Artikel 9 Voorbereidende fase

1.   Een overeenkomstig artikel 26, lid 8, derde alinea, van Verordening (EU) 2022/2554 geïdentificeerde financiële entiteit initieert een TLPT na ontvangst van een kennisgeving van de TLPT-autoriteit dat er een TLPT moet worden uitgevoerd.

2.   Een financiële entiteit dient binnen drie maanden na ontvangst van de in lid 1 bedoelde kennisgeving alle volgende informatie over de initiëring van de TLPT in bij de testmanagers:

3.   Indien de in lid 2, punten a) tot en met e), bedoelde informatie volledig is en de geschiktheid en daadwerkelijke uitvoering van de TLPT waarborgt, valideert de TLPT-autoriteit de TLPT-initiëringsinformatie van de financiële entiteit en stelt zij de financiële entiteit daarvan in kennis.

4.   Nadat de TLPT-initiëringsdocumenten zijn gevalideerd door de TLPT-autoriteit, zet de financiële entiteit een control team op dat de leider van het control team ondersteunt bij zijn of haar taken om:

5.   Indien de TLPT-autoriteit van oordeel is dat de initiële samenstelling van het control team en eventuele latere wijzigingen daarvan adequaat zijn voor de uitvoering van de in lid 4 bedoelde taken, valideert de TLPT-autoriteit het control team en stelt zij de leider van het control team daarvan in kennis.

6.   De financiële entiteit dient binnen zes maanden na ontvangst van de in lid 1 bedoelde kennisgeving van de TLPT-autoriteit een scoping-document in bij de testmanagers dat alle in bijlage II vermelde informatie bevat. Het leidinggevend orgaan van de financiële entiteit keurt dit scoping-document goed.

7.   Financiële entiteiten nemen de volgende criteria in aanmerking om kritieke of belangrijke functies in de scope van de TLPT op te nemen:

8.   Het control team deelt de TLPT-initiëringsdocumenten en het scoping-document met de testers en de aanbieders van dreigingsinformatie zodra deze zijn gecontracteerd. Het control team informeert de testers en de aanbieders van dreigingsinformatie over het te volgen testproces.

9.   De financiële entiteit ziet erop toe dat het inhuren of toewijzen van testers en aanbieders van dreigingsinformatie is afgerond vóór de aanvang van de testfase.

10.   Vóór de aanvang van de testfase raadpleegt het control team de testmanagers over de TLPT-risicobeoordeling en over de maatregelen inzake risicomanagement. Het control team evalueert de risicobeoordeling of de maatregelen inzake risicomanagement indien de TLPT-autoriteit van oordeel is dat deze de risico’s van de TLPT niet adequaat tegengaan.

11.   Het control team beoordeelt of de aanbieders van dreigingsinformatie en de testers die zij bij de TLPT overwegen te betrekken, voldoen aan de vereisten van artikel 27 van Verordening (EU) 2022/2554 en aan artikel 7, lid 1, van deze verordening, en documenteert de uitkomst van die beoordeling. Het control team selecteert de aanbieders van dreigingsinformatie in overeenstemming met die beoordeling en met zijn risicomanagementpraktijken. Voordat met de geselecteerde aanbieders van dreigingsinformatie en met de externe testers contracten worden afgesloten, levert het control team aan de testmanagers het bewijs dat die aanbieders van dreigingsinformatie en testers voldoen aan de vereisten van artikel 27 van Verordening (EU) 2022/2554 en aan artikel 7, lid 1, van deze verordening. Het control team contracteert de geselecteerde aanbieders van dreigingsinformatie en externe testers niet indien de TLPT-autoriteit van oordeel is dat de geselecteerde aanbieders van dreigingsinformatie en externe testers niet voldoen aan de vereisten van artikel 27 van Verordening (EU) 2022/2554 of aan de vereisten van artikel 7, lid 1, van deze verordening, of aan aanvullende vereisten die voortvloeien uit nationale veiligheidswetgeving in overeenstemming met Unierecht, of indien de financiële entiteit niet voldoet aan artikel 7, lid 2, eerste alinea, van deze verordening, of indien de in artikel 7, lid 2, tweede alinea, van deze verordening bedoelde omstandigheden niet zijn vervuld.

12.   Indien het scoping-document volledig is en de uitvoering van een passende en doeltreffende TLPT waarborgt, keurt de TLPT-autoriteit dat document goed en stelt zij de leider van het control team daarvan in kennis.