blue team«) — og TLPT-myndigheden i form af et TLPT-cyberteam (der afspejler TIBER-EU-rammens »TIBER-EU-cyberteam«), en formidler af trusselsefterretninger og testere (testerne afspejler TIBER-EU-rammens »red team-provider«).

(6)

For at sikre, at de erfaringer, der er indhøstet med gennemførelsen af TIBER-EU-rammen, inddrages i TLPT'en, og for at mindske de risici, der er forbundet med gennemførelsen af TLPT, bør det sikres, at ansvarsområderne for de TLPT-cyberteams, som TLPT- myndighederne skal oprette, i så høj grad som muligt svarer til »TIBER-EU-cyberteams«. TLPT-cyberteams bør derfor have testledere, som har ansvar for at føre tilsyn med individuelle TLPT'er og for at planlægge og koordinere individuelle test. TLPT-cyberteams bør fungere som et centralt kontaktpunkt for testrelateret kommunikation til interne og eksterne interessenter, for indsamling og behandling af feedback og indhøstede erfaringer fra tidligere gennemførte test og for støtte til finansielle enheder, der underlægges en TLPT-forløb.

(7)

For at afspejle metoden efter TIBER-EU-rammen bør testledere have de færdigheder og evner, der er nødvendige for at yde rådgivning og bestride testernes forslag. Erfaringerne med TIBER-EU-rammen har vist, at det er værdifuldt at råde over et team bestående af mindst to testledere, som er udpeget til at gennemføre hver enkelt test. For at afspejle det forhold, at TLPT'en anvendes til at tilskynde til læringserfaring og garantere testfortroligheden — og medmindre de har vanskeligheder med ressourcer eller ekspertise — opfordres TLPT-myndighederne kraftigt til at tage hensyn til, at testledere, så længe en TLPT varer, ikke bør udøve tilsynsaktiviteter for samme finansielle enhed, der underlægges en TLPT.

(8)

For at sikre overensstemmelse med TIBER-EU-rammen er det vigtigt, at TLPT-myndigheden følger testforløbet nøje i hver enkelt testfase. I betragtning af testforløbets art og de risici, der er forbundet hermed, er det afgørende, at TLPT-myndigheden inddrages i hver specifik testfase. TLPT-myndigheden bør navnlig høres og bør validere de af den finansielle enheders vurderinger eller beslutninger, som på den ene side kan få indflydelse på testens effektivitet og på den anden side har en indvirkning på de risici, der er forbundet med testen. De grundlæggende skridt, der kræver en særlig inddragelse af TLPT-myndigheden, omfatter validering af særlig grundlæggende dokumentation vedrørende testforløbet og udvælgelse af formidlere og testere af trusselsefterretninger samt risikostyringsforanstaltninger. Inddragelsen af TLPT-myndighederne, og navnlig med hensyn til valideringer, bør ikke medføre en uforholdsmæssig stor byrde for disse myndigheder og bør derfor begrænses til den dokumentation og de afgørelser, der har en direkte indvirkning på gennemførelsen af TLPT. Gennem aktiv deltagelse i hver enkelt testfase kan TLPT-myndighederne effektivt vurdere de finansielle enheders overholdelse af de relevante krav, hvilket bør gøre det muligt for disse myndigheder at udstede erklæringer i henhold til artikel 26, stk. 7, i forordning (EU) 2022/2554.

(9)

Fortroligheden af TLPT er af allerstørste betydning for at sikre, at testbetingelserne er realistiske. Derfor bør testforløbet hemmeligholdes, og der bør træffes forholdsregler for at sikre fortroligheden af TLPT'en, hvilket omfatter valget af kodebetegnelser, der skal udformes på en måde, der forhindrer tredjeparter i at detektere TLPT'en. Hvis de medarbejdere, der har ansvar for finansteamets sikkerhed, har kendskab til en planlagt eller igangværende TLPT, er det sandsynligt, at de vil være mere opmærksomme og årvågne end under normale arbejdsvilkår, hvilket vil resultere i et ændret testresultat. Medarbejdere i den finansielle enhed, som ikke er del af kontrolteamet, bør derfor kun gøres bekendt med en eventuel planlagt eller igangværende TLPT, hvis der er tungtvejende årsager hertil, og med forbehold af testledernes forudgående samtykke, bl.a. for at sikre testens fortrolighed, i tilfælde af at et medlem af det blå team har detekteret testforløbet.

