Artikolu 26 Ittestjar avvanzat tal-għodod, sistemi u proċessi tal-ICT ibbażat fuq it-TLPT

1.   L-entitajiet finanzjarji, għajr l-entitajiet imsemmija fl-Artikolu 16(1), l-ewwel subparagrafu, u għajr il-mikrointrapriżi, li huma identifikati f’konformità mal-paragrafu 8, it-tielet subparagrafu, ta’ dan l-Artikolu, għandhom iwettqu, mill-inqas kull tliet snin, ittestjar avvanzat permezz tat-TLPT. Abbażi tal-profil tar-riskju tal-entità finanzjarja u b’kont meħud taċ-ċirkostanzi operazzjonali, l-awtorità kompetenti tista’, fejn neċessarju, titlob lill-entità finanzjarja biex tnaqqas jew iżżid din il-frekwenza.

2.   Kull test tal-penetrazzjoni bbażat fuq it-theddid għandu jkopri diversi funzjonijiet kritiċi jew importanti ta’ entità finanzjarja, jew ikoprihom kollha, u għandu jitwettaq fuq sistemi ta’ produzzjoni li jkunu qed jappoġġjaw tali funzjonijiet.

L-entitajiet finanzjarji għandhom jidentifikaw is-sistemi, il-proċessi u t-teknoloġiji sottostanti rilevanti kollha tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u s-servizzi rilevanti kollha tal-ICT, inkluż dawk li jappoġġjaw il-funzjonijiet kritiċi jew importanti u servizzi li ġew esternalizzati jew ikkuntrattati lil fornituri terzi ta’ servizzi tal-ICT.

L-entitajiet finanzjarji għandhom jivvalutaw liema funzjonijiet kritiċi jew importanti jeħtieġ li jiġu koperti mit-TLPT. Ir-riżultat ta’ din il-valutazzjoni għandu jiddetermina l-ambitu preċiż tat-TLPT u għandu jiġi vvalidat mill-awtoritajiet kompetenti.

3.   Meta l-fornituri terzi ta’ servizzi tal-ICT ikunu inklużi fl-ambitu tat-TLPT, l-entità finanzjarja għandha tieħu l-miżuri u s-salvagwardji meħtieġa biex tiżgura l-parteċipazzjoni ta’ fornituri terzi ta’ servizzi tal-ICT bħal dawn fit-TLPT u għandha dejjem iżżomm ir-responsabbiltà sħiħa li tiżgura l-konformità ma’ dan ir-Regolament.

4.   Mingħajr preġudizzju għall-paragrafu 2, l-ewwel u t-tieni subparagrafi, meta l-parteċipazzjoni ta’ fornitur terz ta’ servizzi tal-ICT fit-TLPT, imsemmi fil-paragrafu 3, tkun raġonevolment mistennija li jkollha impatt negattiv fuq il-kwalità jew is-sigurtà tas-servizzi mogħtija minn fornitur terz ta’ servizz tal-ICT lill-konsumaturi li jkunu entitajiet barra mill-kamp ta’ applikazzjoni ta’ dan ir-Regolament, jew fuq il-kunfidenzjalità tad-data marbuta ma’ servizzi bħal dawn, l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT jistgħu jaqblu bil-miktub li l-fornitur terz ta’ servizzi tal-ICT jidħol direttament f’arranġamenti kuntrattwali ma’ tester estern, għall-fini li jwettaq, taħt id-direzzjoni ta’ entità finanzjarja waħda ddeżinjata, TLPT aggregat li jinvolvi diversi entitajiet finanzjarji (ittestjar aggregat) li għaliha l-fornitur terz ta’ servizzi tal-ICT jipprovdi servizzi tal-ICT.

Dak l-ittestjar aggregat għandu jkopri l-firxa rilevanti ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti kkuntrattati lill-fornitur terz rispettiv ta’ servizzi tal-ICT mill-entitajiet finanzjarji. L-ittestjar aggregat għandu jitqies bħala TLPT imwettaq mill-entitajiet finanzjarji parteċipanti fl-ittestjar aggregat.

L-għadd ta’ entitajiet finanzjarji parteċipanti fl-ittestjar aggregat għandu jiġi kkalibrat kif xieraq b’kont meħud tal-kumplessità u t-tipi ta’ servizzi involuti.

