Artikel 10 Testfase: dreigingsinformatie

1.   Na de goedkeuring van het scoping-document door de TLPT-autoriteit analyseert de aanbieder van dreigingsinformatie algemene en sectorspecifieke dreigingsinformatie die relevant is voor de financiële entiteit. Indien de TLPT-autoriteit een algemeen dreigingslandschap voor de financiële sector van een lidstaat heeft verstrekt, kan de aanbieder van dreigingsinformatie dat landschap gebruiken als basis voor het nationale dreigingslandschap. De aanbieder van dreigingsinformatie brengt cyberdreigingen en bestaande of potentiële kwetsbaarheden die de financiële entiteit betreffen, in kaart. Daarnaast verzamelt de aanbieder van dreigingsinformatie informatie over concrete, actionable en gecontextualiseerde doel- en dreigingsinformatie over de financiële entiteit en analyseert hij deze, onder meer door raadpleging van het control team en de testmanagers.

2.   De aanbieder van dreigingsinformatie presenteert de relevante dreigingen en informatie over gerichte dreigingen en stelt de benodigde scenario’s voor aan het control team, de testers en de testmanagers. De voorgestelde scenario’s verschillen van elkaar wat betreft de geïdentificeerde dreigingsactoren en de daarbij behorende tactieken, technieken en procedures en zijn gericht op elke kritieke of belangrijke functie binnen de scope van de TLPT.

3.   De leider van het control team selecteert ten minste drie scenario’s om de TLPT uit te voeren op basis van alle volgende elementen:

4.   Maximaal één van de geselecteerde scenario’s mag niet-dreigingsgestuurd zijn en gebaseerd zijn op een prospectieve en potentiële fictieve dreiging met een hoge voorspellende, anticiperende, opportunistische of prospectieve waarde gezien de verwachte ontwikkelingen van het dreigingslandschap ten aanzien van de financiële entiteit.

Bij gepoolde TLPT’s omvat ten minste één scenario, ongeacht de scenario’s die rechtstreeks zijn gericht op de kritieke of belangrijke functies van de financiële entiteiten die bij de test zijn betrokken, de onderliggende ICT-systemen, -processen en -technologieën van de derde aanbieder van ICT-diensten die de kritieke of belangrijke functies van de financiële entiteiten binnen de scope ondersteunen.

Indien de test een gezamenlijke TLPT betreft waarbij een intragroepsaanbieder van ICT-diensten is betrokken, omvat ten minste één scenario, ongeacht de scenario’s die rechtstreeks zijn gericht op kritieke of belangrijke functies van de financiële entiteiten die bij de test zijn betrokken, de onderliggende ICT-systemen, -processen en -technologieën van de intragroepsaanbieder van ICT-diensten die de kritieke of belangrijke functies van de financiële entiteiten binnen de scope ondersteunen.

5.   De aanbieder van dreigingsinformatie verstrekt het Target Threat Intelligence Report (TTI-rapport), met inbegrip van de overeenkomstig de leden 3 en 4 geselecteerde scenario’s, aan het control team. Het rapport inzake dreigingsinformatie bevat de in bijlage III vermelde informatie.

6.   Het control team legt het Target Threat Intelligence Report ter goedkeuring voor aan de testmanager. Indien het Target Threat Intelligence Report volledig is en de uitvoering van een doeltreffende TLPT waarborgt, keurt de TLPT-autoriteit het rapport met gerichte dreigingsinformatie goed en stelt zij de leider van het control team daarvan in kennis.