(10)

Som det fremgår af de erfaringer, der er indhøstet med TIBER-EU-rammen med hensyn til »kontrolteamet«, er det absolut nødvendigt at udvælge en tilfredsstillende leder af kontrolteamet for at sikre en sikker gennemførelse af TLPT. Kontrolteamets leder bør have det nødvendige mandat inden for den finansielle enhed til at udstikke retningslinjer for alle aspekter af testforløbet uden at kompromittere fortroligheden heraf. Af samme årsag bør kontrolteamets medlemmer have et indgående kendskab til den finansielle enhed, den rolle og strategiske placering, som kontrolteamets leder har, have den krævede anciennitet og have adgang til bestyrelsen. For at mindske risikoen for at kompromittere TLPT'en bør kontrolteamet være så lille som muligt.

(11)

Der er iboende risikoelementer forbundet med TLPT, da kritiske funktioner testes i et live-produktionsmiljø med mulighed for at forårsage denial-of-service-hændelser, uventede systemsammenbrud, skader på kritiske live-produktionssystemer eller tab, ændring eller videregivelse af data. Disse risici understreger behovet for solide risikostyringsforanstaltninger. For at sikre, at TLPT'en gennemføres på en kontrolleret måde under hele testforløbet, er det meget vigtigt, at de finansielle enheder til enhver tid har kendskab til de særlige risici, der opstår i tilknytning til en TLPT, og at disse risici afbødes. Uden at det berører den finansielle enheds interne processer samt det ansvar og de bemyndigelser, der allerede er givet til kontrolteamets leder, kan det være hensigtsmæssigt at få oplysninger om TLPT-risikostyringsforanstaltningerne eller, i særlige tilfælde, opnå godkendelse af disse risikostyringsforanstaltninger fra selve ledelsesorganet i den finansielle enhed. For at kunne levere effektive og højst kvalificerede professionelle tjenesteydelser og mindske nævnte risici er det også afgørende, at testere og formidlere af trusselsefterretninger (sammen med TLPT-udbyderne) har det højeste niveau af færdigheder, ekspertise og passende erfaring med trusselsefterretninger og TLPT i sektoren for finansielle tjenesteydelser.

(12)

Med konventionelle penetrationstest opnås en udførlig og nyttig vurdering af tekniske og konfigurationsrelaterede sårbarheder, ofte i et enkelt system eller miljø isoleret set. Men i modsætning til efterretningsbaserede test, der gennemføres af et rødt team, vurderer de ikke det samlede scenarie med et målrettet angreb mod en hel enhed, herunder det fulde omfang af personer, processer og teknologier i enheden. Under udvælgelsen af TLPT-udbydere bør de finansielle enheder derfor sikre, at disse udbydere har de nødvendige færdigheder til at udføre efterretningsbaserede test, der gennemføres af et rødt team, og ikke kun penetrationstest. Det er derfor nødvendigt at fastsætte omfattende kriterier for testere, både interne og eksterne, og formidlere af trusselsefterretninger, som altid er eksterne. Hvis TLPT-udbyderne tilhører samme virksomhed, bør det personale, som er udpeget til at gennemføre en TLPT, adskilles i tilstrækkelig grad.

(13)

Der kan være ekstraordinære omstændigheder, under hvilke finansielle enheder ikke er i stand til at indgå kontrakter med TLPT-udbydere, der opfylder de omfattende kriterier. Finansielle enheder bør derfor, når de dokumenterer, at sådanne formidlere af trusselsefterretninger ikke er tilgængelige, have mulighed for at inddrage personer, der ikke opfylder alle omfattende kriterier, forudsat at de på passende vis afbøder eventuelle deraf følgende yderligere risici, og at TLPT-myndigheden vurderer alle disse kriterier.

(14)

Hvis flere finansielle enheder og flere TLPT-myndigheder er involveret i en TLPT, bør alle parters roller i TLPT-processen beskrives nærmere med henblik på at gennemføre den mest effektive og sikre test. Med henblik på samlede testforløb er der behov for specifikke krav for at præcisere den udpegede finansielle enheds rolle, dvs. at den bør have ansvar for at levere al nødvendig dokumentation til den ledende TLPT-myndighed og for at overvåge testprocessen. Den udpegede finansielle enhed bør også have ansvar for de fælles aspekter af vurderingen af risikostyring. Uanset den udpegede finansielle enheds rolle bør forpligtelserne for hver enkel finansiel enhed, der deltager i den samlede TLPT-proces, forblive uændrede under det samlede testforløb. Det samme princip bør gælde for fælles TLPT'er.

(15)

Som det fremgår af erfaringerne med gennemførelsen af TIBER-EU-rammen, er afholdelse af fysiske eller virtuelle møder, der inddrager alle berørte interessenter (finansielle enheder, myndigheder, testere og formidlere af trusselsefterretninger), den mest effektive måde til at sikre en hensigtsmæssig gennemførelse af testforløbet. Der bør derfor afholdes fysiske og virtuelle møder på forskellige trin i processen, navnlig i forberedelsesfasen og ved iværksættelsen af TLPT'en, for i løbet af testfasen at afslutte afgrænsningen af dens anvendelsesområde, for at færdiggøre trusselsefterretningsrapporten og det røde teams testplan og plan for de ugentlige opdateringer og i nedlukningsfasen for gennemspilninger af testeres og det blå teams tiltag, »purple teaming« og for at udveksle feedback om TLPT'en.

