Periodic TLPT Testing

1.   L-entitajiet finanzjarji, għajr l-entitajiet imsemmija fl-Artikolu 16(1), l-ewwel subparagrafu, u għajr il-mikrointrapriżi, li huma identifikati f’konformità mal-paragrafu 8, it-tielet subparagrafu, ta’ dan l-Artikolu, għandhom iwettqu, mill-inqas kull tliet snin, ittestjar avvanzat permezz tat-TLPT. Abbażi tal-profil tar-riskju tal-entità finanzjarja u b’kont meħud taċ-ċirkostanzi operazzjonali, l-awtorità kompetenti tista’, fejn neċessarju, titlob lill-entità finanzjarja biex tnaqqas jew iżżid din il-frekwenza.

2.   Kull test tal-penetrazzjoni bbażat fuq it-theddid għandu jkopri diversi funzjonijiet kritiċi jew importanti ta’ entità finanzjarja, jew ikoprihom kollha, u għandu jitwettaq fuq sistemi ta’ produzzjoni li jkunu qed jappoġġjaw tali funzjonijiet.

L-entitajiet finanzjarji għandhom jidentifikaw is-sistemi, il-proċessi u t-teknoloġiji sottostanti rilevanti kollha tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u s-servizzi rilevanti kollha tal-ICT, inkluż dawk li jappoġġjaw il-funzjonijiet kritiċi jew importanti u servizzi li ġew esternalizzati jew ikkuntrattati lil fornituri terzi ta’ servizzi tal-ICT.

L-entitajiet finanzjarji għandhom jivvalutaw liema funzjonijiet kritiċi jew importanti jeħtieġ li jiġu koperti mit-TLPT. Ir-riżultat ta’ din il-valutazzjoni għandu jiddetermina l-ambitu preċiż tat-TLPT u għandu jiġi vvalidat mill-awtoritajiet kompetenti.

3.   Meta l-fornituri terzi ta’ servizzi tal-ICT ikunu inklużi fl-ambitu tat-TLPT, l-entità finanzjarja għandha tieħu l-miżuri u s-salvagwardji meħtieġa biex tiżgura l-parteċipazzjoni ta’ fornituri terzi ta’ servizzi tal-ICT bħal dawn fit-TLPT u għandha dejjem iżżomm ir-responsabbiltà sħiħa li tiżgura l-konformità ma’ dan ir-Regolament.

4.   Mingħajr preġudizzju għall-paragrafu 2, l-ewwel u t-tieni subparagrafi, meta l-parteċipazzjoni ta’ fornitur terz ta’ servizzi tal-ICT fit-TLPT, imsemmi fil-paragrafu 3, tkun raġonevolment mistennija li jkollha impatt negattiv fuq il-kwalità jew is-sigurtà tas-servizzi mogħtija minn fornitur terz ta’ servizz tal-ICT lill-konsumaturi li jkunu entitajiet barra mill-kamp ta’ applikazzjoni ta’ dan ir-Regolament, jew fuq il-kunfidenzjalità tad-data marbuta ma’ servizzi bħal dawn, l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT jistgħu jaqblu bil-miktub li l-fornitur terz ta’ servizzi tal-ICT jidħol direttament f’arranġamenti kuntrattwali ma’ tester estern, għall-fini li jwettaq, taħt id-direzzjoni ta’ entità finanzjarja waħda ddeżinjata, TLPT aggregat li jinvolvi diversi entitajiet finanzjarji (ittestjar aggregat) li għaliha l-fornitur terz ta’ servizzi tal-ICT jipprovdi servizzi tal-ICT.

Dak l-ittestjar aggregat għandu jkopri l-firxa rilevanti ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti kkuntrattati lill-fornitur terz rispettiv ta’ servizzi tal-ICT mill-entitajiet finanzjarji. L-ittestjar aggregat għandu jitqies bħala TLPT imwettaq mill-entitajiet finanzjarji parteċipanti fl-ittestjar aggregat.

L-għadd ta’ entitajiet finanzjarji parteċipanti fl-ittestjar aggregat għandu jiġi kkalibrat kif xieraq b’kont meħud tal-kumplessità u t-tipi ta’ servizzi involuti.

6.   Fi tmiem l-ittestjar, wara li jkunu ġew miftiehma r-rapporti u l-pjanijiet ta’ rimedju, l-entità finanzjarja u, fejn applikabbli, it-testers esterni għandhom jipprovdu lill-awtorità, iddeżinjata skont il-paragrafu 9 jew 10, sommarju tas-sejbiet rilevanti, il-pjanijiet ta’ rimedju u d-dokumentazzjoni li turi li t-TLPT twettaq skont ir-rekwiżiti.

7.   L-awtoritajiet għandhom jipprovdu lill-entitajiet finanzjarji b’attestazzjoni li tikkonferma li t-test twettaq f’konformità mar-rekwiżiti kif tixhed id-dokumentazzjoni sabiex ikun jista’ jsir rikonoxximent reċiproku tat-testijiet tal-penetrazzjoni bbażat fuq it-theddid bejn l-awtoritajiet kompetenti. L-entità finanzjarja għandha tinnotifika lill-awtorità kompetenti rilevanti bl-attestazzjoni, is-sommarju tas-sejbiet rilevanti u l-pjanijiet ta’ rimedju.

Mingħajr preġudizzju għal tali attestazzjoni, l-entitajiet finanzjarji għandhom f’kull ħin jibqgħu kompletament responsabbli għall-impatt tat-testijiet imsemmija fil-paragrafu 4.

8.   L-entitajiet finanzjarji għandhom jikkuntrattaw testers biex iwettqu t-TLPT f’konformità mal-Artikolu 27. Meta l-entitajiet finanzjarji jużaw testers interni biex iwettqu t-TLPT, huma għandhom jikkuntrattaw testers estern għal kull tliet testijiet.

L-istituzzjonijiet ta’ kreditu li huma kklassifikati bħala sinifikanti f’konformità mal-Artikolu 6(4) tar-Regolament (UE) Nru 1024/2013, għandhom jużaw biss testers esterni f’konformità mal-Artikolu 27(1), il-punti (a) sa (e).

L-awtoritajiet kompetenti għandhom jidentifikaw l-entitajiet finanzjarji li huma meħtieġa jwettqu TLPT waqt li jqisu l-kriterji stabbiliti fl-Artikolu 4(2), abbażi ta’ valutazzjoni ta’ dawn li ġejjin:

1.   L-entitajiet finanzjarji għandhom jużaw biss testers għat-twettiq tat-TLPT, li:

2.   Meta jużaw testers interni, l-entitajiet finanzjarji għandhom jiżguraw li, minbarra r-rekwiżiti fil-paragrafu 1, jiġu ssodisfati l-kundizzjonijiet li ġejjin:

3.   L-entitajiet finanzjarji għandhom jiżguraw li l-kuntratti konklużi mat-testers esterni jirrikjedu ġestjoni għaqlija tar-riżultati tat-TLPT u li kwalunkwe pproċessar tad-data tagħhom, inkluż kwalunkwe ġenerazzjoni, ħżin, aggregazzjoni, abbozz, rapport, komunikazzjoni jew qerda, ma joħolqux riskji għall-entità finanzjarja.