5.   L-entitajiet finanzjarji għandhom, bil-kooperazzjoni tal-fornituri terzi ta’ servizzi tal-ICT u partijiet oħra involuti, inkluż it-testers iżda eskluż l-awtoritajiet kompetenti, japplikaw kontrolli effettivi ta’ ġestjoni tar-riskju sabiex inaqqsu ir-riskji ta’ kwalunkwe impatt potenzjali fuq id-data, ħsara lill-assi, u tfixkil ta’ funzjonijiet, servizzi jew operazzjonijiet kritiċi jew importanti fl-entità finanzjarja stess, il-kontropartijiet tagħha jew is-settur finanzjarju.

6.   Fi tmiem l-ittestjar, wara li jkunu ġew miftiehma r-rapporti u l-pjanijiet ta’ rimedju, l-entità finanzjarja u, fejn applikabbli, it-testers esterni għandhom jipprovdu lill-awtorità, iddeżinjata skont il-paragrafu 9 jew 10, sommarju tas-sejbiet rilevanti, il-pjanijiet ta’ rimedju u d-dokumentazzjoni li turi li t-TLPT twettaq skont ir-rekwiżiti.

7.   L-awtoritajiet għandhom jipprovdu lill-entitajiet finanzjarji b’attestazzjoni li tikkonferma li t-test twettaq f’konformità mar-rekwiżiti kif tixhed id-dokumentazzjoni sabiex ikun jista’ jsir rikonoxximent reċiproku tat-testijiet tal-penetrazzjoni bbażat fuq it-theddid bejn l-awtoritajiet kompetenti. L-entità finanzjarja għandha tinnotifika lill-awtorità kompetenti rilevanti bl-attestazzjoni, is-sommarju tas-sejbiet rilevanti u l-pjanijiet ta’ rimedju.

Mingħajr preġudizzju għal tali attestazzjoni, l-entitajiet finanzjarji għandhom f’kull ħin jibqgħu kompletament responsabbli għall-impatt tat-testijiet imsemmija fil-paragrafu 4.

8.   L-entitajiet finanzjarji għandhom jikkuntrattaw testers biex iwettqu t-TLPT f’konformità mal-Artikolu 27. Meta l-entitajiet finanzjarji jużaw testers interni biex iwettqu t-TLPT, huma għandhom jikkuntrattaw testers estern għal kull tliet testijiet.

L-istituzzjonijiet ta’ kreditu li huma kklassifikati bħala sinifikanti f’konformità mal-Artikolu 6(4) tar-Regolament (UE) Nru 1024/2013, għandhom jużaw biss testers esterni f’konformità mal-Artikolu 27(1), il-punti (a) sa (e).

L-awtoritajiet kompetenti għandhom jidentifikaw l-entitajiet finanzjarji li huma meħtieġa jwettqu TLPT waqt li jqisu l-kriterji stabbiliti fl-Artikolu 4(2), abbażi ta’ valutazzjoni ta’ dawn li ġejjin:

9.   L-Istati Membri jistgħu jiddeżinjaw awtorità pubblika waħda fis-settur finanzjarju biex tkun responsabbli għall-kwistjonijiet marbuta mat-TLPT fis-settur finanzjarju fil-livell nazzjonali u għandha tafdaha bil-kompetenzi u l-kompiti kollha għal dak l-għan.

10.   Fin-nuqqas ta’ deżinjazzjoni skont il-paragrafu 9 ta’ dan l-Artikolu, u mingħajr preġudizzju għas-setgħa mogħtija għall-identifikazzjoni tal-entitajiet finanzjarji meħtieġa biex iwettqu TLPT, awtorità kompetenti tista’ tiddelega l-eżerċizzju ta’ xi kompiti, jew kollha, imsemmija f’dan l-Artikolu u l-Artikolu 27 lil awtorità nazzjonali oħra fis-settur finanzjarju.

11.   L-ASE għandhom, bi qbil mal-BĊE, jiżviluppaw abbozz ta’ standards tekniċi regolatorji konġunti f’konformità mal-qafas TIBER–EU sabiex jispeċifikaw aktar:

Meta jiżviluppaw dawk l-abbozzi ta’ standards tekniċi regolatorji, l-SE għandhom iqisu kif xieraq kwalunkwe karatteristika speċifika li tirriżulta min-natura distinta tal-attivitajiet f’setturi differenti tas-servizzi finanzjarji.

L-ASE għandhom jippreżentaw dawk l-abbozzi ta’ standards tekniċi regolatorji lill-Kummissjoni sas-17 ta’ Lulju 2024.

Il-Kummissjoni tingħata s-setgħa li tissupplimenta dan ir-Regolament billi tadotta l-istandards tekniċi regolatorji msemmija fl-ewwel subparagrafu f’konformità mal-Artikoli minn 10 sa 14 tar-Regolamenti (UE) Nru 1093/2010, (UE) Nru 1094/2010 u (UE) Nru 1095/2010.