(16)

For at sikre, at TLPT'en fungerer gnidningsløst, bør TLPT-myndigheden give en klar redegørelse for sine forventninger til testen over for den finansielle enhed. I den forbindelse bør testlederne sikre, at der etableres en passende informationsstrøm med kontrolteamet i den finansielle enhed og med TLPT-udbyderne.

(17)

Den finansielle enhed bør vælge de kritiske eller vigtige funktioner, der skal indgå i TLPT'ens anvendelsesområde. Ved udvælgelsen af disse funktioner bør den finansielle enhed forlade sig på forskellige kriterier i relation til betydningen af hver funktion for selve den finansielle enhed og for den finansielle sektor, på EU-plan og på nationalt plan, ikke kun i økonomisk henseende, men også i betragtning af funktionens symbolske eller politiske status. For at lette overgangen til fasen med indsamling af trusselsefterretninger bør kontrolteamet give de testere og formidlere af trusselsefterretninger, der ikke er involveret i processen med afgrænsning af anvendelsesområdet, udførlige oplysninger om den fastlagte afgrænsning.

(18)

For at give testerne de oplysninger, der er nødvendige for at simulere et virkeligt og realistisk angreb på den finansielle enheds live-systemer, som understøtter dens kritiske eller vigtige funktioner, bør formidleren af trusselsefterretninger indsamle efterretninger eller oplysninger, hvori mindst to centrale interesseområder indgår: målene, idet potentielle angrebsoverflader på tværs af den finansielle enhed identificeres, og truslerne, idet relevante trusselsaktører og sandsynlige trusselsscenarier identificeres. For at sikre, at formidleren af trusselsefterretninger tager hensyn til de relevante trusler mod den finansielle enhed, bør testerne, kontrolteamet og testlederne give feedback på udkastet til trusselsefterretningsrapport. Hvis det er tilgængeligt, kan formidleren af trusselsefterretninger anvende et generisk trusselsbillede, som er forelagt af TLPT-myndigheden, for den finansielle sektor i en medlemsstat som udgangspunkt for det nationale trusselsbillede. Baseret på anvendelsen af TIBER-EU-rammen varer processen med indsamling af trusselsefterretninger typisk ca. fire uger.

(19)

For at testerne kan få indsigt i og yderligere gennemgå dokumentet om afgrænsning af anvendelsesområdet og den målrettede trusselsefterretningsrapport med henblik på at færdiggøre det røde teams testplan er det vigtigt, at testerne forud for det røde teams testfase i TLPT'en modtager udførlige redegørelser fra formidleren af trusselsefterretninger om den målrettede trusselsefterretningsrapport og analyse af mulige trusselsscenarier.

(20)

For at gøre det muligt for testere at gennemføre et realistisk og omfattende testforløb, hvor alle angrebsfaser udføres og flagmål er nået, bør der afsættes tilstrækkelig tid til det røde teams aktive testfase. På grundlag af erfaringerne med TIBER-EU-rammen bør den tildelte tid være mindst 12 uger og bør fastsættes, idet der tages hensyn til antallet af involverede parter, omfanget af TLPT'ens anvendelsesområde, den eller de involverede finansielle enheders ressourcer, eventuelle eksterne krav og tilgængeligheden af understøttende oplysninger forelagt af den finansielle enhed.

(21)

I det røde teams aktive testfase bør testerne anvende en række taktikker, teknikker og procedurer for i tilstrækkelig grad at teste den finansielle enheds live-produktionssystemer. De pågældende taktikker, teknikker og procedurer bør, hvis det er relevant, indeholde rekognoscering (dvs. indsamling af så mange oplysninger som muligt om et mål), instrumentalisering (dvs. analyse af oplysninger om infrastruktur, faciliteter og medarbejdere og forberedelse med henblik på de operationer, der er rettet specifikt mod målet), levering (dvs. aktiv iværksættelse af den fulde operation rettet mod målet), udnyttelse (dvs. hvor testerens mål er at kompromittere servere og netværk i den finansielle enhed og udnytte dens personale gennem social manipulation) kontrol og bevægelse (dvs. forsøg på at bevæge sig fra kompromitterede systemer til yderligere sårbare systemer eller systemer af høj værdi) og tiltag rettet mod mål (dvs. opnåelse af yderligere adgang til kompromitterede systemer og adgang til de tidligere fastlagte oplysninger og -data om mål, som tidligere vedtaget i det røde teams testplan).

(22)

Når testere gennemfører en TLPT, bør de handle under hensyntagen til den tid, der er til rådighed til at udføre angrebet, ressourcerne samt de etiske og retlige grænser. Hvis testerne ikke er i stand til at gå videre til den programmerede næste fase af angrebet, bør kontrolteamet efter aftale med TLPT-myndigheden yde lejlighedsvis bistand i form af »forstærkninger«. Forstærkninger kan i store træk kategoriseres som informations- og adgangsbistand og kan bestå i at give adgang til IKT-systemer eller interne netværk for at fortsætte testen og fokusere på de følgende angrebstrin.

(23)

Under den aktive »red teaming« i testfasen bør der, hvis det er nødvendigt for, at TLPT'en kan forsættes, som en sidste udvej under ekstraordinære omstændigheder, og når alle alternative muligheder er udtømt, anvendes en samarbejdsbaseret testaktivitet, der involverer både testerne og det blå team. I tilknytning til et således begrænset »purple teaming«-forløb kan følgende metoder anvendes: »catch-and-release«, hvor testere forsøger at videreføre scenarierne, blive detekteret og derefter genoptage testforløbet, »war gaming«, som giver mulighed for mere komplekse scenarier for at teste strategisk beslutningstagning, eller »collaborative proof-of-concept«, som gør det muligt for testere og medlemmer af det blå team i fællesskab at validere specifikke sikkerhedsforanstaltninger, værktøjer eller teknikker i et kontrolleret og samarbejdsbaseret miljø.

(24)

TLPT'en bør anvendes som en læringserfaring for at øge finansielle enheders digitale operationelle modstandsdygtighed. I den henseende bør det blå team og testerne foretage en gennemspilning af angrebet og gennemgå de skridt, der er taget for at lære af testerfaringerne i samarbejde med testerne. Med henblik herpå og for at muliggøre tilstrækkelig forberedelse bør det røde teams testrapport og det blå teams testrapport stilles til rådighed for alle parter, der er involveret i gennemspilningsaktiviteterne, inden der udøves gennemspilningsaktiviteter. Desuden bør der gennemføres et »purple teaming«-forløb i afslutningsfasen for at maksimere læringserfaringen. De metoder, der kan anvendes til »purple teaming«-forløbet i afslutningsfasen, bør omfatte drøftelser af alternative angrebsscenarier, undersøgelse af alternative scenarier i live-systemer eller fornyet undersøgelse af planlagte scenarier i live-systemer, som testerne ikke havde været i stand til at færdiggøre eller foretage i testfasen.

(25)

For yderligere at fremme læringserfaringen for alle parter, der er involveret i TLPT'en, til gavn for fremtidige test og for at øge finansielle enheders digitale operationelle modstandsdygtighed bør de berørte parter give hinanden feedback om den overordnede proces, og navnlig påpege, hvilke aktiviteter der forløb godt eller kunne have været forbedret, og hvilke aspekter af TLPT-processen der fungerede godt eller kunne forbedres.

(26)

De kompetente myndigheder, der er omhandlet i artikel 46 i forordning (EU) 2022/2554, og TLPT-myndighederne, hvis de er forskellige herfra, bør samarbejde om at indarbejde avanceret testforløb ved hjælp af TLPT i de eksisterende tilsynsprocesser. I denne henseende og for at formidle den korrekte forståelse af TLPT-resultaterne og af, hvordan de skal fortolkes, bør der, navnlig for så vidt angår den sammenfattende testrapport og udbedringsplanerne, etableres et tæt samarbejde mellem de testledere, der var involveret i TLPT'en, og de ansvarlige tilsynsmyndigheder.

(27)

I henhold til artikel 26, stk. 8, første afsnit, i forordning (EU) 2022/2554 skal finansielle enheder indgå kontrakt med eksterne testere ved hver tredje test. Hvis finansielle enheder inddrager både interne og eksterne testere i teamet, bør dette betragtes som en TLPT, der gennemføres med interne testere med henblik på nævnte artikel.

(28)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som Den Europæiske Banktilsynsmyndighed, Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger og Den Europæiske Værdipapir- og Markedstilsynsmyndighed (de europæiske tilsynsmyndigheder) efter aftale med den Europæiske Centralbank har forelagt for Kommissionen.

(29)

De europæiske tilsynsmyndigheder har afholdt åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele samt anmodet interessentgruppen for banker, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), interessentgruppen for forsikrings- og genforsikringsordninger og interessentgruppen for arbejdsmarkedspensionsordninger, som er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (4), og interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (5), om en udtalelse.

(30)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en udtalelse den 20. august 2024 —